Ledger heeft strengere controles ingevoerd op de verkoop van hardware wallets nadat criminelen originele apparaten hadden aangepast en gebruikt om cryptocurrency te stelen. In een verklaring van 15 oktober herbevestigde het bedrijf het verbod op de wederverkoop van geretourneerde wallets en gelaste het retailers op om nieuwe apparaten van de etalageschappen te houden. De maatregel volgt op de ontdekking dat verborgen componenten die in doorverkochte wallets waren geïmplanteerd, de 24-woorden-herstelzinnen van klanten opvingen en via mobiele netwerken verstuurden.

Criminelen pasten apparaten aan vóór wederverkoop

Ledger meldde dat aanvallers legitieme wallets kochten, van verborgen componenten voorzagen en ze terugbrachten in de wederverkoopkanalen in Zuidoost-Azië. Volgens het bedrijf besteedde de groep maanden aan de voorbereiding van de operatie en bouwde het systemen om herstelzinnen te verzamelen en gestolen geld te verplaatsen.

De operatie laat zien hoe manipulatie van de toeleveringsket een hardware wallet kan verslaan zonder de cryptografie aan te tasten: een herstelzin is de hoofdbackup die de accounts van een wallet op elk compatibel apparaat kan herstellen, dus het onderscheppen van die 24 woorden is op zichzelf al voldoende om de controle over het geld over te nemen.

Het onderzoek begon op 9 oktober, nadat klanten melding hadden gemaakt van vermiste activa op apparaten die waren verkocht door CryptoBilis, een wederverkoper gevestigd in Maleisië. Een eerder onderzoek naar Ledger wallet-diefstal bracht de klachten in verband met de wederverkoper, die vervolgens de verkoop staakte.

Hoe de verborgen implants werkten

Ledgers beveiligingsteam vond een implant die de 24-woorden-herstelzin kopieerde die tijdens de wallet-installatie wordt weergegeven. De component verstuurde die woorden vervolgens via een mobiele dataverbinding met behulp van een ingebouwde elektronische SIM-kaart. Het bedrijf zei dat de beveiligingschip en het besturingssysteem van het apparaat intact bleven.

Dat detail plaatst de aanval in de installatiefase, wanneer de zin wordt weergegeven zodat de eigenaar deze kan noteren, en niet in de beveiligde hardware van het apparaat zelf.

Binance-oprichter Changpeng Zhao waarschuwde op X op 9 oktober dat het bewijs wees op een aanval via één verkoper, in plaats van op een probleem dat alle Ledger-wallets betrof.

Verliesramingen lopen op naarmate onderzoekers geld traceren

Blockchain-onderzoeker Specter schatte de verliezen aanvankelijk op meer dan $86 miljoen. De update van Bitquery van 15 oktober spoorde echter $102 miljoen aan gestolen geld uit 324 wallets op zes netwerken op. Eerdere bevestiging van manipulatie van apparaten stelde vast dat onderzoekers een ongeautoriseerde component hadden gevonden. Ledger heeft de totale verliezen of het aantal getroffen klanten niet bevestigd.

Bitquery meldde dat Tether $10 miljoen in USDT bevroor die met de diefstal in verband werd gebracht. Het onderzoek volgde het gestolen geld ook door middel van swaps en privacydiensten. De onderzoekers telden wallets in plaats van individuele klanten en wezen erop dat één eigenaar meerdere getroffen adressen kan beheren.

Ledger wijzigt distributie en klantadvies

Ledger meldde dat zijn teams apparaten uit winkels in Duitsland en voorraad uit magazijnen hebben onderzocht, en die monsters vertoonden geen manipulatie. In een X-update van 14 oktober riep het bedrijf op tot een verkoopstop in zeven markten, waaronder Hongkong. Wederverkopers in Azië schortten de wallet-verkoop op terwijl het onderzoek voortduurde.

nieuwe verwerkingsregels richten zich op de wederverkoopfase, het punt waar de gemanipuleerde apparaten in dit geval de toeleveringsketen binnendrongen, waarbij apparaten onder gecontroleerde opslag blijven tot het moment van verkoop.

Volgens de nieuwe regels moeten geautoriseerde dealers wallets buiten de publieke schappen opslaan en apparaten bij aankoop aan kopers overhandigen. Ledger raadt CryptoBilis-klanten aan ongebruikte apparaten niet in te stellen, terwijl wie er al één heeft geïnitialiseerd, zijn activa moet verplaatsen naar een nieuwe wallet met een verse herstelzin. Open punten in de zaak zijn onder meer een bevestigd verliestotaal — Ledger heeft het bedrag van $102 miljoen van Bitquery niet bevestigd — en de vraag of er naast de $10 miljoen aan USDT die Tether al heeft bevroren, nog meer gestolen geld is bevroren.