Ledger сотрудничает с властями после того, как на прошлой неделе пользователи её аппаратных кошельков сообщили о потере средств, а один клиент получил подделанное устройство, хотя парижский производитель заверил клиентов, что число затронутых продуктов было «ограниченным».

В объявлении, опубликованном в воскресенье, компания сообщила, что также напрямую связалась с пострадавшими клиентами.

Расследование началось после того, как в пятницу Ledger сообщила о начале проверки сообщений клиентов из Юго-Восточной Азии, потерявших средства после покупки устройств у реселлера. В субботу компания заявила, что подтвердила наличие несанкционированной аппаратной вживленной микросхемы в устройстве одного из пострадавших пользователей.

Аппаратные кошельки предназначены для хранения приватных ключей пользователей офлайн, подписывая транзакции без раскрытия учетных данных, контролирующих их средства. Эта модель безопасности предполагает, что устройство приходит нетронутым, поэтому несанкционированная вживленная микросхема находится за пределами угроз, от которых оно защищает.

Ledger не подтвердила сумму потерь, однако блокчейн-аналитик Specter сообщил, что с устройств было выведено $86 млн.

«Поскольку расследование продолжается, мы сотрудничаем с соответствующими властями», — написала Ledger в воскресенье в объявлении на X. Её аккаунт Ledger Support публиковал дополнительные обновления, включая последующий пост на платформе.

В компании добавили: «Кроме того, мы настоятельно советуем пользователям не покупать устройства у несанкционированных реселлеров, где риск приобретения подозрительных, поддельных или модифицированных устройств высок, поскольку такие устройства не работают в соответствии с правилами безопасности Ledger».

«Безопасность не статична, и этот инцидент подчеркивает, почему мы постоянно пересматриваем и усиливаем наши процессы дистрибуции и защиты от подделки».

Клиенты в Юго-Восточной Азии сообщили на прошлой неделе о потере средств после покупки устройств у CryptoBilis — поставщика из Куала-Лумпура в Малайзии. Ledger посоветовала клиентам, купившим устройства у CryptoBilis, не настраивать их, как ранее сообщал Bitcoin Magazine. Согласно воскресному объявлению, CryptoBilis с тех пор прекратил продажу аппаратных кошельков.

Это различие важно, поскольку фишинг основан на обмане пользователей с целью выманить учетные данные онлайн, тогда как вживленная микросхема находится внутри устройства с момента распаковки, еще до начала настройки.

Пользователи в соцсетях публиковали фотоматериалы с вживленными микросхемами внутри Ledger, утверждая, что модификации могут раскрыть приватные ключи пользователей. Остается неясным, сколько устройств Ledger содержало вживленную микросхему.

Ни Ledger, ни CryptoBilis оперативно не ответили на вопросы Bitcoin Magazine. Пока расследование продолжается, стоит следить за тем, что обнаружат власти, и будет ли подтверждено точное количество устройств и проверенная сумма потерь.

Безопасность аппаратных кошельков находится под пристальным вниманием с тех пор, как в июле хакеры украли почти $120 млн в биткоинах у пользователей Coldcard, как сообщал в то время Bitcoin Magazine. Устройства, произведенные канадской компанией Coinkite, содержали ошибку в прошивке, приводившую к некорректной генерации сид-фразы, что фактически позволяло хакерам угадывать сид-фразы инвесторов.

В отдельном инциденте в прошлом месяце производитель аппаратных кошельков Trezor сообщил, что данные почти 81 000 клиентов были раскрыты после кражи данных у его стороннего партнера по выполнению заказов, как писал Bitcoin Magazine.

Преступники в течение всего года атаковали данные клиентов: мошенники получали информацию через Global-e, платежного процессора Ledger, для рассылки фишинговых писем. Вместе эти инциденты показывают, что поверхность атаки охватывает весь путь устройства — прошивку, выполнение заказов, обработку платежей и каналы перепродажи.

Эта статья была написана Мэтью Ди Сальво и впервые опубликована на Bitcoin Magazine.