Ledger потвърди, че хардуерен портфейл за криптовалута, свързан с докладвани загуби на средства, е съдържал неоторизиран хардуерен имплант, което въвежда физическа намеса в разследването на устройства, продавани чрез дистрибутора в Югоизточна Азия CryptoBilis.

Констатацията поражда опасения относно сигурността на веригата за доставки, но Ledger все още не е потвърдила как точно е функционирал имплантът или дали той е причина за всяка докладвана кражба.

В изявление от 10 октомври екипът по поддръжка на Ledger съобщи: „Ledger може да потвърди, че устройството на един от засегнатите потребители е съдържало неоторизиран хардуерен имплант.“ CryptoBilis спря продажбите на всички хардуерни портфейли, докато разследването продължава, а Ledger се свързва със засегнатите клиенти.

В актуализация на компанията от 11 октомври се посочва, че всички потвърдени случаи, свързани с инцидента с източване на средства от 9 октомври, са с устройства, продадени чрез CryptoBilis. Ledger определи броя на засегнатите устройства като ограничен и заяви, че нейните собствени системи и директни канали за продажба остават незасегнати. Компанията работи и със съответните органи.

Разследването започна, след като клиенти съобщиха за липсваща криптовалута от портфейли, свързани с устройства, закупени чрез CryptoBilis, която обслужва Индонезия, Малайзия и Филипините.

Блокчейн анализаторът Specter оцени възможните загуби на над 86 милиона долара в Bitcoin, Ethereum и Tron. Тази цифра не е независимо потвърдена, а Ledger все още не е установила окончателния размер на загубите.

Хардуерният имплант поражда опасения за веригата на доставки

Хардуерните портфейли обикновено съхраняват частните ключове офлайн, намалявайки излагането на зловреден код от свързани компютри. Физическият имплант създава различен риск, тъй като добавеният компонент може да прихване информацията, показана по време на първоначалната настройка, вместо да атакува основната система за сигурност на портфейла.

Експертът по сигурност Марк Карпелес описа предполагаеми импланти, които наблюдават екрана на портфейла и изпращат фразата за възстановяване чрез клетъчна връзка. Докладваните компоненти включват малка платка, микроконтролер, антена, LTE чип и eSIM. Тези констатации остават наблюдения на изследователи, а не пълно техническо обяснение, потвърдено от Ledger.

Фразата за възстановяване позволява на всеки да възстанови портфейла и да контролира средствата в него. Ако атакуващ прихване тази фраза по време на настройката, той може да не се нуждае от продължителен достъп до оригиналното устройство. Предишни съобщения за фалшиви приложения на Ledger, насочени към потребители на macOS, показват как киберпрестъпниците търсят тези тайни и чрез софтуерни трикове. Фишинг кампаниите PoisonSeed подобно използваха фалшиви страници за надграждане на портфейли, за да събират фрази за възстановяване.

Отделна публикация от Johannes твърди, че модифицирано устройство е било закупено от официален дистрибутор в Европа. В профила се казва, че този портфейл не е загубил средства. Това твърдение не е потвърдено от Ledger и не трябва да се третира като доказателство, че потвърденият инцидент с CryptoBilis надхвърля заявения си обхват.

Ledger съветва купувачите от CryptoBilis да не инициализират неизползвани устройства. Клиентите, които вече са завършили настройката, трябва да преместят активите си на ново устройство, закупено директно от Ledger, и да използват новогенерирана фраза за възстановяване. Повторното използване на старата фраза не елиминира риска от това тя вече да е компрометирана.

Засегнатите потребители трябва да се свържат с официалната поддръжка на Ledger и да докладват за предполагаема кражба на местните правоприлагащи органи. Ledger също така предупреди, че измамници могат да се възползват от инцидента, и заяви, че никога няма да звъни по телефона, да изпраща директни съобщения или да изисква 24-думовата фраза за възстановяване на клиента.

Компанията преразглежда контрола върху дистрибуторите и хардуерните защити. Тя напомни на партньорите си да купуват само през оторизирани канали и никога да не връщат в наличност върнати от клиенти продукти. Разследването все още трябва да установи къде е извършена намесата, колко устройства са модифицирани и кои загуби са пряко свързани с потвърдения имплант. Ledger не е идентифицирала публично кой е инсталирал неоторизирания хардуерен компонент.