13 октября Ledger объяснила, как аппаратный имплант в криптокошельке перехватывал показанную при настройке фразу восстановления и передавал её через LTE-соединение с eSIM.
Посторонний модуль подтвердили как минимум в одном устройстве, проданном реселлером CryptoBilis в Юго-Восточной Азии. Микроконтроллер распознавал и расшифровывал слова, появлявшиеся на экране.
Фраза восстановления — набор из 24 слов, позволяющий воссоздать кошелёк на другом устройстве и вывести активы без доступа к исходному Ledger.
Читайте также
Расследование началось 9 октября после сообщений клиентов CryptoBilis о пропаже средств. 10 октября Ledger подтвердила наличие импланта в одном устройстве, а 13 октября раскрыла принцип его работы.
Все подтверждённые Ledger случаи потери средств связаны с устройствами от CryptoBilis. Компания назвала число затронутых экземпляров ограниченным, а реселлер прекратил продажи аппаратных кошельков.
По данным Ledger, имплант работал отдельно от защищённого элемента: операционная система и механизм подписания транзакций не изменялись. Компания считает произошедшее физической атакой на цепочку поставок, а не взломом своего программного обеспечения или внутренних систем.
Модификацию мог не обнаружить Genuine Check. Проверка подтверждает подлинность защищённого элемента, но не выявляет добавленную электронику, если оригинальный чип остался внутри.
Сколько похитили
Ончейн-исследователь Specter отследил более $86 млн подозрительных переводов в сетях Ethereum, Tron и Bitcoin. Другие исследователи, опрошенные CoinDesk, оценили потери более 300 кошельков в сумму до $93,2 млн. Ledger не подтвердила эти расчёты, число пострадавших и связь всех найденных переводов с имплантом.
Компания продолжает изучать сообщения о модифицированных устройствах из других магазинов и регионов, но кражи с кошельков, приобретённых вне CryptoBilis, пока не подтвердила.
Что это значит
- Купившим Ledger у CryptoBilis не следует настраивать ещё не использованное устройство.
- Если кошелёк уже настроен, Ledger рекомендует перенести активы на новое устройство и создать новую фразу восстановления.
- Genuine Check не гарантирует физическую целостность кошелька. Ledger советует покупать устройства напрямую или у авторизованных продавцов, а продавцам — не возвращать в продажу возвращённые товары.
- Перед вскрытием предположительно модифицированного устройства нужно изучить инструкцию Ledger. Подозрительные кошельки компания просит отправлять ей для исследования.