Ledger a confirmat prezența unui implant hardware neautorizat în portofelul unui client afectat, în timp ce anchetatorii estimează că aproximativ 93,2 milioane de dolari din presupusele furturi de criptomonede sunt legate de dispozitive modificate vândute printr-un revânzător din Asia de Sud-Est. Compania a declarat că nu a găsit nicio indicație că infrastructura, sistemele sau serviciile sale de securitate ar fi fost compromise.
CryptoBilis, un revânzător autorizat din regiune, a suspendat vânzările tuturor stocurilor de portofele hardware până la finalizarea anchetei.
Ce a găsit Tibane Labs în interiorul dispozitivelor
Ancheta a început după ce clienții au raportat pierderi de criptomonede după ce au cumpărat dispozitive Ledger de la revânzător. Tibane Labs a documentat trei generații de implanturi pentru Ledger Nano X concepute pentru a intercepta frazele de recuperare, combinând analiza demontării unui implant anterior realizată de Joe Grand cu două specimene examinate în septembrie.
Implanturile funcționează prin monitorizarea semnalelor electronice trimise între elementul securizat al portofelului și ecranul acestuia. Din aceste semnale, atacatorii pot reconstrui fraza de recuperare de 24 de cuvinte și o pot transmite printr-un modem celular — fără a fi nevoie de furt fizic și fără compromiterea cipului securizat Ledger.
Cea mai avansată versiune examinată de Tibane conținea o placă de circuit personalizată ascunsă sub ecran, cu un modem LTE, o antenă și componente ale căror marcaje de identificare fuseseră îndepărtate. Aceasta păstra bateria originală și putea trece inspecția vizuală chiar și după deschiderea carcasei, potrivit laboratorului.
Cele două specimene ale Tibane au fost cumpărate prin piețe japoneze, nu de la CryptoBilis. Laboratorul a emis, de asemenea, un avertisment tranșant: orice frază de recuperare afișată pe un dispozitiv compromis ar trebui tratată ca expusă, iar fondurile ar trebui mutate într-un portofel cu o frază nouă generată pe un dispozitiv de încredere.
De ce Genuine Check nu îl detectează
Genuine Check de la Ledger verifică autenticitatea elementului securizat. Nu poate detecta modificările fizice neautorizate, cum ar fi implanturile de spionaj, dacă acel element rămâne intact. Această lacună este centrală în caz: un dispozitiv poate trece verificarea și totuși să fie compromis.
Ledger nu a precizat câte dispozitive au fost modificate și nu a stabilit că implantul a cauzat toate pierderile raportate. Compania a declarat că contactează utilizatorii afectați și coordonează cu autoritățile.
Două estimări, două metode, aceeași amploare
Alex Thorn, executiv de cercetare la Galaxy Digital, a raportat aproximativ 91 de milioane de dolari în 477 de adrese pe Bitcoin, rețele legate de Ethereum și Tron. Thorn a atribuit 64,5 milioane de dolari din presupusele furturi către Tron, inclusiv aproximativ 64,3 milioane USDT. Bitcoin a reprezentat 17,7 milioane de dolari, sau aproximativ 213 BTC. Ethereum și rețelele conexe au contribuit cu 8,8 milioane de dolari.
Bitquery a numărat aproximativ 93,2 milioane de dolari din 315 portofele de pe șase blockchain-uri. Cele două estimări folosesc seturi de adrese și metode diferite și niciuna nu numără dispozitivele modificate.
Bitquery a identificat tipare de tranzacții care sugerează că atacatorii au obținut controlul asupra mai multor portofele înainte de o retragere coordonată pe 9 octombrie. Douăzeci și cinci de portofele Tron au semnat aceeași aprobare de token în decurs de trei secunde, permițând retragerea a aproximativ 29 de milioane de dolari în USDT în câteva momente. Tranzacții mici de test au fost efectuate timp de aproximativ două săptămâni înainte de furturile mai mari, sugerând că pregătirile erau în curs cu mult înainte ca utilizatorii să raporteze fonduri lipsă.
Bitquery a estimat că Tether a înghețat aproximativ 10 milioane de dolari în USDT furat. De asemenea, a identificat 5,35 milioane de dolari în USDC pe care emitentul Circle le-ar putea îngheța după ce fondurile au trecut prin Tornado Cash și Zcash.
Întrebarea revânzătorului
Analistul CryptoQuant Darkfost a sugerat examinarea altor revânzători regionali pentru posibile expuneri în lanțul de aprovizionare, recunoscând totodată că îngrijorarea era speculativă și nesuportată de dovezi confirmate. CryptoBilis nu a precizat când ar putea relua vânzările.
Deocamdată, faptele concrete rămân limitate: un implant confirmat, un revânzător suspendat și două estimări independente care sunt de acord asupra amplorii, dar nu asupra adreselor. Ledger nu a explicat cum au ajuns dispozitivele modificate la clienți și nu a fost oferit niciun termen pentru finalizarea anchetei.
