Singapurskie władze zidentyfikowały złośliwe komponenty sprzętowe w portfelach kryptowalutowych Ledger kupionych w kanałach detalicznych w tym mieście-państwie — wynika z ostrzeżenia wydanego w środę przez Singapurską Policję (SPF). Od 10 września zgłoszono co najmniej dwa przypadki, obejmujące łączne straty w wysokości około 3,5 mln S$, czyli około 2,7 mln USD.

To odkrycie uderza w podstawową zasadę portfeli sprzętowych, które mają przechowywać klucze prywatne kontrolujące aktywa kryptowalutowe offline, przy czym fraza odzyskiwania — sekwencja słów pozwalająca przywrócić portfel na nowym urządzeniu — stanowi główną kopię zapasową tych kluczy. Wstępne śledztwo wykazało, że niektóre komponenty mogły służyć do przechwytywania fraz odzyskiwania lub kluczy prywatnych, umożliwiając osobom nieuprawnionym otwieranie portfeli i przenoszenie aktywów bez wiedzy lub zgody właścicieli. Ostrzeżenie nie wymieniło żadnych konkretnych sklepów.

Policja poinformowała, że pozostaje w kontakcie z firmą Ledger, która bada dotknięte przypadki, podczas gdy własne śledztwo sił policyjnych trwa.

SPF wzywa do ostrożności przy frazach odzyskiwania

W ostrzeżeniu SPF odradził użytkownikom wpisywanie fraz odzyskiwania i dokonywanie transakcji na urządzeniach, które mogą być naruszone. Policja ostrzegła także przed przekazywaniem kluczy lub fraz seed każdemu, w tym osobom podszywającym się pod dostawców portfeli, giełdy lub funkcjonariuszy policji.

Singapurskie zgłoszenia wyprzedziły alert z 9 października o około miesiąc

Pierwsze singapurskie zgłoszenie złożono około miesiąca przed upublicznieniem szerszego incydentu 9 października, kiedy to Ledger poprosił CryptoBilis, autoryzowanego sprzedawcę działającego w Indonezji, Malezji i na Filipinach, o wstrzymanie sprzedaży i wysyłek.

Wówczas Cryptopolitan poinformował, że z portfeli sprzedawanych przez ten sklep rzekomo skradziono bitcoiny, ethereum i Tron o wartości ponad 86 mln USD. Ledger nie potwierdził tej kwoty.

10 października Ledger poinformował na X, że odkrył nieautoryzowany implant sprzętowy na urządzeniu jednego z klientów. Ukryty wewnątrz obudowy Nano X układ odczytywał 24-wyrazową frazę odzyskiwania z ekranu podczas konfiguracji i przesyłał ją przez wbudowaną kartę SIM za pośrednictwem LTE.

Zespół bezpieczeństwa Donjon firmy Ledger stwierdził, że układ nie wpływał na Secure Element, system operacyjny ani proces podpisywania — dlatego nigdy nie uruchomił firmowego testu autentyczności „Genuine Check".

W kolejnych dniach wyszły na jaw dwa zgłoszenia związane z Singapurem. Mark Karpelès, były dyrektor generalny Mt. Gox, powiedział, że kupił Ledger Flex na lotnisku w Singapurze, który zawierał implant szpiegowski. Inny właściciel zgłosił, że egzemplarz zakupiony w lokalnym sprzedawcy IT Challenger był naruszony, a Ledger później wysłał wymianę.

13 października Ledger poprosił sprzedawców detalicznych w Indonezji, Singapurze, Tajlandii, na Filipinach, w Wietnamie, Malezji i Hongkongu o wstrzymanie sprzedaży swoich produktów.

W wpisie z 28 października firma podała, że wszystkie potwierdzone straty dotyczyły urządzeń sprzedanych przez ograniczoną liczbę sprzedawców. Nie potwierdziła ona żadnego opróżnienia powiązanego z urządzeniem kupionym poza Azją Południowo-Wschodnią i nie widzi wskazówek, że jej infrastruktura, systemy lub bezpośredni kanał sprzedaży zostały naruszone.

„Kwoty krążące w internecie pochodzą od osób trzecich i Ledger niezweryfikował ich w pełni", podała firma 22 października.

Długofalowa odpowiedź Ledgera: Atom

Trwalszym rozwiązaniem Ledgera jest Atom, urządzenie za 849 USD, które firma zaprezentowała podczas wydarzenia Op3n w Paryżu 15 października. Atom nie trafi do sprzedaży przed latem 2027 roku, a jego zabezpieczenia przed ingerencją nie zostaną wdrożone w już krążących egzemplarzach Nano, Flex i Stax. Dopóki śledztwo policyjne i dochodzenie Ledgera się nie zakończą, ewentualne przyszłe ostrzeżenie wymieniające zaangażowane sklepy byłoby dla właścicieli starających się ustalić, czy ich urządzenia pochodzą z dotkniętych kanałów detalicznych, najwyraźniejszym sygnałem.