לדג'ר אישרה שתל חומרה בלתי מאושר בארנק של לקוח אחד שנפגע, בעוד החוקרים מעריכים כי גניבות קריפטו חשודות בסך כ-93.2 מיליון דולר קשורות למכשירים שעברו שיבוש ונמכרו דרך מפיץ בדרום-מזרח אסיה. החברה מסרה כי לא מצאה אינדיקציה לכך שהתשתית, המערכות או השירותים הביטחוניים שלה נפרצו.
CryptoBilis, מפיץ מורשה הממוקם באזור, השעה מכירות של כל מלאי ארנקי החומרה עד לסיום החקירה.
מה מצאו Tibane Labs בתוך המכשירים
החקירה החלה לאחר שלקוחות דיווחו על אובדן קריפטו לאחר שקנו מכשירי לדג'ר מהמפיץ. Tibane Labs תיעדה שלושה דורות של שתלים ב-Ledger Nano X שנועדו ליירט ביטויי שחזור, תוך שילוב של פירוק קודם של שתל על ידי ג'ו גרנד עם שני מוצגים שנבדקו בספטמבר.
השתלים פועלים על ידי ניטור אותות אלקטרוניים הנשלחים בין רכיב האבטחה של הארנק לתצוגה שלו. מאותות אלו יכולים התוקפים לשחזר את ביטוי השחזור בן 24 המילים ולהעבירו דרך מודם סלולרי — ללא צורך בגניבה פיזית, וללא פגיעה בשבב המאובטח של לדג'ר.
הגרסה המתקדמת ביותר שבדקה Tibane הכילה לוח מעגלים מותאם אישית שהוסתר מתחת למסך, עם מודם LTE, אנטנה ורכיבים שסימוני הזיהוי שלהם הוסרו. היא שמרה על הסוללה המקורית ויכלה לעבור בדיקה חזותית גם לאחר פתיחת המארז, לפי המעבדה.
שני המוצגים של Tibane נרכשו דרך שווקים יפניים ולא מ-CryptoBilis. המעבדה גם פרסמה אזהרה חדה: יש להתייחס לכל ביטוי שחזור שמוצג במכשיר שנפגע כאל חשוף, ויש להעביר כספים לארנק עם ביטוי חדש שנוצר במכשיר מהימן.
מדוע Genuine Check לא מזהה זאת
Genuine Check של לדג'ר מאמת את האותנטיות של רכיב האבטחה. הוא אינו יכול לזהות שינויים פיזיים בלתי מאושרים, כגון שתלי ריגול, אם רכיב זה נשאר שלם. פער זה הוא לב המקרה: מכשיר יכול לעבור את הבדיקה ועדיין להיות פגיע.
לדג'ר לא מסרה כמה מכשירים שובשו, ולא קבעה שהשתל גרם לכל ההפסדים המדווחים. החברה מסרה כי היא יוצרת קשר עם משתמשים שנפגעו ומתאמת עם הרשויות.
שתי הערכות, שתי שיטות, אותו היקף
אלכס ת'ורן, מנהל מחקר ב-Galaxy Digital, דיווח על כ-91 מיליון דולר ב-477 כתובות ברשתות ביטקוין, אתריום קשורים וטרון. ת'ורן ייחס 64.5 מיליון דולר מהגניבות החשודות לטרון, כולל כ-64.3 מיליון USDT. ביטקוין היווה 17.7 מיליון דולר, או כ-213 BTC. אתריום ורשתות קשורות תרמו 8.8 מיליון דולר.
Bitquery ספרה כ-93.2 מיליון דולר מ-315 ארנקים בשש בלוקצ'יינים. שתי ההערכות משתמשות בקבוצות כתובות ושיטות שונות, ואף אחת מהן לא סופרת את מספר המכשירים המשובשים.
Bitquery זיהתה דפוסי עסקאות המצביעים על כך שהתוקפים השיגו שליטה על מספר ארנקים לפני משיכה מתואמת ב-9 באוקטובר. עשרים וחמישה ארנקי טרון חתמו על אותה אישור טוקן בתוך שלוש שניות, ואפשרו משיכה של כ-29 מיליון דולר ב-USDT בתוך רגעים. עסקאות בדיקה קטנות בוצעו במשך כשבועיים לפני הגניבות הגדולות יותר, מה שמרמז על הכנות שהתקיימו הרבה לפני שהמשתמשים דיווחו על כספים חסרים.
Bitquery העריכה כי Tether הקפיאה כ-10 מיליון דולר ב-USDT גנוב. היא גם זיהתה 5.35 מיליון דולר ב-USDC שהמנפיקה Circle יכלה להקפיא לאחר שהכספים עברו דרך Tornado Cash ו-Zcash.
שאלת המפיץ
האנליסט Darkfost מ-CryptoQuant הציע לבדוק מפיצים אזוריים אחרים לחשיפה אפשרית בשרשרת האספקה, תוך הכרה שהחשש ספקולטיבי ואינו נתמך בראיות מאומתות. CryptoBilis לא מסרה מתי תחדש את המכירות.
לעת עתה, העובדות המוצקות נותרו מצומצמות: שתל מאושר אחד, מפיץ מושעה, ושתי הערכות בלתי תלויות שמסכימות על ההיקף אך לא על הכתובות. לדג'ר לא הסבירה כיצד הגיעו המכשירים המשובשים ללקוחות, ולא ניתן לוח זמנים לסיום החקירה.
