Ledger đã xác nhận một thiết bị cấy ghép phần cứng trái phép trong ví của một khách hàng bị ảnh hưởng, trong khi các nhà điều tra ước tính khoảng 93,2 triệu USD bị nghi ngờ đánh cắp tiền mã hóa có liên quan đến các thiết bị bị can thiệp được bán qua một nhà bán lại ở Đông Nam Á. Công ty cho biết họ không tìm thấy dấu hiệu nào cho thấy cơ sở hạ tầng, hệ thống hoặc dịch vụ bảo mật của chính họ bị xâm phạm.
CryptoBilis, một nhà bán lại được ủy quyền trong khu vực, đã tạm ngừng bán toàn bộ hàng tồn kho ví phần cứng cho đến khi cuộc điều tra kết thúc.
Những gì Tibane Labs tìm thấy bên trong các thiết bị
Cuộc điều tra bắt đầu sau khi khách hàng báo cáo mất tiền mã hóa sau khi mua thiết bị Ledger từ nhà bán lại. Tibane Labs đã ghi nhận ba thế hệ thiết bị cấy ghép Ledger Nano X được thiết kế để đánh chặn cụm từ khôi phục, kết hợp bản phân tích của Joe Grand về một thiết bị cấy ghép trước đó với hai mẫu vật được kiểm tra vào tháng 9.
Các thiết bị cấy ghép hoạt động bằng cách giám sát tín hiệu điện tử được gửi giữa phần tử bảo mật của ví và màn hình của nó. Từ những tín hiệu đó, kẻ tấn công có thể tái tạo cụm từ khôi phục 24 từ và truyền nó qua modem di động — không cần đánh cắp vật lý, và không làm xâm phạm chip bảo mật của Ledger.
Phiên bản tiên tiến nhất mà Tibane kiểm tra chứa một bảng mạch tùy chỉnh được giấu dưới màn hình, với modem LTE, ăng-ten và các linh kiện đã bị xóa nhãn nhận dạng. Theo phòng thí nghiệm, nó giữ nguyên pin gốc và có thể qua được kiểm tra bằng mắt thường ngay cả sau khi mở vỏ.
Hai mẫu vật của Tibane được mua qua các chợ trực tuyến Nhật Bản thay vì từ CryptoBilis. Phòng thí nghiệm cũng đưa ra cảnh báo thẳng thắn: bất kỳ cụm từ khôi phục nào hiển thị trên thiết bị bị xâm phạm đều phải được coi là đã bị lộ, và tiền nên được chuyển sang ví có cụm từ mới được tạo trên thiết bị đáng tin cậy.
Tại sao Genuine Check không phát hiện được
Genuine Check của Ledger xác minh tính xác thực của phần tử bảo mật. Nó không thể phát hiện các sửa đổi vật lý trái phép, chẳng hạn như thiết bị cấy ghép do thám, nếu phần tử đó vẫn nguyên vẹn. Khoảng trống này là trọng tâm của vụ việc: một thiết bị có thể vượt qua kiểm tra và vẫn bị xâm phạm.
Ledger chưa cho biết có bao nhiêu thiết bị bị sửa đổi, và chưa xác định rằng thiết bị cấy ghép gây ra tất cả các tổn thất được báo cáo. Công ty cho biết đang liên hệ với người dùng bị ảnh hưởng và phối hợp với chính quyền.
Hai ước tính, hai phương pháp, cùng quy mô
Giám đốc nghiên cứu của Galaxy Digital, Alex Thorn, báo cáo khoảng 91 triệu USD trên 477 địa chỉ trên Bitcoin, các mạng liên quan đến Ethereum và Tron. Thorn quy 64,5 triệu USD trong số các vụ trộm bị nghi ngờ cho Tron, bao gồm khoảng 64,3 triệu USDT. Bitcoin chiếm 17,7 triệu USD, tương đương khoảng 213 BTC. Ethereum và các mạng liên quan đóng góp 8,8 triệu USD.
Bitquery đếm được khoảng 93,2 triệu USD từ 315 ví trên sáu blockchain. Hai ước tính sử dụng các bộ địa chỉ và phương pháp khác nhau, và cả hai đều không đếm số lượng thiết bị bị can thiệp.
Bitquery đã xác định các mẫu giao dịch cho thấy kẻ tấn công đã kiểm soát nhiều ví trước một đợt rút tiền phối hợp vào ngày 9 tháng 10. Hai mươi lăm ví Tron đã ký cùng một phê duyệt token trong vòng ba giây, cho phép rút khoảng 29 triệu USD USDT trong chốc lát. Các giao dịch thử nghiệm nhỏ đã được thực hiện trong khoảng hai tuần trước các vụ trộm lớn hơn, cho thấy công tác chuẩn bị đã diễn ra từ lâu trước khi người dùng báo cáo mất tiền.
Bitquery ước tính Tether đã đóng băng khoảng 10 triệu USD USDT bị đánh cắp. Nó cũng xác định 5,35 triệu USD USDC mà tổ chức phát hành Circle có thể đóng băng sau khi tiền di chuyển qua Tornado Cash và Zcash.
Câu hỏi về nhà bán lại
Nhà phân tích Darkfost của CryptoQuant đề xuất kiểm tra các nhà bán lại khu vực khác để tìm khả năng phơi nhiễm chuỗi cung ứng, đồng thời thừa nhận lo ngại này là suy đoán và không được bằng chứng xác nhận hỗ trợ. CryptoBilis chưa cho biết khi nào có thể tiếp tục bán hàng.
Hiện tại, các dữ kiện cụ thể vẫn còn hạn chế: một thiết bị cấy ghép được xác nhận, một nhà bán lại bị tạm ngừng, và hai ước tính độc lập đồng ý về quy mô nhưng không đồng ý về địa chỉ. Ledger chưa giải thích cách các thiết bị bị sửa đổi đến tay khách hàng, và chưa có mốc thời gian nào cho việc kết thúc cuộc điều tra.
