Ledger, парижский производитель аппаратных кошельков, начал расследование хищения криптовалюты примерно на $86 млн с аппаратных кошельков, проданных через CryptoBilis — малайзийский магазин, включенный в официальный каталог реселлеров Ledger.

Этот случай выделяется на фоне того, что аппаратные кошельки созданы для хранения приватных ключей в офлайне — модель безопасности, которая зависит от того, что устройство попадает к покупателю нетронутым, — а стандартные рекомендации Ledger призывают клиентов покупать устройства только через проверенные официальные каналы. CryptoBilis был проверен самой Ledger.

Подозреваемая кража

CryptoBilis — малайзийский онлайн-магазин, запущенный в декабре 2020 года Арравиндом Прабу, Вималом Селвамани и Дхивагером Ратакришнаном через их компанию Fetch International, по данным Vulcan Post. В 2021 году магазин объявил, что стал авторизованным реселлером Ledger.

В пятницу Ledger сообщил в публикации аккаунта поддержки на X, что попросил CryptoBilis приостановить все продажи и отгрузки продукции Ledger, пока идет расследование сообщений о краже более $86 млн в Bitcoin, Ethereum и Tron с кошельков, проданных магазином.

Спектр (Specter), анонимный блокчейн-исследователь, сообщил на X, что среди владельцев устройств Ledger на X и Reddit появились жалобы на опустошенные кошельки. По словам Спектра, анализ подозреваемых адресов хищения показал поступление средств с сотен кошельков пострадавших в сетях Bitcoin, Ethereum и Tron на общую сумму более $86 млн.

Общая сумма потерь не подтверждена, как и связь между отдельными случаями. Причина остается неизвестной. Ledger заявляет, что нет никаких доказательств взлома его собственных систем или программного обеспечения кошельков. Эти открытые вопросы — как были скомпрометированы устройства, каков в итоге подтвержденный размер потерь и связаны ли между собой отдельные случаи — определяют, за чем следить по мере продвижения расследования.

Рекомендации Ledger клиентам

Ledger посоветовал всем, кто приобрел устройство у этого реселлера за последние 90 дней, пока не настраивать его. Клиентам, уже активировавшим кошелек, рекомендовано перевести средства на другое устройство Ledger с использованием новой сгенерированной фразы восстановления. Указание сгенерировать новую фразу имеет значение, поскольку фраза восстановления является мастер-ключом к кошельку: если она была скомпрометирована до того, как устройство попало к владельцу, перевод средств в кошелек с повторным использованием старой фразы оставит баланс под угрозой.

Теория атаки на цепочку поставок

Одна из основных версий того, как действовали злоумышленники, — атака на цепочку поставок. При такой атаке устройство модифицируется так, что его фраза восстановления известна злоумышленнику еще до того, как оно попадет к покупателю, что позволяет опустошить кошелек сразу после поступления средств.

Этот метод был задокументирован в 2023 году, когда исследователи Kaspersky изучили модифицированный аппаратный кошелек Trezor Model T. Основной чип устройства был заменен, а его программное обеспечение настроено так, чтобы выдавать пользователям одну из 20 заранее известных злоумышленникам фраз восстановления. В том случае злоумышленники выжида около месяца, прежде чем опустошить кошелек.

Непростой период для Ledger

Cryptopolitan сообщал в мае, что Ledger отказалась от запланированного IPO на американском рынке на $4 млрд, сославшись на неблагоприятные рыночные условия. Компания заявляла, что рассматривает частное привлечение средств, однако после нового скандала с безопасностью шансы этого варианта теперь выглядят еще более призрачными.

В январе Ledger сообщила об отдельном инциденте, когда у ее платежного процессора Global-e произошла утечка клиентских данных. Блокчейн-исследователь ZachXBT тогда прокомментировал, что компаниям, производящим аппаратные кошельки, нельзя доверять личную информацию.