Ledger wprowadził ostrzejszą kontrolę sprzedaży portfeli sprzętowych po tym, jak przestępcy zmodyfikowali oryginalne urządzenia i wykorzystali je do kradzieży kryptowalut. W oświadczeniu z 15 października firma potwierdziła zakaz odsprzedaży zwróconych portfeli i nakazała detalistom przechowywanie nowych urządzeń poza półkami ekspozycyjnymi. Decyzja nastąpiła po odkryciu, że ukryte komponenty wszczepione w odsprzedawane portfele przechwytywały 24-wyrazowe frazy odzyskiwania klientów i przesyłały je przez sieci komórkowe.

Przestępcy zmodyfikowali urządzenia przed odsprzedażą

Ledger poinformował, że atakujący kupili oryginalne portfele, zamontowali w nich ukte komponenty, a następnie zwrócili je do kanałów odsprzedaży w Azji Południowo-Wschodniej. Według firmy grupa spędziła miesiące na przygotowaniu operacji i zbudowała systemy do zbierania fraz odzyskiwania oraz transferu skradzionych środków.

Operacja pokazuje, jak manipulacja w łańcuchu dostaw może pokonać portfel sprzętowy bez ingerencji w jego kryptografię: fraza odzyskiwania to główna kopia zapasowa, która pozwala przywrócić konta portfela na dowolnym zgodnym urządzeniu, więc samo przechwycenie tych 24 słów wystarcza do przejęcia kontroli nad środkami.

Śledztwo rozpoczęło się 9 października, po tym jak klienci zgłosili brakujące aktywa z urządzeń sprzedanych przez CryptoBilis, odsprzedawcę z siedzibą w Malezji. Wcześniejsze śledztwo w sprawie kradzieży portfeli Ledger powiązało zgłoszenia z tym odsprzedawcą, który następnie wstrzymał sprzedaż.

Jak działały ukryte implanty

Zespół bezpieczeństwa Ledgera znalazł implant, który kopiował 24-wyrazową frazę odzyskiwania wyświetlaną podczas konfiguracji portfela. Komponent przesyłał następnie te słowa przez połączenie danych komórkowych przy użyciu wbudowanej elektronicznej karty SIM. Firma podała, że układ bezpieczeństwa i system operacyjny urządzenia pozostały nienaruszone.

Ten szczegół umiejscawia atak na etapie konfiguracji, gdy fraza jest wyświetlana w celu zapisania jej przez właściciela, a nie wewnątrz bezpiecznego sprzętu urządzenia.

Założyciel Binance Changpeng Zhao ostrzegł na X 9 października, że dowody wskazywały na atak poprzez jednego sprzedawcę, a nie na problem dotyczący wszystkich portfeli Ledger.

Szacunki strat rosną, gdy śledczy śledzą środki

Badacz blockchaina Specter początkowo oszacował straty na ponad 86 milionów dolarów. Jednak aktualizacja Bitquery z 15 października prześledziła 102 miliony dolarów skradzionych śroów z 324 portfeli w sześciu sieciach. Wcześniejsze potwierdzenie manipulacji przy urządzeniach ustaliło, że śledczy znaleźli nieautoryzowany komponent. Ledger nie potwierdził łącznej wysokości strat ani liczby poszkodowanych klientów.

Bitquery poinformował, że Tether zamroził 10 milionów dolarów w USDT powiązanych z kradzieżą. Śledztwo prześledziło także skradzione środki przez giełdy wymiany i usługi prywatności. Badacze liczyli portfele, a nie pojedynczych klientów, i zauważyli, że jedna osoba mogła kontrolować kilka dotkniętych adresów.

Ledger zmienia dystrybucję i wytyczne dla klientów

Ledger podał, że jego zespoły zbadały urządzenia ze sklepów w Niemczech oraz zapasy przechowywane w magazynach, a te próbki nie wykazały manipulacji. W aktualizacji na X z 14 października firma wezwała do wstrzymania sprzedaży na siedmiu rynkach, w tym w Hongkongu. Odsprzedawcy w Azji zawiesili sprzedaż portfeli, podczas gdy trwało śledztwo.

Nowe zasady postępowania koncentrują się na etapie odsprzedaży, czyli punkcie, w którym zmodyfikowane urządzenia trafiły do łańcucha dostaw w tej sprawie, utrzymując urządzenia w kontrolowanym magazynie do momentu sprzedaży.

Zgodnie z nowymi zasadami autoryzowani sprzedawcy muszą przechowywać portfele poza publicznymi półkami i wręczać urządzenia kupującym przy zakupie. Ledger odradza klientom CryptoBilis konfigurowanie nieużywanych urządzeń, a osoby, które już je zainicjowały, powinny przenieść aktywa do nowego portfela z nową frazą odzyskiwania. Otwarte kwestie w sprawie obejmują potwierdzoną łączną wysokość strat — Ledger nie potwierdził kwoty 102 milionów dolarów podanej przez Bitquery — oraz to, czy dodatkowe skradzione środki zostały zamrożone poza 10 milionami dolarów w USDT, które Tether już zablokował.