Ledger подтвердила наличие несанкционированного аппаратного импланта в кошельке одного из пострадавших клиентов, поскольку следователи оценивают, что примерно $93,2 млн предполагаемых краж криптовалюты связаны с устройствами, подвергшимися вмешательству и проданными через юго-восточноазиатского реселлера. Компания заявила, что не обнаружила признаков компрометации собственной инфраструктуры безопасности, систем или сервисов.
CryptoBilis, авторизованный реселлер, базирующийся в регионе, приостановил продажи всех аппаратных кошельков из запасов до завершения расследования.
Что Tibane Labs обнаружила внутри устройств
Расследование началось после того, как клиенты сообщили о потере криптовалюты после покупки устройств Ledger у реселлера. Tibane Labs задокументировала три поколения имплантов для Ledger Nano X, предназначенных для перехвата фраз восстановления, объединив разбор более раннего импланта, проведённый Джо Грандом, с двумя образцами, изученными в сентябре.
Импланты работают путём мониторинга электронных сигналов, передаваемых между защищенным элементом кошелька и его дисплеем. По этим сигналам злоумышленники могут восстановить фразу восстановления из 24 слов и передать её через сотовый модем — физическая кража не требуется, и защищённый чип Ledger не компрометируется.
Самая продвинутая версия, которую изучила Tibane, содержала кастомную печатную плату, скрытую под экраном, с LTE-модемом, антенной и компонентами, идентифицирующие маркировки которых были удалены. По данным лаборатории, она сохраняла оригинальную батарею и могла пройти визуальный осмотр даже после вскрытия корпуса.
Два образца Tibane были куплены через японские торговые площадки, а не у CryptoBilis. Лаборатория также выступила с прямым предупреждением: любую фразу восстановления, отображённую на скомпрометированном устройстве, следует считать раскрытой, а средства необходимо перевести в кошелёк с новой фразой, сгенерированной на доверенном устройстве.
Почему Genuine Check это не обнаруживает
Функция Ledger Genuine Check проверяет подлинность защищённого элемента. Она не может обнаружить несанкционированные физические модификации, такие как шпионские импланты, если этот элемент остаётся нетронутым. Этот пробел является центральным в данном деле: устройство может пройти проверку и при этом быть скомпрометированным.
Ledger не сообщила, сколько устройств было модифицировано, и не установила, что имплант стал причиной всех заявленных потерь. Компания заявила, что связывается с пострадавшими пользователями и координирует действия с властями.
Две оценки, две методики, один масштаб
Руководитель исследований Galaxy Digital Алекс Торн сообщил о примерно $91 млн по 477 адресам в Bitcoin, сетях, связанных с Ethereum, и Tron. Торн отнёс $64,5 млн предполагаемых краж к Tron, включая примерно 64,3 млн USDT. На Bitcoin пришлось $17,7 млн, или около 213 BTC. Ethereum и связанные сети дали $8,8 млн.
Bitquery насчитала примерно $93,2 млн с 315 кошельков в шести блокчейнах. Две оценки используют разные наборы адресов и методы, и ни одна из них не учитывает количество модифицированных устройств.
Bitquery выявила паттерны транзакций, указывающие на то, что злоумышленники получили контроль над несколькими кошельками до скоординированного вывода средств 9 октября. Двадцать пять кошельков Tron подписали одно и то же одобрение токена в течение трёх секунд, что позволило вывести примерно $29 млн в USDT за считанные мгновения. Небольшие тестовые транзакции проводились в течение примерно двух недель до более крупных краж, что говорит о подготовке задолго до того, как пользователи сообщили о пропаже средств.
Bitquery оценила, что Tether заморозила примерно $10 млн украденных USDT. Она также выявила $5,35 млн в USDC, которые эмитент Circle мог бы заморозить после того, как средства прошли через Tornado Cash и Zcash.
Вопрос о реселлере
Аналитик CryptoQuant Darkfost предложил проверить других региональных реселлеров на возможную подверженность цепочке поставок, признав при этом, что опасения носят спекулятивный характер и не подтверждены доказательствами. CryptoBilis не сообщила, когда может возобновить продажи.
На данный момент конкретные факты остаются узкими: один подтверждённый имплант, приостановивший работу реселлер и две независимые оценки, которые совпадают в масштабе, но не в адресах. Ledger не объяснила, как модифицированные устройства попали к клиентам, и не назвала сроков завершения расследования.
