Podejrzewane kradzieże związane z portfelami sprzętowymi Ledger zbliżają się do 90 mln USD, a emitent stablecoina Tether rozpoczął zamrażanie USDT powiązanego z incydentem — według badaczy blockchain.

W oświadczeniu z 9 października producent sprzętowych portfeli kryptowalutowych poinformował, że bada doniesienia o utracie środków przez klientów po zakupie urządzeń w CryptoBilis, autoryzowanym dystrybutorze działającym w Azji Południowo-Wschodniej. Ze środków ostrożności Ledger poprosił dystrybutora o natychmiastowe wstrzymanie sprzedaży i wysyłek swoich portfeli sprzętowych na czas trwania dochodzenia.

Wskazówki dla dotkniętych incydentem klientów

Ledger zalecił klientom, którzy kupili urządzenia w CryptoBilis w ciągu ostatnich 90 dni, aby ich nie inicjalizowali, jeśli nie ukończyli jeszcze konfiguracji. Osoby, które już skonfigurowały swoje portfele, zostały wezwane do rozważenia przeniesienia kryptowalut na nowe urządzenie Ledger zainicjalizowane z nową frazą odzyskiwania.

CryptoBilis widnieje w oficjalnym katalogu dystrybutorów Ledger dla Malezji, Indonezji i Filipin. Klienci kupujący przez autoryzowane kanały dystrybucji zazwyczaj polegają na tych relacjach, aby zmniejszyć ryzyko otrzymania podrobionego lub naruszonego sprzętu. Portfele sprzętowe zajmują szczególne miejsce w tym modelu zaufania, ponieważ użytkownicy kupują je, aby przechowywać klucze prywatne offline; naruszenie wprowadzone w dowolnym miejscu łańcucha dystrybucji podważałoby właśnie tę ochronę, którą zakup ma zapewniać.

Reakcje postaci branży kryptowalut

Incydent przyciągnął uwagę założyciela Binance Changpenga Zhao, któryzegł użytkowników przed zachowaniem ostrożności, szczególnie jeśli niedawno kupili urządzenie Ledger.

"Based on information so far, it seems to be localized to a supply chain attack with one vendor" — napisał na X.

Zhao zasugerował, że ograniczona liczba klientów mogła otrzymać podrobione lub naruszone urządzenia, podkreślając jednocześnie wieloletnią reputację Ledger w zakresie bezpieczeństwa. Wezwał również do współpracy w całej branży kryptowalut w celu zidentyfikowania podejrzanych sprawców i odzyskania skradzionych aktywów.

"I expect and know all BNB ecosystem players (and all industry) to help trace and recover the funds" — dodał.

Tymczasem były CEO Mt. Gox Mark Karpelès bada, czy do urządzeń rozdystrybuowanych do klientów nie zostały wbudowane złośliwe komponenty sprzętowe. Karpelès poprosił CryptoBilis o otwarcie części niesprzedanych portfeli Ledger, aby móc sprawdzić ich wewnętrzne płytki drukowane pod kątem możliwych implantów szpiegowskich lub innych nieautoryzowanych modyfikacji.

Ograniczenia uwierzytelniania w centrum uwagi

Ta obawa zwraca uwagę na ograniczenie procesu uwierzytelniania sprzętu Ledger. Dokumentacja bezpieczeństwa firmy przyznaje, że system Genuine Check weryfikuje Secure Element urządzenia, ale niekoniecznie jest w stanie wykryć fizyczne modyfikacje w innych częściach sprzętu, jeśli oryginalny chip bezpieczeństwa pozostaje nienaruszony. Oznacza to, że fizycznie zmodyfikowane urządzenie może przejść uwierzytelnianie, nawet jeśli zawiera nieautoryzowane komponenty. Dla klientów to ograniczenie ma istotne znaczenie: Genuine Check to weryfikacja dostępna przy konfiguracji nowego urządzenia, a jej pozytywny wynik nie wyklucza manipulacji w innych częściach sprzętu.

Brak potwierdzonych dowodów na to, że złośliwe implanty sprzętowe spowodowały zgłaszane kradzieże. Ledger nie ujawnił, ile urządzeń mogło zostać naruszonych ani nie ustalił, czy incydent wynikał z podrobionego sprzętu, fizycznej manipulacji czy innej metody ataku.

Badacze ścigają się z czasem, aby ograniczyć straty

Podczas gdy Ledger bada podejrzewane źródło naruszeń, badacze blockchain pracują nad śledzeniem i ograniczaniem przepływu skradzionych kryptowalut.

Badacz on-chain Specter poinformował, że analiza transakcji zidentyfikowała wpływy z setek podejrzewanych portfeli poszkodowanych na adresy w sieciach Bitcoin, Ethereum i Tron. Specter początkowo oszacował, że podejrzewane kradzieże przekroczyły 86 mln USD, jednak firma zajmująca się bezpieczeństwem blockchain MistTrack później oszacowała zgłaszane straty na bliżej 90 mln USD.

Te szacunki nie zostały niezależnie zweryfikowane, a badacze nie ustalili, czy każdy portfel uwzględniony w obliczeniach został naruszony w ramach tej samej operacji.

MistTrack poinformował, że zaobserwował zamrażanie przez Tether USDT powiązanego z incydentem oraz że kilku dotkniętych użytkowników skontaktowało się z jego zespołem w celu uzyskania pomocy.

Co zamrażanie może, a czego nie może

Zamrożenie oferuje potencjalną drogę odzysku, ponieważ USDT zawiera mechanizmy administracyjne pozwalające Tetherowi ograniczać transfery z wyznaczonych adresów. Po zamrożeniu adresu użytkownicy nie mogą przenosić dotkniętego USDT zwykłymi transcjami blockchain, dopóki ograniczenie nie zostanie zniesione. Ta zdolność może pomóc w zapobieganiu przenoszeniu skradzionych środków na kolejne portfele lub ich konwersji na inne kryptowaluty, podczas gdy badacze pracują nad ustaleniem własności.

Interwencja ma jednak ograniczenia. Podejrzewane kradzieże obejmują kilka sieci blockchain i dotyczą aktywów wykraczających poza USDT. Tether nie może bezpośrednio zamrozić natywnego Bitcoina ani Ethereum, co pozostawia badaczy zależnych od współpracy giełd, depozytariuszy i organów ścigania, jeśli te aktywa trafią do identyfikowalnych usług.

Zamrożenie USDT nie zwraca również automatycznie tokenów ich pierwotnym właścicielom. Jakiekolwiek odszkodowanie wymagałoby dalszej weryfikacji i koordynacji z odpowiednimi organami lub kontrahentami.

MistTrack nie ujawnił wartości dolarowej zamrożonych tokenów, co uniemożliwia określenie, jaka część blisko 90 mln USD zgłaszanych strat może ostatecznie zostać odzyskana. Ta niepewność zwiększa presję na badaczy, aby zidentyfikowali, gdzie trafiły pozostałe środki, zanim zostaną rozproszone w kolejnych transakcjach. Dopóki nie zostaną ujawnione wartość zamrożonych tokenów, wyniki dochodzenia Ledger oraz efekty inspekcji urządzeń, ostateczna skala odzysku pozostanie nieznana.