Inwestorzy kryptowalutowi w Singapurze stracili około 3,5 mln dolarów singapurskich (2,7 mln USD) po zakupie sfałszowanych portfeli sprzętowych Ledger – według singapurskiej policji. W komunikacie opublikowanym 28 października władze potwierdziły co najmniej dwa przypadki i poinformowały, że skargi zaczęły napływać 10 września – niemal miesiąc przed ujawnieniem szerszego naruszenia bezpieczeństwa w październiku.

Wstępne śledztwo wykryło złośliwe komponenty w urządzeniach Ledger kupionych w niektórych sklepach detalicznych w Singapurze. Tego rodzaju modyfikacje mieszczą się w ramach tzw. naruszenia łańcucha dostaw, w którym poszczególne egzemplarze są fizycznie modyfikowane na etapie między produkcją a punktem sprzedaży, a nie atakowane za pomocą oprogramowania po konfiguracji.

Nieautoryzowany sprzęt przechwytywał frazy odzyskiwania i klucze prywatne

Śledczy odkryli, że naruszone urządzenia zawierały nieautoryzowany sprzęt zdolny do przechwytywania fraz odzyskiwania i kluczy prywatnych. Posiadając te informacje, atakujący mogli uzyskać dostęp do posiadanych kryptowalut i przesyłać środki bez zgody właścicieli.

Portfele sprzętowe mają chronić aktywa cyfrowe poprzez przechowywanie kluczy prywatnych offline. Singapurskie incydenty pokazują, jak fizyczna ingerencja może podważyć tę ochronę, zanim klienci w ogóle zaczną korzystać z urządzeń. Ponieważ fraza odzyskiwania pozwala użytkownikom przywrócić dostęp do swoich zasobów, każdy, kto ją zdobędzie, może teoretycznie przejąć kontrolę nad powiązanym portfelem i przenieść jego aktywa – dlatego fraza ta jest traktowana jako najbardziej wrażliwy element poświadczeń w rozwiązaniach self-custody.

Ledger wstrzymuje sprzedaż regionalną w związku ze śledztwem

Na początku października Ledger rozpoczął badanie zgłoszeń dotyczących urządzeń dystrybuowanych przez południowoazjatyckiego odsprzedawcę CryptoBilis. 10 października firma potwierdziła nieautoryzowany implant sprzętowy w co najmniej jednym dotkniętym urządzeniu. Do 13 października Ledger poprosił o tymczasowe wstrzymanie sprzedaży przez regionalnych odsprzedawców i dystrybutorów – środek ostrożności obejmujący Singapur, Malezję, Indonezję, Tajlandię, Filipiny, Wietnam i Hongkong.

Firma analizuje dotknięte przypadki, współpracując ze singapurskimi władzami, choć pełen zakres podejrzewanego naruszenia łańcucha dostaw pozostaje nieznany. Czy w siedmiu objętych środkiem jurysdykcjach pojawią się kolejne dotknięte egzemplarze – to jedno z otwartych pytań w toku prowadzonych ustaleń.

Policja wzywa użytkowników do ochrony pozostałych aktywów

Singapurska policja doradziła posiadaczom kryptowalut zaprzestanie używania urządzeń podejrzewanych o ingerencję, unikanie wpisywania fraz odzyskiwania oraz powstrzymanie się od dodatkowych transakcji przez potencjalnie naruszone urządzenia.

W przypadkach, gdy poświadczenia mogły zostać ujawnione, władze zaleciły przeniesienie pozostałych kryptowalut do zaufanego portfela z nowo wygenerowaną frazą odzyskiwania, przy czym transfer powinien zostać przeprowadzony za pośrednictwem nienaruszonego urządzenia.

Ta sprawa uwypukla rosnące obawy dotyczące kanałów dystrybucji sprzętowych portfeli kryptowalutowych, pokazując, że nawet urządzenia zaprojektowane z myślą o bezpieczeństwie offline mogą narazić inwestorów na znaczne straty, gdy atakujący naruszą produkty fizyczne przed ich dostarczeniem. Dla inwestorów potwierdza to wagę weryfikacji autentyczności urządzeń i stosowania się do zaleceń bezpieczeństwa producenta.

Singapurska policja kontynuuje śledztwo w sprawie zgłoszonych strat, podczas gdy Lambda... Ledger analizuje dotknięte portfele. Liczba naruszonych urządzeń, miejsce w łańcuchu dystrybucji, w którym doszło do modyfikacji, oraz termin wznowienia sprzedaży przez regionalnych odsprzedawców to szczegóły, które pozostają nierozstrzygnięte.