«Синхронизация аккаунта» Ledger: разбор фишингового письма

20 октября 2026 года на почту пришло письмо с темой «Understanding the details a little better» — «Чуть лучше разобраться в деталях». Тема выглядит как у безобидной рекламы, но письмо легло не в спам, а во входящие, а внутри оказался «Ledger»: чёрный баннер с логотипом и заголовок «Account Synchronization Required» — «Требуется синхронизация аккаунта». Разбираем его по признакам: подделка почти идеальна — и потому поучительна.

Что внутри

Текст письма короткий и тревожный: «Мы обнаружили расхождение синхронизации в вашем аккаунте. Наша система выявила несоответствие между локальными данными вашего кошелька и нашими серверами». Дальше — блок «Action Required»: «синхронизацию» нужно завершить срочно, иначе — временное ограничение аккаунта, повреждение истории транзакций, задержки переводов. В середине — большая оранжевая кнопка «Continue Update».

Внизу — настоящий подвал писем Ledger: «© 2026 Ledger SAS. All rights reserved», парижский адрес компании, дисклеймер сервиса Yield.xyz. Текст, шрифты, структура — всё как у подлинных писем компании. А ещё ниже висит хвост чужого шаблона: реклама испанской мастерской Metálicas y Aluminios El Faro и плашка сервиса отправки писем Constant Contact. Этот хвост выдаёт всю схему.

Главная ложь — в самом заголовке

У Ledger нет «аккаунтов», которые можно синхронизировать. Ledger — аппаратный кошелёк: ключи хранятся на самом устройстве, а не на серверах компании. «Несоответствия между локальными данными и нашими серверами», которое надо срочно исправлять по ссылке из письма, существовать не может.

Официальная позиция Ledger сформулирована на странице поддержки о фишинговых письмах: компания никогда не просит ввести 24 слова секретной фразы восстановления (Secret Recovery Phrase) и никогда не присылает писем с требованием обновить прошивку или «синхронизировать» кошелёк по ссылке. Фраза из 24 слов вводится только на самом устройстве — никогда в браузере и никому не сообщается. Письмо, которое ведёт вас на страницу «завершить синхронизацию», целится именно в эту фразу: введёте её — и кошелёк вместе со всеми средствами перестаёт быть вашим.

Одна картинка — одна ссылка

Самое интересное в этом письме — техника. Всё его тело, от логотипа до подвала, — одна большая картинка. Текста в письме нет вообще: спам-фильтру нечего читать и негде искать ключевые слова.

И вся картинка целиком — одна ссылка. Наведите курсор на кнопку «Continue Update», на логотип или на подвал — внизу экрана один и тот же адрес: jorditrensjoier.com/wp-css/uk/re/. Это домен каталонского ювелира; структура пути (wp-css) выдаёт взломанный сайт на WordPress, на котором разместили чужие файлы. В коде письма это видно прямо: сама картинка — файл imagelogos.png на том же домене, а текстовая версия письма (её показывают вместо HTML-версии) про Ledger не содержит ни слова — только реклама испанской мастерской. Фильтр, читающий текст, видит безобидное письмо про алюминиевые конструкции.

Мы проверили этот адрес 21 октября, ничего на нём не вводя. Страница на сайте ювелира — не сама приманка, а переадресация: она мгновенно перенаправляет на отдельный домен api-ledger-synchro.com — по названию видно, что он зарегистрирован под эту кампанию. На момент проверки сервер этого домена не отвечал: Cloudflare показывал ошибку 521 «Web server is down». Прямо сейчас жертва после клика увидит только страницу ошибки: инфраструктура временно выключена или уже отключена. А когда сервер работал, конечная цель таких писем стандартна и подтверждается предупреждениями самой Ledger: под видом «синхронизации» или «обновления» у владельца кошелька выманивают 24 слова фразы восстановления.

Почему письмо прошло фильтры

Отправитель письма в деталях выглядит так: «LEDGER US Aluminios», адрес — sophie-metalicaselfaro.com@shared1.ccsend.com, поле «отправлено через» — in.constantcontact.com, подпись DKIM — shared1.ccsend.com, ответ предлагается писать на sophie@metalicaselfaro.com. То есть отправил письмо сервис Constant Contact из аккаунта той самой испанской мастерской — судя по всему, угнанного.

Отсюда четыре следствия. Первое: письмо честно прошло технические проверки — в его заголовках стоят spf=pass и дважды dkim=pass, но обе подписи принадлежат доменам сервиса отправки (ccsend.com), а не ledger.com; именно поэтому фильтры Gmail пропустили его во входящие. Второе: имя отправителя склеено из двух кусков — «LEDGER» для беглого взгляда получателя и «Aluminios» как след настоящего владельца аккаунта. Третье: само слово «LEDGER» в имени набрано символами-двойниками из других алфавитов — фильтр, ищущий это слово в тексте письма, его просто не видит. Четвёртое: тема письма («Чуть лучше разобраться в деталях») — остаток чужого шаблона отправки, к «Ledger» она отношения не имеет.

Получатель переслал это письмо в Ledger — у компании для таких сообщений есть адрес phishing@ledger.com. Ответ пришёл шаблонный: отчёт принят, детали проверяются, персонального ответа компания не обещает. Тем, кто потерял средства, советуют обращаться в местную полицию: доступа к средствам пользователей у Ledger нет и быть не может.

Как проверять такие письма

1. Смотрите отправителя, а не логотип. У настоящих писем Ledger — адреса на доменах компании. Здесь домены отправителя и подписи — Constant Contact и испанская мастерская.
2. Наводите курсор, не нажимая. Адрес в строке статуса показывает, куда ведёт ссылка на самом деле. Здесь — чужой взломанный сайт.
3. Помните базу. У аппаратного кошелька нет аккаунта на сервере: нечего «синхронизировать» и нечего «подтверждать» на сайте. Обновления — только внутри официального приложения, с подтверждением на экране устройства.
4. 24 слова — только на устройстве. Любая страница, письмо или «сотрудник поддержки», которые просят фразу восстановления, — мошенники без исключений.

Частые вопросы

Читайте также

• Фишинг «Google Drive переполнен»: разбор письма-угрозы
• Криптоматы: как мошенники крадут сотни миллионов через криптокошельки
• «Разделка свиньи»: как устроена главная криптоафера — pig butchering

← Все статьи блога