Ledger підтвердила наявність несанкціонованого апаратного імпланта в гаманці одного постраждалого клієнта, оскільки слідчі оцінюють, що приблизно $93,2 млн ймовірно викраденої криптовалюти пов'язані з підробленими пристроями, проданими через південно-східноазійського реселера. Компанія заявила, що не виявила жодних ознак компрометації власної інфраструктури безпеки, систем чи сервісів.
CryptoBilis, авторизований реселер із цього регіону, призупинив продаж усіх запасів апаратних гаманців до завершення розслідування.
Що Tibane Labs виявила всередині пристроїв
Розслідування розпочалося після того, як клієнти повідомили про втрату криптовалюти після придбання пристроїв Ledger у реселера. Tibane Labs задокументувала три покоління імплантів для Ledger Nano X, призначених для перехоплення фраз відновлення, поєднавши розбір ранішого імпланта, зроблений Джо Грандом, із двома зразками, дослідженими у вересні.
Імпланти працюють шляхом моніторингу електронних сигналів, що передаються між захищеним елементом гаманця та його дисплеєм. З цих сигналів зловмисники можуть відновити 24-словну фразу відновлення та передати її через стільниковий модем — без фізичної крадіжки та без компрометації захищеного чипа Ledger.
Найдосконаліша версія, яку дослідила Tibane, містила спеціальну друковану плату, приховану під екраном, з LTE-модемом, антеною та компонентами, чиї ідентифікаційні маркування були видалені. За словами лабораторії, вона зберегла оригінальну батарею та могла пройти візуальний огляд навіть після відкриття корпусу.
Два зразки Tibane були придбані через японські торгові майданчики, а не в CryptoBilis. Лабораторія також оприлюднила пряме попередження: будь-яку фразу відновлення, показану на скомпрометованому пристрої, слід вважати розкритою, а кошти необхідно перевести на гаманець із новою фразою, згенерованою на довіреному пристрої.
Чому Genuine Check це не виявляє
Функція Ledger Genuine Check перевіряє справжність захищеного елемента. Вона не може виявити несанкціоновані фізичні модифікації, такі як шпигунські імпланти, якщо цей елемент залишається недоторканим. Ця прогалина є центральною в цій справі: пристрій може пройти перевірку і все одно бути скомпрометованим.
Ledger не повідомила, скільки пристроїв було модифіковано, і не встановила, що імплант став причиною всіх заявлених втрат. Компанія заявила, що зв'язується з постраждалими користувачами та координує дії з правоохоронними органами.
Дві оцінки, два методи, один масштаб
Дослідницький керівник Galaxy Digital Алекс Торн повідомив про приблизно $91 млн на 477 адресах у Bitcoin, мережах, пов'язаних з Ethereum, та Tron. Торн відніс $64,5 млн ймовірних крадіжок до Tron, включаючи приблизно 64,3 млн USDT. Bitcoin становив $17,7 млн, або близько 213 BTC. Ethereum та пов'язані мережі додали $8,8 млн.
Bitquery нарахувала приблизно $93,2 млн з 315 гаманців у шести блокчейнах. Дві оцінки використовують різні набори адрес і методи, і жодна з них не враховує кількість підроблених пристроїв.
Bitquery виявила патерни транзакцій, які свідчать про те, що зловмисники отримали контроль над кількома гаманцями перед скоординованим виведенням коштів 9 жовтня. Двадцять п'ять гаманців Tron підписали схвалення одного й того ж токена протягом трьох секунд, що дозволило вивести приблизно $29 млн у USDT за лічені миті. Невеликі тестові транзакції проводилися протягом приблизно двох тижнів до більших крадіжок, що свідчить про підготовку задовго до того, як користувачі повідомили про зникнення коштів.
Bitquery оцінила, що Tether заморозив приблизно $10 млн викрадених USDT. Вона також виявила $5,35 млн у USDC, які емітент Circle міг заморозити після того, як кошти пройшли через Tornado Cash і Zcash.
Питання реселера
Аналітик CryptoQuant Darkfost запропонував перевірити інших регіональних реселерів на предмет можливого впливу на ланцюг поставок, визнавши, що ця стурбованість є спекулятивною і не підтверджена доказами. CryptoBilis не повідомив, коли може відновити продажі.
Наразі конкретні факти залишаються обмеженими: один підтверджений імплант, призупинений реселер і дві незалежні оцінки, які збігаються в масштабі, але не в адресах. Ledger не пояснила, як модифіковані пристрої потрапили до клієнтів, і не вказала термінів завершення розслідування.
