Ledger har bekräftat ett obehörigt hårdvaruimplantat i en drabbad kunds plånbok, samtidigt som utredare uppskattar att cirka 93,2 miljoner dollar i misstänkta kryptostölder är kopplade till manipulerade enheter som sålts via en återförsäljare i Sydostasien. Företaget uppger att det inte finns några tecken på att den egna säkerhetsinfrastrukturen, systemen eller tjänsterna har komprometterats.
CryptoBilis, en auktoriserad återförsäljare baserad i regionen, har pausat försäljningen av allt lager av hårdvaruplånböcker i väntan på att utredningen ska slutföras.
Vad Tibane Labs hittade inuti enheterna
Utredningen inleddes efter att kunder rapporterat att de förlorat krypto efter att ha köpt Ledger-enheter från återförsäljaren. Tibane Labs dokumenterade tre generationer av implantat för Ledger Nano X som utformats för att fånga upp återställningsfraser, genom att kombinera Joe Grands nedmontering av ett tidigare implantat med två exemplar som undersöktes i september.
Implantaten fungerar genom att övervaka elektroniska signaler som skickas mellan plånbokens säkra element och dess display. Utifrån dessa signaler kan angripare rekonstruera den 24 ord långa återställningsfrasen och skicka den via ett mobilmodem – ingen fysisk stöld krävs, och Ledgers säkra chip behöver inte komprometteras.
Den mest avancerade versionen som Tibane undersökte innehöll ett specialtillverkat kretskort dolt under skärmen, med ett LTE-modem, en antenn och komponenter vars identifierande märkningar tagits bort. Enligt laboratoriet bevarades det ursprungliga batteriet och enheten kunde passera visuell inspektion även efter att höljet öppnats.
Tibanes två exemplar köptes via japanska marknadsplatser snarare än från CryptoBilis. Laboratoriet utfärdade också en tydlig varning: varje återställningsfras som visats på en komprometterad enhet bör betraktas som röjd, och medel bör flyttas till en plånbok med en ny fras genererad på en betrodd enhet.
Varför Genuine Check inte fångar det
Ledgers Genuine Check verifierar det säkra elementets äkthet. Det kan inte upptäcka obehöriga fysiska modifieringar, såsom spionimplantat, om elementet förblir intakt. Detta gap är centralt i fallet: en enhet kan klara kontrollen och ändå vara komprometterad.
Ledger har inte uppgett hur många enheter som modifierats, och har inte fastställt att implantatet orsakat alla rapporterade förluster. Företaget uppger att man kontaktar drabbade användare och samordnar med myndigheter.
Två uppskattningar, två metoder, samma omfattning
Alex Thorn, forskningschef på Galaxy Digital, rapporterade cirka 91 miljoner dollar över 477 adresser på Bitcoin, Ethereum-relaterade nätverk och Tron. Thorn tillskrev 64,5 miljoner dollar av de misstänkta stölderna till Tron, inklusive cirka 64,3 miljoner USDT. Bitcoin stod för 17,7 miljoner dollar, eller cirka 213 BTC. Ethereum och relaterade nätverk bidrog med 8,8 miljoner dollar.
Bitquery räknade till cirka 93,2 miljoner dollar från 315 plånböcker över sex blockkedjor. De två uppskattningarna använder olika adressuppsättningar och metoder, och ingen av dem anger antalet manipulerade enheter.
Bitquery identifierade transaktionsmönster som tyder på att angripare fick kontroll över flera plånböcker före ett samordnat uttag den 9 oktober. Tjugofem Tron-plånböcker signerade samma token-godkännande inom tre sekunder, vilket möjliggjorde uttag av cirka 29 miljoner dollar i USDT inom loppet av ögonblick. Små testtransaktioner genomfördes under cirka två veckor före de större stölderna, vilket tyder på att förberedelser pågick långt innan användare rapporterade saknade medel.
Bitquery uppskattade att Tether hade fryst cirka 10 miljoner dollar i stulen USDT. Man identifierade också 5,35 miljoner dollar i USDC som utgivaren Circle skulle kunna frysa efter att medel flyttats genom Tornado Cash och Zcash.
Frågan om återförsäljaren
CryptoQuant-analytikern Darkfost föreslog att man bör undersöka andra regionala återförsäljare för möjlig exponering i leveranskedjan, samtidigt som han medgav att farhågan var spekulativ och inte stöds av bekräftade bevis. CryptoBilis har inte uppgett när man kan återuppta försäljningen.
För närvarande är de konkreta fakta begränsade: ett bekräftat implantat, en avstängd återförsäljare och två oberoende uppskattningar som stämmer överens om omfattningen men inte om adresserna. Ledger har inte förklarat hur de modifierade enheterna nådde kunderna, och ingen tidsplan har angetts för när utredningen ska slutföras.
