Portfele sprzętowe Ledger zostały wycofane ze sprzedaży w sklepach MediaMarkt Saturn oraz online po zgłoszonym implancie w urządzeniu u klienta w Niemczech.
Podsumowanie
- MediaMarkt Saturn zawiesił sprzedaż portfeli sprzętowych Ledger w sklepach stacjonarnych i online za zgodą Ledger po zgłoszonym implancie w urządzeniu w Niemczech.
- Ledger poinformował, że w zgłoszonym przypadku w Niemczech nie utracono żadnych środków klientów i nie znalazł dowodów na to, że jego infrastruktura, systemy lub usługi zostały naruszone.
- Zespół bezpieczeństwa Donjon firmy Ledger zbada urządzenia otrzymane w trakcie dochodzenia, a personel wsparcia przeanalizuje zgłoszenia klientów.
- Zawieszenie nastąpiło po odrębnych ustaleniach dotyczących zmodyfikowanych urządzeń Ledger sprzedawanych przez CryptoBilis, gdzie nieautoryzowany sprzęt został użyty do przechwycenia fraz odzyskiwania portfela.
Zgodnie z oświadczeniem Ledger z 13 października, sprzedawca zaprzestał sprzedaży urządzeń za zgodą firmy, podczas gdy dochodzenie w sprawie zgłoszonej manipulacji sprzętem jest kontynuowane. Nie zgłoszono utraty środków klientów w związku z tą sprawą.
Zawieszenie obejmuje zarówno placówki handlowe stacjonarne, jak i sprzedaż online. Ledger nie podał daty wznowienia sprzedaży ani nie ujawnił, ile urządzeń może wymagać inspekcji.
Firma poinformowała, że nie znalazła żadnych przesłanek wskazujących na naruszenie jej infrastruktury, systemów lub usług. Jej zespół wsparcia analizuje zgłoszenia klientów, a zespół badawczy ds. bezpieczeństwa Donjon zbada urządzenia otrzymane w ramach dochodzenia.
Ledger bada zgłoszony implant sprzętowy w Niemczech
Zgłoszony implant wzbudził pytania o integralność portfeli sprzętowych sprzedawanych przez zewnętrzne kanały detaliczne. Oświadczenie Ledger nie wskazało modelu affected urządzenia, sklepu, w którym je zakupiono, ani metody użytej do jego modyfikacji.
Firma nie potwierdziła, czy niemieckie zgłoszenie jest powiązane z innymi podejrzanymi przypadkami manipulacji sprzętem.
Zespół Donjon firmy Ledger specjalizuje się w testowaniu bezpieczeństwa produktów sprzętowych i programowych. Według firmy zespół zbada urządzenia przekazane do inspekcji, a personel wsparcia przeanalizuje zgłoszenia użytkowników.
Chociaż dochodzenie pozostaje otwarte, Ledger ostrzegł przed poleganiem na liczbach i twierdzeniach krążących w internecie, które nie zostały niezależnie zweryfikowane.
Firma poinformowała, że będzie publikować dalsze informacje w miarę postępów dochodzenia.
Dochodzenie CryptoBilis ujawniło metodę kradzieży fraz odzyskiwania
Wcześniej 13 października crypto.news poinformował o ustaleniach technicznych Ledger dotyczących zmodyfikowanych urządzeń sprzedawanych przez południowoazjatyckiego resellera CryptoBilis.
Badacze z Donjon firmy Ledger potwierdzili, że nieautoryzowany komponent wewnątrz affected signera mógł odczytywać frazy odzyskiwania wyświetlane podczas konfiguracji urządzenia i przesyłać te informacje przez połączenie komórkowe LTE.
Implant wykorzystywał oddzielny mikrokontroler i eSIM do przechwytywania słów odzyskiwania bez zmiany Secure Element urządzenia, systemu operacyjnego ani podpisów transakcji.
Ledger potwierdził obecność implantu 10 października po otrzymaniu skarg o brakującej kryptowalucie od klientów CryptoBilis począwszy od 9 października.
Reseller następnie zawiesił sprzedaż portfeli sprzętowych, podczas gdy firma badała zgłoszone straty.
Firma analityczna ds. blockchain Bitquery oszacowała podejrzane straty na około 102 miliony dolarów w 324 portfelach w analizie z 12 października. Ledger nie zweryfikował kwoty, całkowitej liczby ofiar ani tego, czy wszystkie podejrzane transakcje zostały spowodowane przez zmodyfikowane urządzenia.
W opublikowanych wcześniej we wtorek ustaleniach Ledger stwierdził, że każda strata funduszy, którą zweryfikował w dochodzeniu CryptoBilis, dotyczyła urządzeń zakupionych za pośrednictwem tego sprzedawcy. Firma nie potwierdziła żadnej kradzieży związanej z podpisującymi zakupionymi przez inne kanały dystrybucji.
Firma poinstruowała klientów, którzy nie zainicjowali urządzeń CryptoBilis, aby powstrzymali się od ich konfigurowania. Klientom, którzy już korzystali z potencjalnie zagrożonych portfeli, zalecano przeniesienie kryptowaluty na nowe urządzenia zainicjowane nowymi frazami odzyskiwania.
Ledger ostrzegł, że przywrócenie istniejącej frazy odzyskiwania na innym urządzeniu nie ochroni funduszy, jeśli oryginalna fraza została już ujawniona.
Ledger ostrzega klientów przed oszustwami związanymi z frazami odzyskiwania
Pojawiły się odrębne ostrzeżenia dotyczące bezpieczeństwa w związku z fałszywymi stronami internetowymi podszywającymi się pod Ledger i próbującymi pozyskać frazy odzyskiwania portfeli.
11 października badacze zidentyfikowali fałszywe strony internetowe Ledger pojawiające się w wynikach wyszukiwania Google, w tym strony kierujące użytkowników do fałszywych aplikacji portfeli.
Firma zajmująca się cyberbezpieczeństwem Zscaler udokumentowała podobną operację phishingową we wrześniu, związaną ze złośliwymi reklamami Google. Jej badacze odkryli, że fałszywe strony weryfikacyjne zbierały frazy odzyskiwania i przesyłały je do domeny kontrolowanej przez atakującego.
Kampanie phishingowe nie zostały powiązane z dochodzeniem w sprawie implantu sprzętowego CryptoBilis ani z zgłoszonym niemieckim urządzeniem.
W swoim najnowszym oświadczeniu Ledger ostrzegł klientów, że jego personel wsparcia nigdy nie będzie do nich dzwonił, wysyłał niechcianych wiadomości bezpośrednich ani nie prosił o ich frazy odzyskiwania.
Klienci zostali poinstruowani, aby w kwestii informacji o dochodzeniu opierać się na oficjalnych komunikatach Ledger i MediaMarkt Saturn.
Ledger poinformował, że będzie udostępniać wszelkie przyszłe ustalenia, gdy jego zespół ds. bezpieczeństwa będzie kontynuował badanie zgłoszonych incydentów.
