Producent portfeli sprzętowych Trezor ogranicza sieć autoryzowanych odsprzedawców po odkryciu złośliwych implantów w urządzeniach Ledger sprzedawanych przez zewnętrznych dystrybutorów, a śledczy blockchainowi szacują obecnie straty z incydentu CryptoBilis na 102 miliony dolarów.

Przypadek ten pokazuje, jak manipulacja wprowadzona jeszcze przed dotarciem urządzenia do kupującego może całkowicie ominąć wbudowaną kryptografię portfela, przesuwając kwestię bezpieczeństwa z samego sprzętu na łańcuch dystrybucji, który go dostarcza.

Trezor ogłosił środki ostrożnościowe 13 października w oświadczeniu dotyczącym łańcucha dostaw, potwierdzając, że dotknięci partnerzy dystrybucyjni stracą autoryzację 1 stycznia 2027 roku. Nowe dostawy do tych odsprzedawców zostały już wstrzymane. Firma usunęła również CryptoBilis, południowoazjatyckiego sprzedawcę detalicznego, ze swojej autoryzowanej sieci po tym, jak Ledger zidentyfikował sfałszowane urządzenia dystrybuowane przez ten sam podmiot. Trezor podkreślił, że nie otrzymał żadnych dowodów na naruszenie bezpieczeństwa urządzeń oznaczonych własną marką.

Trezor kończy umowy z odsprzedawcami od stycznia 2027 roku

Dyrektor handlowy Danny Sanders opisał zmiany w liście do partnerów dystrybucyjnych, wyjaśniając, że Trezor nie mógł już utrzymać tego samego poziomu nadzoru nad istniejącą siecią odsprzedawców.

Dotknięci partnerzy będą mogli sprzedać pozostałe zapasy w okresie świątecznym, ale nie otrzymają dodatkowych towarów, a ich autoryzacja wygasa na początku 2027 roku. Trezoruje wprowadzić ściślejszą weryfikację partnerów wraz ze zaktualizowanymi wymogami umownymi dotyczącymi pozyskiwania produktów, ich przechowywania i obsługi. Zewnętrzni sprzedawcy detaliczni od dawna odgrywali kluczową rolę w docieraniu producentów portfeli do lokalnych rynków, ale każdy pośrednik dodaje kolejne ogniwo między fabryką a klientem — właśnie ta część łańcucha dostaw jest teraz poddawana zaostrzonej kontroli w całej branży po ustaleniach w sprawie CryptoBilis.

Sanders podkreślił, że decyzja nie oznaczała nieprawidłowości ze strony dotkniętych odsprzedawców. Publicznie podziękował również wieloletnim partnerom i przeprosił za zakończenie współpracy handlowej. Trezor nie ujawnił, ilu sprzedawców detalicznych straci autoryzację ani jakie rynki zostaną dotknięte.

Ledger łączy opróżnianie portfeli z ukrytymi implantami LTE

Zmiana polityki odsprzedawców następuje po śledztwie Ledgera w sprawie opróżniania portfeli powiązanych z CryptoBilis, które dotknęło klientów w Azji Południowo-Wschodniej. Zespół bezpieczeństwa Donjon firmy Ledger zidentyfikował nieautoryzowany implant elektroniczny ukryty wewnątrz dotkniętych portfeli sprzętowych. Komponent przechwycił 24-wyrazową frazę odzyskiwania wyświetlaną podczas inicjalizacji urządzenia i przesyłał dane przez LTE przy użyciu wbudowanej karty SIM. Ponieważ sama fraza odzyskiwania przywraca portfel na dowolnym kompatybilnym urządzeniu, fraza przechwycona podczas inicjalizacji daje atakującemu dostęp do wszystkich środków, które portfel później przechowuje — bez dalszej konieczności ingerencji w sprzęt.

Według Ledgera implant działał niezależnie od Secure Element i nie modyfikował systemu operacyjnego urządzenia ani podpisów transakcji. Firma potwierdziła, że badane przypadki dotyczyły urządzeń sprzedanych przez CryptoBilis, podtrzymując jednocześnie, że jej systemy wewnętrzne i bezpośrednie kanały sprzedaży pozostają nienaruszone (post na X). Incydent dodaje nowy, fizyczny wymiar łańcucha dostaw do wcześniejszych obaw dotyczących historii bezpieczeństwa Ledgera, na którą składały się wcześniejsze wycieki danych klientów i exploit w łańcuchu dostaw oprogramowania.

Firma analityki blockchainowej Bitquery prześledziła od tego czasu szacowaną wartość 102 milionów dolarów skradzionych aktywów w 324 portfelach na sześciu blockchainach, co przewyższa wstępne szacunki wynoszące 86 milionów dolarów, zgodnie z jej opublikowanym śledztwem. Analiza zidentyfikowała skoordynowane wypłaty w sieciach Tron, Bitcoin, Ethereum, Solana, BNB Chain i Polygon, a Tether zamroził około 10 milionów dolarów w USDT powiązanych z podejrzanymi transferami. Ledger nie potwierdził samodzielnie łącznej wartości strat.

MediaMarkt wstrzymuje sprzedaż produktów Ledger w miarę rozszerzania śledztwa

Śledztwo objęło również europejskich sprzedawców detalicznych. MediaMarktSaturn wstrzymał sprzedaż dotkniętych produktów Ledger po tym, jak klient zgłosił zmodyfikowany sprzęt kupiony w Niemczech, odkrywając dodatkowe okablowanie i komponenty komunikacji komórkowej wewnątrz dwóch urządzeń zakupionych w różnych lokalizacjach MediaMarkt.

Ledger potwierdził niemieckie zgłoszenie, ale oświadczył, że nie zidentyfikowano powiązanych strat finansowych, a firma nie ustaliła połączenia między tymi urządzeniami a kradzieżami związanymi z CryptoBilis.

Oddzielnie inny producent portfeli, OneKey, cofnął autoryzację odsprzedawcy CryptoBilis i zaproponował bezpłatną wymianę urządzeń klientom, którzy zakupili jego produkty przez tego sprzedawcę w okresie od 1 marca do 13 października.

Ledger nadal odradza klientom CryptoBilis inicjalizację nieużywanych urządzeń. Osoby, które już skonfigurowały dotknięte portfele, powinny przenieść swoje aktywa do bezpiecznie wygenerowanego portfela z nową frazą odzyskiwania.

Otwarte kwestie do śledzenia obejmują niepotwierdzoną łączną wartość strat podawaną przez Ledgera, to, czy niemieckie urządzenia z MediaMarkt ostatecznie zostaną powiązane z kradzieżami związanymi z CryptoBilis, oraz wszelkie dalsze śledzenie aktywów lub zamrożenia wynikające ze śledztwa Bitquery i akcji Tethera dotyczącej 10 milionów dolarów w USDT.

Szersze zmiany Trezora dotyczące odsprzedawców wejdą w życie 1 stycznia 2027 roku, a zmienione mechanizmy kontroli dystrybucji mają na celu zmniejszenie liczby pośredników obsługujących urządzenia klientów.

Źródło: Crypto Adventure