Verdachte diefstallen in verband met Ledger hardware wallets naderen 90 miljoen dollar, en stablecoin-uitgever Tether is begonnen met het bevriezen van USDT die aan het incident is gekoppeld, aldus blockchain-onderzoekers.

In een verklaring van 9 oktober zei de fabrikant van crypto hardware wallets onderzoek te doen naar meldingen dat klanten fondsen waren kwijtgeraakt na de aankoop van apparaten bij CryptoBilis, een geautoriseerde reseller die actief is in Zuidoost-Azië. Als voorzorgsmaatregel vroeg Ledger de distributeur om de verkoop en verzending van zijn hardware wallets onmiddellijk stil te leggen zolang het onderzoek loopt.

Richtlijnen voor getroffen klanten

Ledger raadde klanten die de afgelopen 90 dagen apparaten bij CryptoBilis hadden gekocht aan deze niet te initialiseren als de installatie nog niet was afgerond. Wie zijn wallet al had geconfigureerd, werd geadviseerd te overwegen de cryptovaluta over te zetten naar een nieuwe Ledger-apparaat dat is geïnitialiseerd met een nieuwe herstelzin.

CryptoBilis staat in Ledgers officiële resellergids voor Maleisië, Indonesië en de Filipijnen. Klanten die via geautoriseerde distributiekanalen kopen, vertrouwen doorgaans op die relaties om het risico op namaak- of gecompromitteerde hardware te beperken. Hardware wallets nemen een bijzondere plaats in dat vertrouwensmodel in, omdat gebruikers ze kopen om privésleutels offline te houden; een inbreuk ergens in de distributieketen zou de bescherming ondermijnen die de aankoop juist moet bieden.

Bekende figuren uit de sector reageren

Het incident trok de aandacht van Binance-oprichter Changpeng Zhao, die gebruikers waarschuwde voorzichtig te zijn, vooral als ze onlangs een Ledger-apparaat hadden gekocht.

"Op basis van de informatie tot nu toekt het beperkt tot een supply chain-aanval met één verkoper," schreef hij op X.

Zhao suggereerde dat een beperkt aantal klanten namaak- of gemanipuleerde apparaten kan hebben ontvangen, terwijl hij de langdurige securityreputatie van Ledger benadrukte. Hij riep ook op tot samenwerking binnen de cryptovalutaindustrie om de vermoedelijke aanvallers te identificeren en de gestolen activa terug te vorderen.

"Ik verwacht en weet dat alle spelers in het BNB-ecosysteem (en de hele sector) zullen helpen om de fondsen te traceren en terug te vorderen," voegde hij toe.

Ondertussen onderzoekt voormalig Mt. Gox-ceo Mark Karpelès of er kwaadaardige hardwarecomponenten in apparaten zijn ingebouwd die aan klanten zijn geleverd. Karpelès vroeg CryptoBilis om enkele onverkochte Ledger-wallets te openen, zodat hun interne printplaten konden worden geïnspecteerd op mogelijke spionagesoftware-implantaten of andere ongeautoriseerde aanpassingen.

Beperkingen van authenticatie onder de loep

De zorg werpt licht op een beperking in het hardware-authenticatieproces van Ledger. De securitydocumentatie van het bedrijf erkent dat het Genuine Check-systeem de Secure Element van een apparaat verifieert, maar niet noodzakelijk fysieke aanpassingen elders in de hardware kan identificeren als de oorspronkelijke beveiligingschip intact blijft. Dat betekent dat een fysiek gewijzigd apparaat de authenticatie kan doorstaan, zelfs als het ongeautoriseerde componenten bevat. Voor klanten is die beperking belangrijk: de Genuine Check is de verificatie die beschikbaar is bij het instellen van een nieuw apparaat, en het doorstaan ervan sluit manipulatie elders in de hardware niet uit.

Er is geen bevestigd bewijs dat kwaadaardige hardware-implantaten de gemelde diefstallen hebben veroorzaakt. Ledger heeft niet bekendgemaakt hoeveel apparaten mogelijk zijn gecompromitteerd, noch heeft het vastgesteld of het incident het gevolg is van namaakhardware, fysieke manipulatie of een andere aanvalsmethode.

Onderzoekers racen om verliezen te beperken

Terwijl Ledger de vermoedelijke bron van de compromitteringen onderzoekt, werken blockchain-onderzoekers aan het traceren en beperken van de beweging van gestolen cryptovaluta.

On-chain onderzoeker Specter zei dat transactieanalyse instromen van honderden vermoedelijke slachtoffer-wallets naar adressen op Bitcoin, Ethereum en Tron had geïdentificeerd. Specter schatte aanvankelijk dat de vermoedelijke diefstallen meer dan 86 miljoen dollar bedroegen, maar blockchainbeveiligingsbedrijf MistTrack plaatste de gemelde verliezen later dichter bij 90 miljoen dollar.

Die schattingen zijn niet onafhankelijk geverifieerd, en onderzoekers hebben niet vastgesteld of elke wallet die in de berekeningen is meegenomen, is gecompromitteerd via dezelfde operatie.

MistTrack zei te hebben waargenomen dat Tether USDT bevriest die aan het incident is gekoppeld, en dat verschillende getroffen gebruikers contact opnamen met het team voor hulp.

Wat bevriezen wel niet kan

De bevriezing biedt een mogelijk herstelpad, omdat USDT administratieve controles bevat waarmee Tether transfers van aangewezen adressen kan beperken. Zodra een adres is bevroren, kunnen gebruikers de getroffen USDT niet verplaatsen via gewone blockchain-transacties, tenzij de beperking wordt opgeheven. Die mogelijkheid kan helpen voorkomen dat gestolen fondsen naar extra wallets worden verplaatst of worden omgezet in andere cryptovaluta, terwijl onderzoekers werken aan het vaststellen van het eigendom.

De interventie heeft echter grenzen. De vermoedelijke diefstallen beslaan verschillende blockchain-netwerken en omvatten activa naast USDT. Tether kan native Bitcoin of Ethereum niet direct bevriezen, waardoor onderzoekers afhankelijk zijn van samenwerking met beurzen, custodians en wetshandhavers als die activa naar identificeerbare diensten worden verplaatst.

Het bevriezen van USDT geeft de tokens bovendien niet automatisch terug aan hun oorspronkelijke eigenaren. Elke schadeloosstelling zou verdere verificatie en coördinatie met de relevante autoriteiten of tegenpartijen vereisen.

MistTrack heeft de dollarwaarde van de beperkte tokens niet bekendgemaakt, waardoor het onmogelijk is te bepalen welk deel van de bijna 90 miljoen dollar aan gemelde verliezen uiteindelijk kan worden teruggevorderd. Die onzekerheid legt extra druk op onderzoekers om te achterhalen waar de resterende fondsen zijn gebleven voordat ze via verdere transacties worden verspreid. Tot de waarde van de bevroren tokens, de bevindingen van Ledgers onderzoek en de resultaten van de apparaatinspecties openbaar worden gemaakt, zal de uiteindelijke omvang van het herstel onduidelijk blijven.