Ledger heeft een ongeoorloofd hardware-implant in de portemonnee van één getroffen klant bevestigd, terwijl onderzoekers schatten dat ongeveer $93,2 miljoen aan vermoedelijke cryptodiefstallen verband houdt met gemanipuleerde apparaten die via een Zuidoost-Aziatische wederverkoper zijn verkocht. Het bedrijf zei geen aanwijzingen te hebben gevonden dat zijn eigen beveiligingsinfrastructuur, systemen of diensten zijn gecompromitteerd.
CryptoBilis, een geautoriseerde wederverkoper in de regio, heeft de verkoop van alle hardware-walletvoorraad opgeschort in afwachting van de afronding van het onderzoek.
Wat Tibane Labs in de apparaten aantrof
Het onderzoek begon nadat klanten meldden crypto te zijn kwijtgeraakt na de aankoop van Ledger-apparaten bij de wederverkoper. Tibane Labs documenteerde drie generaties Ledger Nano X-implantaten die ontworpen zijn om herstelzinnen te onderscheppen, waarbij Joe Grands ontleding van een eerder implantaat werd gecombineerd met twee exemplaren die in september werden onderzocht.
De implantaten werken door elektronische signalen te monitoren die tussen het beveiligingselement van een wallet en het display worden verzonden. Uit die signalen kunnen aanvallers de herstelzin van 24 woorden reconstrueren en via een cellulair modem verzenden — zonder fysieke diefstal en zonder compromittering van Ledgers beveiligingschip.
De meest geavanceerde versie die Tibane onderzocht bevatte een aangepaste printplaat verborgen onder het scherm, met een LTE-modem, een antenne en componenten waarvan de identificatiemarkeringen waren verwijderd. Volgens het lab bleef de originele batterij behouden en kon het apparaat zelfs na het openen van de behuizing een visuele inspectie doorstaan.
Tibanes twee exemplaren werden gekocht via Japanse marktplaatsen en niet via CryptoBilis. Het lab gaf ook een duidelijke waarschuwing: elke herstelzin die op een gecompromitteerd apparaat wordt weergegeven, moet als blootgesteld worden beschouwd, en geld moet worden overgebracht naar een wallet met een nieuwe zin die op een vertrouwd apparaat is gegenereerd.
Waarom Genuine Check het niet detecteert
Ledgers Genuine Check verifieert de authenticiteit van het beveiligingselement. Het kan ongeoorloofde fysieke modificaties, zoals spionage-implantaten, niet detecteren als dat element intact blijft. Die kloof staat centraal in de zaak: een apparaat kan de controle doorstaan en toch gecompromitteerd zijn.
Ledger heeft niet gezegd hoeveel apparaten zijn aangepast en heeft niet vastgesteld dat het implantaat alle gemelde verliezen heeft veroorzaakt. Het bedrijf zei getroffen gebruikers te contacten en met autoriteiten samen te werken.
Twee schattingen, twee methoden, dezelfde schaal
Alex Thorn, onderzoeksdirecteur bij Galaxy Digital, rapporteerde ongeveer $91 miljoen verspreid over 477 adressen op Bitcoin, aan Ethereum gerelateerde netwerken en Tron. Thorn schreef $64,5 miljoen van de vermoedelijke diefstallen toe aan Tron, waaronder ongeveer 64,3 miljoen USDT. Bitcoin was goed voor $17,7 miljoen, of ongeveer 213 BTC. Ethereum en gerelateerde netwerken droegen $8,8 miljoen bij.
Bitquery telde ongeveer $93,2 miljoen van 315 wallets op zes blockchains. De twee schattingen gebruiken verschillende adressets en methoden, en geen van beide telt het aantal gemanipuleerde apparaten.
Bitquery identificeerde transactiepatronen die erop wijzen dat aanvallers de controle over meerdere wallets verkregen vóór een gecoördineerde opname op 9 oktober. Vijfentwintig Tron-wallets ondertekenden binnen drie seconden dezelfde token-goedkeuring, waardoor ongeveer $29 miljoen aan USDT binnen enkele momenten kon worden opgenomen. Kleine testtransacties werden gedurende ongeveer twee weken vóór de grotere diefstallen uitgevoerd, wat suggereert dat de voorbereidingen al ruim vóór de meldingen van vermiste fondsen aan de gang waren.
Bitquery schatte dat Tether ongeveer $10 miljoen aan gestolen USDT had bevroren. Het identificeerde ook $5,35 miljoen aan USDC dat uitgever Circle kon bevriezen nadat fondsen via Tornado Cash en Zcash waren verplaatst.
De wederverkoperskwestie
CryptoQuant-analist Darkfost suggereerde andere regionale wederverkopers te onderzoeken op mogelijke toeleveringsketenblootstelling, terwijl hij erkende dat de zorg speculatief was en niet door bevestigd bewijs werd ondersteund. CryptoBilis heeft niet gezegd wanneer het de verkoop zou kunnen hervatten.
Voorlopig blijven de concrete feiten beperkt: één bevestigd implantaat, een opgeschorte wederverkoper en twee onafhankelijke schattingen die het eens zijn over de schaal maar niet over de adressen. Ledger heeft niet uitgelegd hoe de aangepaste apparaten bij klanten terechtkwamen, en er is geen tijdlijn gegeven voor de afronding van het onderzoek.
