Криптоинвесторы в Сингапуре потеряли около 3,5 млн сингапурских долларов (2,7 млн долларов США) после покупки подделанных аппаратных кошельков Ledger, сообщила полиция Сингапура. В консультации, опубликованной 28 октября, власти подтвердили как минимум два случая и сообщили, что первые жалобы начали поступать 10 сентября — почти за месяц до того, как более широкая утечка безопасности стала публичной в октябре.

Предварительное расследование выявило вредоносные компоненты внутри устройств Ledger, приобретенных в ряде розничных магазинов Сингапура. Подобные изменения относятся к тому, что описывается как компрометация цепочки поставок, когда отдельные устройства физически модифицируются где-то между производством и точкой продажи, а не атакуются программно после настройки.

Несанкционированное оборудование перехватывало seed-фразы и приватные ключи

Следователи обнаружили, что в скомпрометированных устройствах содержалось несанкционированное аппаратное обеспечение, способное перехватывать seed-фразы (recovery phrases) и приватные ключи. Обладая этой информацией, злоумышленники могли получать доступ к криптовалютным активам и переводить средства без разрешения владельцев.

Аппаратные кошельки предназначены для защиты цифровых активов за счет хранения приватных ключей в офлайн-режиме. Инциденты в Сингапуре показывают, как физическое вмешательство может подорвать эту защиту еще до того, как клиенты начнут пользоваться устройствами. Поскольку seed-фраза позволяет пользователям восстановить доступ к своим активам, любой, кто получит ее, потенциально может взять под контроль соответствующий кошелек и переместить его активы — именно поэтому сама фраза считается самым чувствительным учетным данных в схемах самостоятельного хранения.

Ledger приостанавливает региональные продажи на время расследования

Ledger начала расследование сообщений об устройствах, распространявшихся через юго-восточноазиатского реселлера CryptoBilis, в начале октября. 10 октября компания подтвердила наличие несанкционированной аппаратной врезки как минимум в одном затронутом устройстве. К 13 октября Ledger попросила о временном приостановлении продаж через региональных реселлеров и дистрибьюторов — мера предосторожности охватила Сингапур, Малайзию, Индонезию, Таиланд, Филиппины, Вьетнам и Гонконг.

Компания проверяет затронутые случаи, сотрудничая с сингапурскими властями, однако полный масштаб предполагаемой компрометации цепочки поставок остается неясным. Появятся ли дополнительные затронутые устройства в семи охваченных юрисдикциях — один из открытых вопросов по мере продолжения проверки.

Полиция призывает пользователей защитить оставшиеся активы

Полиция Сингапура посоветовала владельцам криптовалют прекратить использование устройств с подозрением на вмешательство, не вводить seed-фразы и воздержаться от дополнительных транзакций через потенциально скомпрометированное оборудование.

Если учетные данные могли быть раскрыты, власти рекомендовали перевести оставшуюся криптовалюту в доверенный кошелек с новой сгенерированной seed-фразой, причем перевод следует осуществлять через нескомпрометированное устройство.

Этот случай обострил обеспокоенность по поводу каналов распространения аппаратных криптокошельков, показав, что даже устройства, спроектированные для офлайн-безопасности, могут привести инвесторов к значительным потерям, если злоумышленники скомпрометируют физические продукты до доставки. Для инвесторов это подчеркивает важность проверки подлинности устройств и следования рекомендациям производителей по безопасности.

Полиция Сингапура продолжает расследование заявленных потерь, пока Ledger проверяет затронутые кошельки. Сколько устройств было затронуто, на каком этапе цепочки дистрибуции произошло вмешательство и когда могут возобновиться продажи через региональных реселлеров — эти детали остаются нерешенными.