Ledger hat bestätigt, dass ein unbefugtes Hardware-Implantat, das in einem von dem südostasiatischen Wiederverkäufer CryptoBilis verkauften Krypto-Signer gefunden wurde, die 24-Wort-Wiederherstellungsphrasen der Nutzer erfassen und über ein Mobilfunknetz übertragen kann.
Zusammenfassung
- Ledger bestätigte ein Hardware-Implantat in einem betroffenen Signer, der über den südostasiatischen Wiederverkäufer CryptoBilis verkauft wurde.
- Das Implantat liest Wiederherstellungsphrasen während der Einrichtung und überträgt die erfassten Wörter über eine LTE-Verbindung.
- Ledger gibt an, dass das Implantat separat arbeitet, ohne sein Secure Element, Betriebssystem oder Signaturen zu verändern.
- CryptoBilis hat den Verkauf von Ledger-Signern ausgesetzt, während Ermittler betroffene Geräte und gemeldete Kundenschäden untersuchen.
- Ledger hat weder die Gesamtzahl der Opfer noch die insgesamt gemeldeten Krypto-Verluste verifiziert.
Ledger veröffentlichte die Ergebnisse am 13. Oktober, nach einer Untersuchung durch sein Sicherheitsteam Donjon zu am 9. Oktober gemeldeten Krypto-Verlusten. Das Unternehmen bestätigte am 10. Oktober das Vorhandensein eines Implantats in einem Gerät eines betroffenen Kunden und erklärte, dass jeder von ihm in dem Vorfall verifizierte Vermögensverlust Geräte betraf, die über CryptoBilis gekauft wurden. Der Wiederverkäufer hat den Verkauf von Ledger-Signern ausgesetzt, während Ermittler die betroffene Hardware untersuchen.
Untersuchung zur Ledger-Wallet-Sicherheit deckt verstecktes Spionagegerät auf
Den neuesten Erkenntnissen des Unternehmens zufolge befindet sich die unbefugte Komponente im Gehäuse der Wallet und überwacht die auf ihrem Bildschirm angezeigten Informationen. Während des anfänglichen Einrichtungsprozesses zeigt ein Ledger-Signer eine 24-Wort-Wiederherstellungsphrase an, mit der Nutzer den Zugriff auf ihre Krypto-Bestände wiederherstellen können.
Das Implantat enthält einen Mikrocontroller, der die während der Einrichtung angezeigten Informationen lesen kann. Wenn er Bildschirme mit Wiederherstellungsphrasen erkennt, dekodiert er die Wörter und überträgt die Informationen über eine LTE-Verbindung unter Verwendung einer bereitgestellten eSIM. Ledgers Erkenntnisse deuten darauf hin, dass die Komponente unabhängig von den normalen Sicherheitssystemen des Signers arbeitet.
In seiner Erklärung erläuterte Ledger, dass das Gerät das Secure Element, den für den Schutz privater Schlüssel verantwortlichen Chip, nicht verändert. Das Implantat verändert weder das Ledger-Betriebssystem noch Krypto-Transaktionen oder digitale Signaturen. Seine Funktion besteht darin, sensible Informationen zu erfassen, die während der Initialisierung der Wallet angezeigt werden.
Das Unternehmen erklärte, seine Untersuchung habe nicht ergeben, dass der Vorfall Geräte betrifft, die über andere Vertriebskanäle gekauft wurden. „Wir haben keinen Drain verifiziert, der mit einem anderswo gekauften Signer zusammenhängt“, erklärte Ledger. Seine Sicherheitsforscher prüfen jedoch weiterhin Berichte über Hardware-Modifikationen in anderen Geräten und an anderen Orten.
Die neuesten technischen Erkenntnisse liefern zusätzliche Informationen über die versteckte Hardware, die in von CryptoBilis verkauften Ledger-Wallets entdeckt wurde. Ledger bestätigte zunächst am 10. Oktober das Vorhandensein einer unbefugten Komponente, hatte zu diesem Zeitpunkt jedoch deren Funktionsweise nicht öffentlich dargelegt.
CryptoBilis stoppt Verkäufe, während Ledger gemeldete Diebstähle untersucht
Die Untersuchung begann, nachdem Ledger Berichte über fehlende Kryptowährungen von Kunden erhalten hatte, die Geräte über CryptoBilis, einen Hardware-Wallet-Wiederverkäufer für südostasiatische Märkte, gekauft hatten. Am 9. Oktober begann der Hersteller, die Beschwerden zu prüfen, und forderte den Distributor auf, den Verkauf und Versand seiner Produkte einzustellen.
Bis zum 10. Oktober hatte das Sicherheitsteam des Unternehmens ein unbefugtes Implantat in einem Gerät eines betroffenen Kunden identifiziert. CryptoBilis bestätigte anschließend, dass es den Verkauf von Ledger-Signern eingestellt hatte, während die Untersuchung fortgesetzt wurde.
Ledger hat nicht festgestellt, wie die unbefugten Komponenten in die betroffenen Geräte gelangten oder wer für ihren Einbau verantwortlich ist. Das Unternehmen hat keine Verhaftungen, strafrechtlichen Anklagen oder abgeschlossenen Durchsetzungsmaßnahmen im Zusammenhang mit dem Vorfall bekannt gegeben.
