Ledger potwierdził nieautoryzowany implant sprzętowy w portfelu jednego z poszkodowanych klientów, podczas gdy śledczy szacują, że około 93,2 mln USD podejrzewanych kradzieży kryptowalut jest powiązanych ze zmodyfikowanymi urządzeniami sprzedawanymi przez resellera z Azji Południowo-Wschodniej. Firma poinformowała, że nie znalazła żadnych oznak naruszenia własnej infrastruktury bezpieczeństwa, systemów ani usług.
CryptoBilis, autoryzowany reseller z tego regionu, zawiesił sprzedaż całego zapasu portfeli sprzętowych do czasu zakończenia śledztwa.
Co Tibane Labs znalazło wewnątrz urządzeń
Śledztwo rozpoczęło się po tym, jak klienci zgłosili utratę kryptowalut po zakupie urządzeń Ledger od resellera. Tibane Labs udokumentowało trzy generacje implantów Ledger Nano X zaprojektowanych do przechwytywania fraz odzyskiwania, łącząc demontaż wcześniejszego implantu dokonany przez Joe Granda z dwoma egzemplarzami zbadanymi we wrześniu.
Implanty działają poprzez monitorowanie sygnałów elektronicznych przesyłanych między elementem bezpiecznym portfela a jego wyświetlaczem. Na podstawie tych sygnałów atakujący mogą odtworzyć 24-słowną frazę odzyskiwania i przesłać ją przez modem komórkowy — bez konieczności fizycznej kradzieży i bez naruszenia bezpiecznego chipa Ledger.
Najbardziej zaawansowana wersja zbadana przez Tibane zawierała niestandardową płytkę drukowaną ukrytą pod ekranem, z modemem LTE, anteną i komponentami, których oznaczenia identyfikacyjne zostały usunięte. Zachowała oryginalną baterię i mogła przejść kontrolę wizualną nawet po otwarciu obudowy, według laboratorium.
Dwa egzemplarze Tibane zostały kupione za pośrednictwem japońskich marketplace'ów, a nie od CryptoBilis. Laboratorium wydało również jednoznaczne ostrzeżenie: każdą frazę odzyskiwania wyświetloną na zmodyfikowanym urządzeniu należy traktować jako ujawnioną, a środki należy przenieść do portfela z nową frazą wygenerowaną na zaufanym urządzeniu.
Dlaczego Genuine Check tego nie wykrywa
Genuine Check firmy Ledger weryfikuje autentyczność elementu bezpiecznego. Nie jest w stanie wykryć nieautoryzowanych modyfikacji fizycznych, takich jak implanty szpiegujące, jeśli ten element pozostaje nienaruszony. Ta luka jest kluczowa w tej sprawie: urządzenie może przejść kontrolę i nadal być skompromitowane.
Ledger nie ujawnił, ile urządzeń zostało zmodyfikowanych, i nie ustalił, że implant spowodował wszystkie zgłoszone straty. Firma poinformowała, że kontaktuje się z poszkodowanymi użytkownikami i koordynuje działania z władzami.
Dwa szacunki, dwie metody, ta sama skala
Alex Thorn, analityk ds. badań w Galaxy Digital, poinformował o około 91 mln USD na 477 adresach w sieciach Bitcoin, powiązanych z Ethereum i Tron. Thorn przypisał 64,5 mln USD podejrzewanych kradzieży sieci Tron, w tym około 64,3 mln USDT. Bitcoin odpowiadał za 17,7 mln USD, czyli około 213 BTC. Ethereum i powiązane sieci wniosły 8,8 mln USD.
Bitquery naliczyło około 93,2 mln USD z 315 portfeli w sześciu blockchainach. Oba szacunki wykorzystują różne zestawy adresów i metody, a żaden nie podaje liczby zmodyfikowanych urządzeń.
Bitquery zidentyfikowało wzorce transakcji sugerujące, że atakujący przejęli kontrolę nad wieloma portfelami przed skoordynowanym wypłaceniem środków 9 października. Dwadzieścia pięć portfeli Tron podpisało tę samą zgodę na tokeny w ciągu trzech sekund, co pozwoliło na wypłacenie około 29 mln USDT w ciągu chwil. Małe transakcje testowe były przeprowadzane przez około dwa tygodnie przed większymi kradzieżami, co sugeruje, że przygotowania trwały na długo przed tym, jak użytkownicy zgłosili brakujące środki.
Bitquery oszacowało, że Tether zamroził około 10 mln USD skradzionych USDT. Zidentyfikowało również 5,35 mln USD w USDC, które emitent Circle mógł zamrozić po tym, jak środki przeszły przez Tornado Cash i Zcash.
Kwestia resellera
Analityk CryptoQuant, Darkfost, zasugerował zbadanie innych regionalnych resellerów pod kątem możliwego narażenia łańcucha dostaw, przyznając jednocześnie, że obawa ta jest spekulacyjna i niepoparta potwierdzonymi dowodami. CryptoBilis nie poinformował, kiedy może wznowić sprzedaż.
Na razie konkretne fakty pozostają wąskie: jeden potwierdzony implant, zawieszony reseller i dwa niezależne szacunki, które zgadzają się co do skali, ale nie co do adresów. Ledger nie wyjaśnił, w jaki sposób zmodyfikowane urządzenia trafiły do klientów, i nie podano harmonogramu zakończenia śledztwa.
