De Singaporese autoriteiten hebben kwaadaardige hardwarecomponenten aangetroffen in Ledger cryptocurrency-wallets die via retailkanalen in de stadstaat zijn aangeschaft, volgens een advies dat de Singaporese politie (SPF) woensdag heeft uitgegeven. Sinds 10 september zijn ten minste twee gevallen gemeld, met een gecombineerd verlies van ongeveer S$3,5 miljoen, of zo'n $2,7 miljoen.

De bevinding raakt aan de kern van het concept van hardware wallets, die zijn ontworpen om de privésleutels die cryptocurrency-bezittingen beheren offline te houden, waarbij een herstelzin — de woordenreeks waarmee een wallet op een nieuw apparaat kan worden hersteld — dient als de hoofdback-up van die sleutels. Uit voorlopig onderzoek bleek dat sommige componenten konden worden gebruikt om herstelzinnen of privésleutels te onderscheppen, waardoor onbevoegden de wallets konden openen en activa konden verplaatsen zonder kennis of toestemming van de eigenaren. Het advies noemde geen specifieke winkels.

De politie zei contact te hebben met Ledger, dat de getroffen gevallen onderzoekt, terwijl het eigen onderzoek van de politie voortduurt.

SPF dringt aan op voorzichtigheid met herstelzinnen

In het advies waarschuwde de SPF gebruikers geen herstelzinnen in te voeren of transacties te doen op apparaten waarvan zij vermoeden dat deze zijn gecompromitteerd. De politie waarschuwde ook Sleutels of seedzinnen niet aan iemand te geven, waaronder personen die zich voordoen als wallet-aanbieders, exchanges of politieagenten.

Singaporese meldingen gaan de waarschuwing van 9 oktober ongeveer een maand vooraf

De eerste Singaporese melding werd ongeveer een maand ingediend voordat het bredere incident op 9 oktober openbaar werd, toen Ledger verzocht CryptoBilis, een geautoriseerde reseller actief in Indonesië, Maleisië en de Filipijnen, de verkoop en verzending stop te zetten.

Destijds meldde Cryptopolitan dat naar verluidt meer dan $86 miljoen aan Bitcoin, Ethereum en Tron was gestolen uit wallets die door de winkel waren verkocht. Ledger heeft dat bedrag niet bevestigd.

Op 10 oktober zei Ledger op X dat het een ongeautoriseerde hardware-implant had ontdekt op het apparaat van een klant. De chip, verborgen in de behuizing van een Nano X, las de herstelzin van 24 woorden van het scherm tijdens de installatie en verzond deze via een ingebouwde SIM over LTE.

Het Donjon-beveiligingsteam van Ledger verklaarde dat de chip de Secure Element, het besturingssysteem of het ondertekeningsproces niet aantastte, en dat dit de reden is waarom het de "Genuine Check"-echtheidstest van het bedrijf nooit activeerde.

In de dagen daarna kwamen twee aan Singapore gerelateerde claims aan het licht. Mark Karpelès, voormalig chief executive van Mt. Gox, zei dat hij een Ledger Flex had gekocht op een vliegveld in Singapore die een spionagemplant bevatte. Een andere eigenaar meldde dat een exemplaar dat was gekocht bij de lokale IT-retailer Challenger was geknoeid, en Ledger stuurde later een vervangend exemplaar.

Op 13 oktober verzocht Ledger retailers in Indonesië, Singapore, Thailand, de Filipijnen, Vietnam, Maleisië en Hongkong de verkoop van zijn producten op te schorten.

In een bericht op 28 oktober zei het bedrijf dat alle bevestigde verliezen betrekking hadden op apparaten die via een beperkt aantal resellers waren verkocht. Het heeft geen verlies bevestigd dat gekoppeld is aan een apparaat dat buiten Zuidoost-Azië is gekocht, en ziet geen aanwijzing dat zijn infrastructuur, systemen of directe verkoopkanaal zijn gecompromitteerd.

"Bedragen die online circuleren komen van derden en Ledger heeft ze niet volledig geverifieerd", zei het bedrijf op 22 oktober.

Ledger's langetermijnantwoord: Atom

De meer duurzame oplossing van Ledger is de Atom, een apparaat van $849 dat het bedrijf op 15 oktober onthulde tijdens zijn Op3n-evenement in Parijs. De Atom wordt pas ten vroegste in de zomer van 2027 geleverd, en de anti-knoei beschermingen ervan worden niet achteraf geïnstalleerd op reeds in omloop zijnde Nano-, Flex- en Stax-apparaten. Tot het politieonderzoek en het onderzoek van Ledger zijn afgerond, zou een toekomstig advies waarin de betrokken winkels worden genoemd het duidelijkste signaal tot nu toe zijn voor eigenaren die proberen te bepalen of hun apparaten binnen de getroffen verkoopkanalen vallen.