Ledger onderzoekt meldingen van cryptoverliezen waarbij klanten in Zuidoost-Azië betrokken zijn die hardware wallets kochten via wederverkoper CryptoBilis. Het bedrijf heeft de wederverkoper verzocht de verkoop en verzending stil te leggen terwijl onderzoekers de incidenten onderzoeken. Een onchain-onderzoeker schat dat vermoedelijke diefstallen in Bitcoin, Ethereum en Tron meer dan $86 miljoen bedragen, hoewel het totaalbedrag onbevestigd blijft.

De zaak heeft zorgen gewekt over de beveiliging van hardware wallets en de risico's van gecompromitteerde apparaten. Ledger heeft niet bevestigd hoe de gemelde verliezen zijn ontstaan, hoeveel klanten zijn getroffen of of de producten van de wederverkoper vóór levering aan kopers zijn gemanipuleerd. De focus op de wederverkoper is relevant omdat hardware wallets vaak via derde partijen bij kopers terechtkomen, naast directe verkoop door de fabrikant, en elke vraag over manipulatie spitst zich toe op de periode tussen productie en levering, waarin individuele kopers weinig zicht hebben. Klanten die in de afgelopen 90 dagen apparaten via CryptoBilis kochten, zitten met bijzondere onzekerheid nu het onderzoek voortduurt.

Ledger geeft dringende waarschuwing aan recente kopers

Ledger kondigde zijn voorzorgsmaatregelen aan op 9 oktober en verzocht CryptoBilis alle verkoop en verzending te pauzeren totdat het bedrijf zijn onderzoek heeft afgerond.

Het bedrijf heeft ook recente kopers die hun apparaten nog niet hebben geactiveerd geadviseerd de installatie uit te stellen. Klanten die hun wallets al hebben ingesteld, wordt aangeraden te overwegen hun cryptocurrency over te zetten naar een nieuwe Ledger-signer met een nieuw gegenereerde herstelzin.

Een herstelzin is een reeks woorden die de toegang tot een crypto-wallet herstelt; iedereen die deze zin verkrijgt, kan toegang krijgen tot de fondsen die erm worden beheerd. De richtlijn is bedoeld om mogelijke blootstelling te beperken terwijl onderzoekers nagaan of de gemelde incidenten een gemeenschappelijke oorzaak delen. Ledger heeft echter geen direct verband gelegd tussen elk gemeld verlies en een apparaat dat bij CryptoBilis is gekocht.

Onchain-onderzoekers traceren miljoenen aan vermoedelijke verliezen

Blockchain-onderzoeker Specter schatte dat mogelijk meer dan $86 miljoen aan cryptocurrency is gestolen uit wallets in Bitcoin, Ethereum en Tron. De onderzoeker volgde transacties met vermoedelijke diefstaladressen nadat online meldingen over ontbrekende fondsen circuleerden.

Een andere onderzoeker, actief onder de naam tanuki42, schatte eerder verliezen van meer dan $72 miljoen. Onderzoekers hebben het totaalbedrag niet onafhankelijk bevestigd of vastgesteld of de twee schattingen dezelfde transacties bestrijken.

Een mogelijke aanval op de toeleveringsketen is naar voren gekomen als een van de mogelijke verklaringen. Zo'n aanval zou kunnen inhouden dat apparaten vóór levering aan klanten worden aangepast, waardoor hun eigenaren mogelijk worden blootgesteld aan ongeautoriseerde toegang. Dit onderscheid is van belang omdat een compromittering vóór de aankoop buiten de controle van de koper zou vallen, ongeacht hoe zorgvuldig de herstelzin daarna werd bewaard. Desondanks hebben onderzoekers niet bevestigd dat er met hardware is geknoeid.

De zaak belicht de beveiligingsuitdagingen waarmee de cryptosector wordt geconfronteerd, waarbij individuele gebruikers vaak zelf verantwoordelijk zijn voor het beschermen van hun activa. Hardware wallets bewaren privésleutels doorgaans offline, maar die bescherming hangt af van een veilige initialisatie van het apparaat en het beschermen van herstelzinnen.

Ledgers onderzoek loopt nog. Het bedrijf heeft de totale financiële verliezen niet bevestigd of het mechanisme achter de gemelde diefstallen geïdentificeerd. Ontwikkelingen om te volgen zijn onder meer of onderzoekers tot een bevestigd totaalbedrag komen, of de gemelde incidenten aan een gedeelde oorzaak worden gekoppeld en of en wanneer CryptoBilis de verkoop en verzending hervat. De bevindingen kunnen bredere gevolgen hebben voor de distributie van hardware wallets en het klantvertrouwen in self-custody van cryptocurrency.

Primaire bron: CoinDesk