Producent portfeli sprzętowych Ledger poinformował w piątek, że bada doniesienia o skradzionych środkach związanych z urządzeniami sprzedawanymi przez odsprzedawcę z Azji Południowo-Wschodniej, ponieważ podejrzewana kradzież o wartości 86 milionów dolarów może dołączyć do rosnących w tym roku strat branży spowodowanych exploatacjami.

Firma bada doniesienia, że z setek portfeli powiązanych z urządzeniami sprzedawanymi przez CryptoBilis, odsprzedawcę z Azji Południowo-Wschodniej, mogły zostać skradzione kryptowaluty o wartości ponad 86 milionów dolarów, choć straty i ten związek nie zostały niezależnie zweryfikowane.

Ledger poprosił CryptoBilis o wstrzymanie sprzedaży i wysyłek oraz odradził niedawnym nabywcom konfigurowanie urządzeń. Klienci, którzy już aktywowali portfele, zgodnie z zaleceniem firmy powinni rozważyć przeniesienie swoich środków na nowe urządzenie z nowo wygenerowaną frazą odzyskiwania. Jednym z możliwych wyjaśnień jest atak na łańcuch dostaw z udziałem naruszonych urządzeń, jednak przyczyna, liczba poszkodowanych użytkowników oraz całkowite straty pozostają niepotwierdzone.

Co zgłosili śledczy i Ledger

Anonimowy śledczy blockchainowy Specter oświadczył na X, że z setek portfeli mogły zostać skradzione kryptowaluty o wartości ponad 86 milionów dolarów. Nie było żadnego niezależnego potwierdzenia kwoty zagrożonych aktywów użytkowników.

Specter powiedział, że śledził podejrzane adresy kradzieży w sieciach Bitcoin, Ethereum i Tron po zobaczeniu zgłoszeń od użytkowników Ledgera na X i Reddit. Nadal nie jest jasne, czy te incydenty są ze sobą powiązane ani co spowodowało straty.

Ledger przyznał w poście na X, że otrzymał zgłoszenia o brakujących środkach od klientów, którzy kupili urządzenia poprzez CryptoBilis, odsprzedawcę z Azji Południowo-Wschodniej, ale nie potwierdził podanej kwoty strat ani nie wskazał przyczyny.

Jako środek ostrożności firma poinformowała, że poprosiła CryptoBilis o wstrzymanie całej sprzedaży i wysyłek na czas trwania dochodzenia. Ledger odradził klientom, którzy kupili urządzenia od odsprzedawcy w ciągu ostatnich 90 dni, rozpoczęcie ich konfiguracji. Osoby, które już aktywowali swoje portfele, powinny — zgodnie z zaleceniem firmy — rozwa przeniesienie środków na nowe urządzenie Ledger z nowo wygenerowaną frazą odzyskiwania.

Możliwy atak na łańcuch dostaw

Jednym z możliwych wyjaśnień jest atak na łańcuch dostaw, w którym portfele sprzętowe są naruszane przed dotarciem do klientów. Na przykład atakujący mógł dostarczyć urządzenie z frazą odzyskiwania, którą zna już wcześniej, co pozwoliłoby mu na dostęp do środków wpłaconych do portfela w późniejszym terminie. Fraza odzyskiwania to sekwencja słów, która tworzy kopię zapasową portfela sprzętowego i kontroluje dostęp do jego środków; z założenia ma być generowana na samym urządzeniu, tak aby nikt inny jej nie znał.

Taki scenariusz różniłby się od naruszenia własnych systemów Ledgera. Nie ma jednak potwierdzenia, że naruszenie urządzeń lub z góry wygenerowane frazy odzyskiwania spowodowały zgłaszane straty, ani potwierdzonych dowodów na to, że własne systemy Ledgera lub technologia portfeli zostały skompromitowane.

Incydent pozostaje w trakcie dochodzenia i nie jest jasne, ilu użytkowników zostało poszkodowanych, czy zgłaszane kradzieże są ze sobą powiązane ani ile kryptowalut utracono. Ledger oświadczył, że będzie udzielać informacji w miarę postępów dochodzenia.

Trudny rok dla bezpieczeństwa krypto

Podejrzewana kradzież może dołączyć do już trudnego roku dla bezpieczeństwa kryptowalut. W zeszłym miesiącu giełda kryptowalut Bitget padła ofiarą exploatacji, w wyniku której skradziono aktywa o wartości ponad 350 milionów dolarów. Do innych poważnych incydentów należały Liquid Network z kwotą około 320 milionów dolarów, Drift z 295 milionami i Kelp z 293 milionami, według danych DefiLlama. W razie potwierdzenia domniemane straty związane z Ledgerem byłyby mniejsze niż każda z tych exploatacji, ale incydent jest godny uwagi ze względu na dotknięty segment: portfele sprzętowe, czyli urządzenia offline, które wielu posiadaczy wykorzystuje właśnie po to, aby trzymać swoje środki z dala od giełd i innych platform internetowych.

O Ledgerze

Założony w 2014 roku z siedzibą w Paryżu, Ledger jest jednym z czołowych producentów portfeli sprzętowych — urządzeń, które przechowują klucze prywatne służące do dostępu do kryptowalut w trybie offline. Firma twierdzi, że sprzedała na całym świecie ponad 7 milionów urządzeń, a jej produkty są szeroko wykorzystywane przez inwestorów chcących chronić swoje kryptowaluty bez polegania na giełdach.

To sprawia, że każde potencjalne zagrożenie bezpieczeństwa związane z jej produktami jest istotne dla szerszego rynku krypto. W tym przypadku dochodzenie dotyczy jednak urządzeń sprzedawanych przez zewnętrznego odsprzedawcę, a nie kanałów samego Ledgera. Urządzenia kupione bezpośrednio u producenta trafiają z produkcji prosto do klienta, podczas gdy jednostki odsprzedawane przechodzą przez pośredników, zanim dotrą do nabywców — to różnica, która stanowi sedno obecnego dochodzenia.

AKTUALIZACJA (9 października, 14:58 UTC): dodano dalsze informacje o Ledgerze.

Źródło: CoinDesk