Ledger współpracuje z organami ścigania po tym, jak użytkownicy jego portfeli sprzętowych zgłosili w zeszłym tygodniu utratę środków, a jeden z klientów otrzymał naruszone urządzenie, choć paryski producent uspokoił klientów, że liczba dotkniętych produktów była „ograniczona”.

W ogłoszeniu opublikowanym w niedzielę firma poinformowała, że skontaktowała się również bezpośrednio z poszkodowanymi klientami.

Śledztwo rozpoczęło się po tym, jak Ledger oświadczył w piątek, że bada zgłoszenia klientów z Azji Południowo-Wschodniej, którzy stracili środki po zakupie urządzeń u odsprzedawcy. W sobotę firma poinformowała, że potwierdziła obecność nieautoryzowanego implantu sprzętowego w urządzeniu jednego z poszkodowanych użytkowników.

Portfele sprzętowe zostały zaprojektowane tak, aby przechowywać klucze prywatne użytkowników offline, podpisując transakcje bez ujawniania danych uwierzytelniających kontrolujących ich środki. Ten model bezpieczeństwa zależy od tego, że urządzenie dotrze do użytkownika nienaruszone, więc nieautoryzowany implant wbudowany w sprzęt wykracza poza zagrożenia, przed którymi ma on chronić.

Ledger nie potwierdził, ile pieniędzy utracono, ale badacz blockchaina Specter oświadczył, że z urządzeń wyprowadzono 86 milionów dolarów.

„W miarę kontynuowania śledztwa współpracujemy z właściwymi organami” — napisał Ledger w niedzielę w ogłoszeniu na X. Jego konto Ledger Support udostępniało dodatkowe informacje, w tym kolejny wpis na tej platformie.

Firma dodała: „Ponadto zdecydowanie odradzamy użytkownikom zakupy u nieautoryzowanych odsprzedawców, gdzie ryzyko zakupu podejrzanych, podrobionych lub zmodyfikowanych urządzeń jest istotne, ponieważ nic z tego nie działa zgodnie z wytycznymi bezpieczeństwa Ledger.

„Bezpieczeństwo nie jest stałe, a ten incydent podkreśla, dlaczego stale przeglądamy i wzmacniamy nasze procesy dystrybucji oraz ochrony przed manipulacją.”

Klienci z Azji Południowo-Wschodniej zgłosili w zeszłym tygodniu utratę środków po zakupie urządzeń od CryptoBilis, sprzedawcy z siedzibą w Kuala w Malezji. Ledger doradził klientom, którzy kupili od CryptoBilis, aby nie konfigurowali swoich urządzeń, jak wcześniej informowało Bitcoin Magazine. Według ogłoszenia z niedzieli CryptoBilis od tego czasu wstrzymał sprzedaż portfeli sprzętowych.

To rozróżnienie ma znaczenie, ponieważ phishing polega na nakłanianiu użytkowników do oddania danych uwierzytelniających online, podczas gdy implant znajduje się wewnątrz sprzętu od momentu rozpakowania urządzenia, jeszcze przed rozpoczęciem konfiguracji.

Użytkownicy w mediach społecznościowych publikowali dowody fotograficzne implantów zamontowanych wewnątrz produktów Ledger, twierdząc, że modyfikacje mogły ujawnić klucze prywatne użytkowników. Nie wiadomo, ile urządzeń podpisujących Ledger zawierało implant.

Ani Ledger, ani CryptoBilis nie odpowiedzieli od razu na pytania Bitcoin Magazine. Przy trwającym śledztwie należy obserwować, co ujawnią organy ścigania oraz czy zostanie potwierdzona ostateczna liczba urządzeń i zweryfikowana kwota strat.

Bezpieczeństwo portfeli sprzętowych jest pod szczególną kontrolą od czasu, gdy hakerzy ukradli w lipcu blisko 120 milionów dolarów w bitcoinie użytkownikom Coldcard, jak wówczas relacjonował Bitcoin Magazine. Urządzenia, wyprodukowane przez kanadyjską firmę Coinkite, zawierały błąd oprogramowania układowego prowadzący do wadliwej generacji frazy seed, co pozwoliło hakerom w efekcie odgadnąć frazy seed inwestorów.

W odrębnym incydencie w zeszłym miesiącu producent portfeli sprzętowych Trezor poinformował, że dane blisko 81 000 klientów zostały wycieknione po kradzieży danych u jego zewnętrznego partnera realizującego dostawy, jak relacjonował Bitcoin Magazine.

Przestępcy celują w dane klientów przez cały rok — oszuści pozyskiwali informacje za pośrednictwem Global-e, procesora płatności używanego przez Ledger, aby wysyłać e-maile phishingowe. Te incydenty łącznie pokazują, że powierzchnia ataku rozciąga się na całą drogę, jaką przebywa urządzenie — oprogramowanie układowe, realizację dostaw, przetwarzanie płatności i kanały odsprzedaży.

Ten artykuł napisał Mathew Di Salvo, a po raz pierwszy ukazał się w Bitcoin Magazine.