Власти Сингапура выявили вредоносные аппаратные компоненты внутри криптовалютных кошельков Ledger, приобретенных через розничные каналы в городе-государстве, согласно предупреждению, опубликованному в среду Полицейскими силами Сингапура (SPF). С 10 сентября поступило не менее двух заявлений с совокупным ущербом примерно в 3,5 млн сингапурских долларов, или около 2,7 млн долларов.

Эта находка бьет по самой сути концепции аппаратных кошельков, которые созданы для того, чтобы хранить приватные ключи, контролирующие криптовалютные активы, в автономном режиме, при этом фраза восстановления — последовательность слов, позволяющая восстановить кошелек на новом устройстве — служит главным резервным механизмом для этих ключей. Предварительное расследование показало, что некоторые компоненты могли использоваться для перехвата фраз восстановления или приватных ключей, что позволяет посторонним лицам открывать кошельки и перемещать активы без ведома или согласия владельцев. В предупреждении не были названы конкретные магазины.

Полиция сообщила, что контактирует с Ledger, которая расследует затронутые случаи; собственное расследование правоохранителей продолжается.

SPF призывает соблюдать осторожность с фразами восстановления

В предупреждении SPF рекомендовала пользователям не вводить фразы восстановления и не совершать транзакции на устройствах, которые, как они подозревают, могли быть скомпрометированы. Ведомство также предостерегло от передачи ключей или сид-фраз кому бы то ни было, включая людей, выдающих себя за поставщиков кошельков, биржи или сотрудников полиции.

Сингапурские обращения поступили примерно на месяц раньше предупреждения от 9 октября

Первое заявление в Сингапуре было подано примерно за месяц до того, как более широкий инцидент стал публичным 9 октября, когда Ledger попросила CryptoBilis — авторизованного реселлера, работающего в Индонезии, Малайзии и на Филиппинах, — прекратить продажи и поставки.

На тот момент Cryptopolitan сообщала, что, по имеющимся данным, у магазина было похищено более 86 млн долларов в Bitcoin, Ethereum и Tron. Ledger не подтвердила эту сумму.

10 октября Ledger сообщила в X, что обнаружила несанкционированный аппаратный имплант на устройстве одного из клиентов. Чип, скрытый в корпусе Nano X, считывал фразу восстановления из 24 слов с экрана во время настройки и передавал ее через встроенную SIM-карту по LTE.

Команда безопасности Ledger Donjon заявила, что чип не затрагивал Secure Element, операционную систему и процесс подписания транзакций — именно поэтому он ни разу не сработал при прохождении фирменной проверки подлинности «Genuine Check».

В последующие дни появились два заявления, связанных с Сингапуром. Марк Карпелес, бывший глава Mt. Gox, рассказал, что купил Ledger Flex в аэропорту Сингапура, и на устройстве был обнаружен шпионский имплант. Другой владелец сообщил, что устройство, приобретенное у местного ритейлера электроники Challenger, было подделано, и Ledger позже прислала замену.

13 октября Ledger попросила ритейлеров в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, в Малайзии и Гонконге приостановить продажи своей продукции.

В посте от 28 октября компания сообщила, что все подтвержденные потери связаны с устройствами, проданными через ограниченное число реселлеров. Она не подтвердила ни одного случая утечки средств, связанного с устройством, приобретенным за пределами Юго-Восточной Азии, и не видит признаков того, что ее инфраструктура, системы или канал прямых продаж были скомпрометированы.

«Цифры, циркулирующие в интернете, исходят от третьих сторон, и Ledger не полностью их проверила», — заявила компания 22 октября.

Долгосрочное решение Ledger: Atom

Более долгосрочным решением Ledger является Atom — устройство за 849 долларов, представленное компанией на мероприятии Op3n в Париже 15 октября. Atom поступит в продажу не раньше лета 2027 года, а его защита от вскрытия не будет установлена на уже обращающиеся устройства Nano, Flex и Stax. Пока полицейское расследование и проверка Ledger не завершены, любое будущее предупреждение с указанием названий магазинов станет самым четким сигналом для владельцев, пытающихся определить, входят ли их устройства в число затронутых розничных каналов.