Ledger ha introdotto controlli più rigorosi sulla vendita degli hardware wallet dopo che criminali hanno modificato dispositivi autentici utilizzandoli per rubare criptovalute. In una dichiarazione del 15 ottobre, l'azienda ha ribadito il divieto di rivendita dei wallet restituiti e ha ordinato ai rivenditori di tenere i nuovi dispositivi fuori dagli scaffali espositivi. La decisione segue la scoperta che componenti nascosti installati nei wallet rivenduti captavano le frasi di recupero di 24 parole dei clienti e le trasmettevano tramite reti mobili.

Criminali hanno manomesso i dispositivi prima della rivendita

Ledger ha dichiarato che gli attacker hanno acquistato wallet legittimi, vi hanno installato componenti nascosti e li hanno restituiti ai canali di rivendita nel Sud-est asiatico. Secondo l'azienda, il gruppo ha impiegato mesi a preparare l'operazione e ha costruito sistemi per raccogliere le frasi di recupero e spostare i fondi rubati.

L'operazione mostra come la manomissione della supply chain possa aggirare un hardware wallet senza toccarne la crittografia: la frase di recupero è il backup principale che consente di ripristinare i conti di un wallet su qualsiasi dispositivo compatibile, quindi catturare solo quelle 24 parole è sufficiente per prendere il controllo dei fondi.

Le indagini sono iniziate il 9 ottobre, dopo che alcuni clienti hanno segnalato la scomparsa di asset da dispositivi venduti da CryptoBilis, un rivenditore con sede in Malesia. Una precedente indagine sul furto di wallet Ledger aveva collegato le segnal al rivenditore, che successivamente ha sospeso le vendite.

Come funzionavano gli implant nascosti

Il team di sicurezza di Ledger ha individuato un implant che copiava la frase di recupero di 24 parole visualizzata durante la configurazione del wallet. Il componente inviava poi quelle parole tramite una connessione dati mobile utilizzando una scheda SIM elettronica integrata. L'azienda ha dichiarato che il chip di sicurezza e il sistema operativo del dispositivo erano rimasti intatti.

Questo dettaglio colloca l'attacco nella fase di configurazione, quando la frase viene visualizzata perché il proprietario la annoti, e non all'interno dell'hardware sicuro del dispositivo.

Il fondatore di Binance Changpeng Zhao ha avvertito su X il 9 ottobre che le prove indicavano un attacco attraverso un singolo venditore, e non un problema che interessava tutti i wallet Ledger.

Le stime delle perdite aumentano mentre gli investigatori tracciano i fondi

Il ricercatore blockchain Specter aveva inizialmente stimato perdite superiori a 86 milioni di dollari. Tuttavia, l'aggiornamento del 15 ottobre di Bitquery ha tracciato 102 milioni di dollari in fondi rubati da 324 wallet su sei reti. Una precedente conferma della manomissione dei dispositivi ha stabilito che gli investigatori avevano trovato un componente non autorizzato. Ledger non ha confermato le perdite totali né il numero di clienti coinvolti.

Bitquery ha dichiarato che Tether ha congelato 10 milioni di dollari in USDT collegati al furto. Le indagini hanno anche tracciato i fondi rubati attraverso swap e servizi privacy. I ricercatori hanno contato i wallet e non i singoli clienti, osservando che un unico proprietario potrebbe controllare diversi indirizzi coinvolti.

Ledger modifica distribuzione e indicazioni ai clienti

Ledger ha dichiarato che i suoi team hanno esaminato dispositivi provenienti da negozi in Germania e scorte custodite nei magazzini, e che tali campioni non presentavano manomissioni. In un aggiornamento su X del 14 ottobre, l'azienda ha chiesto una sospensione delle vendite in sette mercati, tra cui Hong Kong. I rivenditori in Asia hanno sospeso la vendita di wallet mentre le indagini proseguivano.

Le nuove regole di gestione si concentrano sulla fase della rivendita, il punto in cui i dispositivi manomessi sono entrati nella supply chain di questo caso, mantenendo i dispositivi in deposito controllato fino al momento della vendita.

Secondo le nuove regole, i rivenditori autorizzati devono custodire i wallet lontano dagli scaffali pubblici e consegnare i dispositivi agli acquirenti al momento dell'acquisto. Ledger consiglia ai clienti di CryptoBilis di non configurare i dispositivi non utilizzati, mentre chi ne ha già inizializzato uno deve spostare i propri asset su un nuovo wallet con una frase di recupero nuova. I punti ancora aperti del caso includono un totale delle perdite confermato — non ha confermato la cifra di 102 milioni di dollari di Bitquery — e se ulteriori fondi rubati siano stati congelati oltre ai 10 milioni di dollari in USDT già bloccati da Tether.