Fabrikant van crypto hardware wallets Ledger zei vrijdag dat het meldingen onderzoekt van gestolen fondsen die verband houden met apparaten die via een reseller in Zuidoost-Azië zijn verkocht, nu een vermoofde buit van $86 miljoen de groeiende verliezen van de sector door exploits dit jaar verder kan opvoeren.

Het bedrijf kijkt naar meldingen dat er meer dan $86 miljoen aan cryptocurrency kan zijn gestolen uit honderden wallets die gekoppeld zijn aan apparaten die zijn verkocht door CryptoBilis, een reseller in Zuidoost-Azië, hoewel de verliezen en het verband niet onafhankelijk zijn geverifieerd.

Ledger heeft CryptoBilis gevraagd de verkoop en verzending te stoppen en heeft recente kopers geadviseerd hun apparaten niet in te stellen. Klanten die hun wallet al hebben geactiveerd, wordt aangeraden hun assets over te zetten naar een nieuw apparaat met een nieuw gegenereerde recovery phrase, aldus het bedrijf. Een supply-chain-aanval met gemanipuleerde apparaten is een mogelijke verklaring, maar de oorzaak, het aantal getroffen gebruikers en de totale verliezen blijven onbevestigd.

Wat onderzoekers en Ledger hebben gemeld

De pseudonieme blockchain-onderzoeker Specter zei op X dat er mogelijk meer dan $86 miljoen aan crypto is gestolen uit honderden wallets. Er is geen onafhankelijke bevestiging van de hoeveelheid getroffen gebruikersassets.

Specter zei dat ze vermoedelijke diefstaladressen op Bitcoin, Ethereum en Tron hebben getraceerd nadat ze meldingen van Ledger-gebruikers op X en Reddit zagen. Het is nog onduidelijk of de incidenten verband houden of wat de verliezen heeft veroorzaakt.

Ledger erkende in een bericht op X de meldingen van ontbrekende fondsen van klanten die apparaten kochten via CryptoBilis, een reseller in Zuidoost-Azië, maar bevestigde het gemelde verliesbedrag niet en noemde de oorzaak niet.

Als voorzorgsmaatregel heeft het bedrijf gezegd CryptoBilis te hebben gevraagd alle verkoop en verzending te pauzeren terwijl het onderzoek loopt. Ledger adviseerde klanten die de afgelopen 90 dagen apparaten bij de reseller kochten om deze niet te gaan instellen. Wie zijn wallet al heeft geactiveerd, wordt aangeraden de assets over te zetten naar een nieuw Ledger-apparaat met een nieuw gegenereerde recovery phrase, aldus het bedrijf.

Een mogelijke supply-chain-aanval

Eén mogelijke verklaring is een supply-chain-aanval, waarbij hardware wallets worden gemanipuleerd voordat ze de klant bereiken. Een aanvaller zou bijvoorbeeld een apparaat kunnen leveren met een recovery phrase die hij al kent, waardoor hij op een later tijdstip toegang kan krijgen tot geld dat in de wallet wordt gestort. Een recovery phrase is de re woorden die een hardware wallet backupt en de toegang tot de fondsen beheert; deze is ontworpen om op het apparaat zelf te worden gegenereerd, zodat niemand anders hem kent.

Een dergelijk scenario zou verschillen van een inbreuk op Ledger's eigen systemen. Er is echter geen bevestiging dat manipulatie van apparaten of vooraf gegenereerde recovery phrases de gemelde verliezen hebben veroorzaakt, en er is geen bevestigd bewijs dat Ledger's eigen systemen of wallettechnologie zijn gecompromitteerd.

Het incident wordt nog onderzocht, en het is onduidelijk hoeveel gebruikers zijn getroffen, of de gemelde diefstallen verband houden en hoeveel cryptocurrency is verloren. Ledger zei updates te zullen geven naarmate het onderzoek vordert.

Een zwaar jaar voor crypto-beveiliging

De mogelijke diefstal komt in een jaar dat toch al zwaar is voor de crypto-beveiliging. Vorige maand werd crypto-exchange Bitget getroffen door een exploit waarbij meer dan $350 miljoen aan assets werd gestolen. Andere grote incidenten waren Liquid Network met ongeveer $320 miljoen, Drift met $295 miljoen en Kelp met $293 miljoen, volgens DefiLlama-gegevens. Indien bevestigd, zouden de vermoede verliezen rond Ledger kleiner zijn dan elk van die exploits, maar de kwestie valt op vanwege het betreffende segment: hardware wallets, offline apparaten die veel houders juist gebruiken om hun fondsen buiten exchanges en andere online platforms te houden.

Over Ledger

Ledger, opgericht in 2014 en gevestigd in Parijs, is een grote fabrikant van hardware wallets, apparaten die de privésleutels die nodig zijn voor toegang tot cryptocurrency offline houden. Het bedrijf zegt wereldwijd meer dan 7 miljoen apparaten te hebben verkocht, en zijn producten worden veel gebruikt door beleggers die hun crypto willen beschermen zonder afhankelijk te zijn van exchanges.

Daarom is elke mogelijke beveiligingskwestie rond zijn producten belangrijk voor de bredere cryptomarkt. In dit geval betreft het onderzoek echter apparaten die via een externe reseller zijn verkocht en niet via Ledger's eigen kanalen. Apparaten die rechtstreeks bij de fabrikant worden gekocht, gaan van productie rechtstreeks naar de klant, terwijl doorverkochte exemplaren via tussenpersonen gaan voordat ze de koper bereiken — een verschil dat centraal staat in het huidige onderzoek.

UPDATE (9 okt., 14:58 UTC): Voegt verdere context over Ledger toe.

Bron: CoinDesk