Crypto-investeerders in Singapore hebben in totaal circa S$3,5 miljoen (2,7 miljoen dollar) verloren door de aankoop van gemanipuleerde Ledger hardware wallets, volgens de Singaporese politie. In een advies van 28 oktober bevestigden de autoriteiten ten minste twee gevallen en meldden zij dat de eerste klachten op 10 september binnenkwamen — bijna een maand voordat de grotere beveiligingsinbreuk in oktober openbaar werd.

Voorlopig onderzoek wees uit dat zich kwaadaardige componenten in Ledger-apparaten bevonden die bij bepaalde winkels in Singapore waren gekocht. Dit soort aanpassingen valt onder wat wordt omschreven als een supply chain-compromittering, waarbij afzonderlijke apparaten fysiek worden gewijzigd ergens tussen productie en verkooppunt, in plaats van dat ze na installatie via software worden aangevallen.

Ongeautoriseerde hardware legde herstelzinnen en privésleutels vast

Onderzoekers ontdekten dat de gecompromitteerde apparaten ongeautoriseerde hardware bevatten die herstelzinnen en privésleutels kon vastleggen. Met die informatie konden aanvallers toegang krijgen tot crypto-bezittingen en geld overmaken zonder toestemming van de eigenaren.

Hardware wallets zijn ontworpen om digitale assets te beschermen door privésleutels offline te houden. De incidenten in Singapore laten zien hoe fysieke manipulatie die bescherming kan ondermijnen voordat klanten hun apparaten zelfs maar gaan gebruiken. Omdat een herstelzin gebruikers in staat stelt de toegang tot hun bezittingen te herstellen, kan iedereen die deze zin bemachtigt in principe de controle over de bijbehorende wallet overnemen en de assets verplaatsen — daarom wordt de zin zelf beschouwd als het meest gevoelige Credentials in self-custody-regelingen.

Ledger schort regionale verkopen op tijdens onderzoek

Ledger begon eerder in oktober met onderzoek naar meldingen over apparaten die via de Zuidoost-Aziatische reseller CryptoBilis waren gedistribueerd. Op 10 oktober bevestigde het bedrijf een ongeautoriseerd hardware-implantaat in ten minste één getroffen apparaat. Op 13 oktober verzocht Ledger om een tijdelijke opschorting van de verkoop via regionale resellers en distributeurs — een voorzorgsmaatregel die Singapore, Maleisië, Indonesië, Thailand, de Filipijnen, Vietnam en Hong Kong besloeg.

Het bedrijf heeft de getroffen gevallen bekeken terwijl het samenwerkte met de Singaporese autoriteiten, hoewel de volledige omvang van de vermoede supply chain-compromittering onzeker blijft. Of er in de zeven gedekte jurisdicties nog meer getroffen apparaten boven water komen, is een van de openstaande vragen nu dat onderzoek voortduurt.

Politie dringt erop aan dat gebruikers hun resterende assets beschermen

De Singaporese politie adviseerde crypto-houders om geen apparaten te gebruiken die verdacht worden van manipulatie, geen herstelzinnen in te voeren en geen transacties meer uit te voeren via mogelijk gecompromitteerde hardware.

Waar Credentials mogelijk waren blootgesteld, raadden de autoriteiten aan om de resterende crypto over te zetten naar een vertrouwde wallet met een nieuw gegenereerde herstelzin, waarbij de overdracht via een ongecompromitteerd apparaat moest plaatsvinden.

De zaak benadrukt de groeiende zorgen over de distributiekanalen van crypto hardware wallets en laat zien dat zelfs apparaten die zijn ontworpen voor offline beveiliging investeerders aan aanzienlijke verliezen kunnen blootstellen wanneer aanvallers fysieke producten saboteren vóór levering. Voor investeerders onderstreept dit het belang van het verifiëren van de authenticiteit van apparaten en het opvolgen van beveiligingsadviezen van fabrikanten.

De Singaporese politie onderzoekt de gemelde verliezen verder terwijl Ledger de getroffen wallets beoordeelt. Hoeveel apparaten zijn getroffen, waar in de distributieketen de manipulatie plaatsvond en wanneer de regionale resellerverkopen mogelijk hervat worden, behoren tot de details die nog onopgehelderd zijn.