Ledger ввела более строгий контроль продаж аппаратных кошельков после того, как преступники модифицировали подлинные устройства и использовали их для кражи криптовалюты. В заявлении от 15 октября компания подтвердила запрет на перепродажу возвращённых кошельков и обязала ритейлеров не выставлять новые устройства на демонстрационных полках. Это решение стало следствием обнаружения того, что скрытые компоненты, внедрённые в перепроданные кошельки, считывали 24-словные восстановительные фразы клиентов и передавали их через мобильные сети.

Преступники модифицировали устройства до перепродажи

Ledger сообщила, что злоумышленники покупали легитимные кошельки, устанавливали в них скрытые компоненты и возвращали их в реселлерские каналы в Юго-Восточной Азии. По данным компании, группа несколько месяцев готовила операцию и создала системы для сбора восстановительных фраз и вывода похищенных средств.

Эта операция показывает, как подделка в цепочке поставок может скомпрометировать аппаратный кошелёк, не затрагивая его криптографию: восстановительная фраза является мастер-резервной копией, позволяющей восстановить счета кошелька на любом совместимом устройстве, поэтому одних только 24 слов достаточно, чтобы получить контроль над средствами.

Расследование началось 9 октября после того, как клиенты сообщили о пропаже активов с устройств, проданных малайзийским реселлером CryptoBilis. Более раннее расследование кражи кошельков Ledger связало жалобы с этим реселлером, который впоследствии прекратил продажи.

Как работали скрытые импланты

Команда безопасности Ledger обнаружила имплант, копировавший 24-словную восстановительную фразу, отображаемую при настройке кошелька. Затем компонент передавал эти слова через мобильное подключение для передачи данных с помощью встроенной электронной SIM-карты. Компания сообщила, что чип безопасности и операционная система устройства остались нетронутыми.

Эта деталь указывает на атаку на этапе настройки, когда фраза отображается для записи владельцем, а не на защищённое аппаратное обеспечение самого устройства.

Основатель Binance Чанпэн Чжао предупредил в X 9 октября, что данные указывают на атаку через одного продавца, а не на проблему, затрагивающую все кошельки Ledger.

Оценки потерь растут по мере отслеживания средств

Блокчейн-исследователь Specter первоначально оценил потери более чем в 86 млн долларов. Однако обновление Bitquery от 15 октября отследило 102 млн долларов похищенных средств с 324 кошельков в шести сетях. Более раннее подтверждение подделки устройств установило, что investigators нашли несанкционированный компонент. Ledger не подтвердила общую сумму потерь и число затронутых клиентов.

Bitquery сообщила, что Tether заморозила 10 млн USDT, связанных с кражей. Расследование также отследило похищенные средства через обменники и сервисы конфиденциальности. Исследователи считали кошельки, а не отдельных клиентов, и отметили, что один владелец мог контролировать несколько затронутых адресов.

Ledger меняет дистрибуцию и рекомендации клиентам

Ledger сообщила, что её команды проверили устройства из магазинов в Германии и запасы на складах, и эти образцы не показали следов подделки. В обновлении в X от 14 октября компания призвала приостановить продажи на семи рынках, включая Гонконг. Реселлеры в Азии приостановили продажи кошельков на время расследования.

Новые правила обращения сосредоточены на этапе реселлинга — моменте, через который в цепочку поставок этого дела попали подделанные устройства, — удерживая устройства под контролируемым хранением до момента продажи.

По новым правилам авторизованные дилеры должны хранить кошельки вдали от публичных полок и передавать устройства покупателям в момент покупки. Ledger рекомендует клиентам CryptoBilis не настраивать неиспользованные устройства, а тем, кто уже инициализировал устройство, следует перевести активы в новый кошелёк с новой восстановительной фразой. Открытые вопросы в деле включают подтверждённую сумму потерь — Ledger не подтвердила цифру Bitquery в 102 млн долларов — и то, заморожены ли дополнительные похищенные средства помимо 10 млн USDT, уже заблокированных Tether.