Unterdessen schätzte das Blockchain-Analyseunternehmen Bitquery in seiner Analyse vom 12. Oktober, dass mutmaßliche Kryptowährungsdiebstähle im Zusammenhang mit der Untersuchung etwa 102 Millionen US-Dollar über 324 Wallets erreichten. Das Unternehmen verfolgte Bewegungen mit Bitcoin, Ethereum und anderen Blockchain-Netzwerken, während es mögliche Verbindungen zwischen betroffenen Adressen untersuchte.
Die Zahlen bleiben unabhängige Schätzungen. Ledger hat weder Bitquerys Verlustberechnung noch die Anzahl der betroffenen Kunden bestätigt oder ob jede von Forschern identifizierte verdächtige Transaktion auf das Hardware-Implantat zurückzuführen ist.
In seiner Erklärung vom 13. Oktober sagte der Hersteller: „Wir haben weder die Gesamtzahl der betroffenen Nutzer noch den Gesamtwert des Verlusts bestätigt.“ Er warnte, dass online kursierende Zahlen von Dritten stammten und von seinen Ermittlern nicht vollständig verifiziert worden seien.
Separat erklärte das Unternehmen, dass sein Donjon-Team weiterhin die während der Untersuchung eingereichten Geräte prüfen werde. Es wird erwartet, dass Forscher die physischen Modifikationen bewerten und feststellen, ob andere betroffene Signiergeräte ähnliche Komponenten enthalten.
Ledger fordert CryptoBilis-Kunden auf, ihre Kryptowährungen zu verschieben
Kunden, die bereits betroffene Geräte verwendet haben, wurden angewiesen, ihre Kryptowährung umgehend auf ein neues Signiergerät zu übertragen, das mit einer völlig neuen Wiederherstellungsphrase initialisiert wurde. Ledger warnte Nutzer ausdrücklich davor, ihre bestehenden Wiederherstellungswörter in ein anderes bei CryptoBilis gekauftes Gerät zu importieren oder wiederherzustellen.
Die Empfehlung folgt auf die Feststellungen des Unternehmens, dass das Implantat Wiederherstellungsphrasen erfassen kann, die während der Einrichtung angezeigt werden. Ein Nutzer, der eine exponierte Wiederherstellungsphrase auf eine andere Hardware-Wallet überträgt, würde weiterhin Anmeldeinformationen verwenden, die einem Angreifer möglicherweise bekannt sind.
Der Hersteller sagte, Opfer sollten sich mit den Strafverfolgungsbehörden abstimmen, bevor sie ihre Signiergeräte öffnen, insbesondere wenn das Gerät für eine Untersuchung benötigt werden könnte. Das Öffnen der Hardware ohne ordnungsgemäße Handhabung könnte den Zustand physischer Beweise beeinträchtigen.
Ledger bekräftigte, dass es Kunden niemals anrufen, unaufgeforderte Direktnachrichten senden oder ihre Wiederherstellungsphrasen anfordern würde. Die Warnung folgt auf separate Berichte über gefälschte Ledger-Websites, die versuchen, Wallet-Wiederherstellungsphrasen zu stehlen, obwohl keine direkte Verbindung zwischen diesen Phishing-Kampagnen und dem CryptoBilis-Hardware-Vorfall hergestellt wurde.
Für Kunden, die ihre Geräte anderswo erworben haben, hat Ledger über seine Support-Website Anleitungen zur Inspektion bereitgestellt. Das Unternehmen warnte, dass das Öffnen eines Signiergeräts es beschädigen kann, und riet Nutzern, sicherzustellen, dass ihre Wiederherstellungsphrasen sicher gesichert sind, bevor sie eine Inspektion versuchen.
Ledger Donjon setzt die Untersuchung von Hardware-Implantaten fort
Das Forschungsteam Ledger Donjon setzt seine technische Untersuchung der modifizierten Signiergeräte fort. Das Unternehmen sagte, seine Ermittler würden weitere Geräte analysieren, sobald sie eintreffen, und weitere Informationen veröffentlichen, sobald neue Erkenntnisse verifiziert wurden.
Das Team ist auf Hardware- und Softwaresicherheitsforschung spezialisiert, einschließlich physischer Angriffe auf Kryptowährungs-Signiergeräte. Die Forschungsdokumentation von Ledger beschreibt Arbeiten zu Schaltkreisanalyse, Komponenteninspektion und Tests von Sicherheitsmechanismen zum Schutz privater Schlüssel.
Die Untersuchung hat sich darauf konzentriert, wie die unbefugte Komponente Informationen vom Display des Geräts erfasste. Die Feststellungen von Ledger vom 13. Oktober identifizieren einen separaten Mikrocontroller und ein zellulares Kommunikationssystem, wobei keine bestätigte Modifikation des Secure Element oder des Signierprozesses vorliegt.
Das Unternehmen hat Informationen von Forschern und anderen angefordert, die möglicherweise Beweise zu den Modifikationen haben. Relevante Erkenntnisse können an [email protected] übermittelt werden, während betroffene Kunden an den Ledger-Support verwiesen wurden.
Ledger sagte, es werde weiterhin Berichte über andere Signiergerätemodelle und geografische Standorte prüfen. Das Unternehmen hat kein Datum für den Abschluss der Untersuchung oder die Veröffentlichung eines Abschlussberichts bekannt gegeben.
