Три дни след като клиенти в Югоизточна Азия започнаха да съобщават за изпразнени портфейли, Ledger твърди, че щетите са ограничени. В своето 72-часово обновяване в X на 11 октомври базираният в Париж производител на хардуерни портфейли заяви, че „всички потвърдени случаи, свързани с оповестения инцидент с източване от 9 октомври 2026 г., засягат устройства, продадени чрез дистрибутора в Югоизточна Азия CryptoBilis“.
Блокчейн анализатори изчисляват предполагаемите загуби на над 93 милиона долара. Ledger заяви, че нейните собствени системи и канали за директни продажби не са компрометирани.
Производителят на портфейли все още не е коментирал непотвърденото твърдение на потребител в X, че хардуерните портфейли на Ledger, продавани в Европа чрез официалния дистрибутор Mediamarkt, може да са били манипулирани и компрометирани по подобен начин.
Как се предполага, че работи имплантът
Ledger потвърди, че едно засегнато устройство съдържа неоторизиран хардуерен имплант, но не уточни как работи той. Най-подробният доклад до момента идва от бившия главен изпълнителен директор на Mt. Gox Марк Карпелес, който твърди, че е закупил манипулиран Ledger в Малайзия.
Снимки и видеоклипове, публикувани от Карпелес в X, показват малка печатна платка, скрита под екрана на устройството, където обикновено се намира уплътнението на дисплея.
Той посочва, че платката съдържа микроконтролер, антена, LTE чип и e-SIM карта, както и че „имплантът просто следи показаното на екрана, записва фразата за възстановяване (seed phrase), докато ви се показва, и след това я предава [на атакуващия]“.
Разполагайки с фразата за възстановяване, атакуващият може да възстанови портфейла на всяко устройство и да го изпразни, когато пожелае, без изобщо да докосва оригиналния хардуер. Това би му позволило да събира фрази незабелязано и да нанесе удар едновременно, което съответства на вълната от източвания, докладвани на 9 октомври.
Имплантът също така е труден за забелязване. Карпелес казва, че устройството му е пристигнало с непокътнато защитно фолио и е преминало проверката за автентичност (Genuine Check) на Ledger, тъй като чипът за сигурност вътре е оригинален. Според него единственият надежден начин да се открие допълнителната платка е отварянето на устройството.
Разследването продължава, потребителите се приканват да сменят устройствата си
В неделя Ledger потвърди, че работи със съответните власти и че се свързва със засегнатите потребители.
„Насърчаваме засегнатите потребители да се свържат с поддръжката на Ledger през официалните канали и да подадат сигнали до местните правоприлагащи органи“, посъветваха от компанията.
Тя също така призова клиентите, които са закупили своя портфейл Ledger от CryptoBilis, да се въздържат от първоначална настройка на устройството (ако все още не са го направили). Тези, които вече са го конфигурирали, трябва да прехвърлят активите си на ново устройство (по възможност закупено директно от Ledger) с нова фраза за възстановяване.
„Препоръката на Ledger обхваща хора, които са закупили устройства от дистрибутора през последните 90 дни“, отбеляза компанията за анализ на блокчейн данни Bitquery. Повече от осем на всеки десет от източените портфейли, които тя е проследила обаче, са получили средства за първи път през юни или по-късно, което предполага, че устройства, закупени от CryptoBilis от юни насам, също може да са компрометирани.
„CryptoBilis потвърди, че е прекратил всички продажби на хардуерни портфейли. Напомняме на нашите оторизирани дистрибутори и търговци да се снабдяват с продукти само през официални канали и никога да не връщат върнати продукти обратно в продажба“, добави Ledger и посъветва потребителите да не купуват от неоторизирани търговци.
За съжаление инцидентът показва, че покупката от оторизиран дистрибутор не предоставя пълна гаранция.
С развитието на ситуацията Ledger отбеляза също, че киберпрестъпници могат да се възползват от инцидента, за да се свържат с потребители и да се опитат да ги подмамят да споделят своята фраза за възстановяване.
„Доверявайте се само на официалните канали на Ledger. Ledger никога няма да ви се обади по телефона, да ви пише на лично съобщение или да поиска вашата възстановителна фраза от 24 думи“, заключи компанията.
- cryptocurrency
- digital wallet
- Ledger
- supply chain compromise