A Ledger confirmou que um implante de hardware não autorizado encontrado dentro de um assinador de criptomoedas vendido pela revendedora do Sudeste Asiático CryptoBilis pode capturar as frases de recuperação de 24 palavras dos usuários e transmiti-las por meio de uma rede celular.
Resumo
- A Ledger confirmou um implante de hardware dentro de um assinador afetado vendido pela revendedora do Sudeste Asiático CryptoBilis.
- O implante lê as frases de recuperação durante a configuração e transmite as palavras capturadas por meio de uma conexão LTE.
- A Ledger afirma que o implante opera separadamente, sem modificar seu Secure Element, sistema operacional ou assinaturas.
- A CryptoBilis suspendeu as vendas dos assinadores Ledger enquanto os investigadores examinam os dispositivos afetados e as perdas relatadas pelos clientes.
- A Ledger não verificou o número total de vítimas nem as perdas gerais em criptomoedas relatadas.
A Ledger divulgou as descobertas em 13 de outubro, após uma investigação de sua equipe de segurança Donjon sobre perdas em criptomoedas relatadas em 9 de outubro. A empresa confirmou a presença de um implante no dispositivo de um cliente afetado em 10 de outubro e afirmou que toda perda de fundos que verificou no incidente envolvia dispositivos comprados por meio da CryptoBilis. A revendedora suspendeu as vendas dos assinadores Ledger enquanto os investigadores examinam o hardware afetado.
Investigação de segurança da carteira Ledger revela dispositivo de espionagem oculto
De acordo com as descobertas mais recentes da empresa, o componente não autorizado fica dentro da carcaça da carteira e monitora as informações exibidas em sua tela. Durante o processo de configuração inicial, um assinador Ledger exibe uma frase de recuperação de 24 palavras que permite aos usuários restaurar o acesso às suas participações em criptomoedas.
O implante contém um microcontrolador que pode ler as informações exibidas durante a configuração. Quando detecta telas de frase de recuperação, ele decodifica as palavras e transmite as informações por meio de uma conexão LTE usando um eSIM provisionado. As descobertas da Ledger indicam que o componente opera independentemente dos sistemas de segurança normais do assinador.
Em sua declaração, a Ledger explicou que o dispositivo não modifica o Secure Element, o chip responsável por proteger as chaves privadas. O implante não altera o sistema operacional da Ledger, as transações de criptomoedas ou as assinaturas digitais. Sua função é capturar informações sensíveis mostradas durante a inicialização da carteira.
A empresa disse que sua investigação não estabeleceu que o incidente afeta dispositivos comprados por outros canais de distribuição. “Não verificamos um dreno ligado a um assinador comprado em outro lugar”, declarou a Ledger. No entanto, seus pesquisadores de segurança continuam revisando relatos envolvendo modificações de hardware em outros dispositivos e locais.
As descobertas técnicas mais recentes fornecem informações adicionais sobre o hardware oculto descoberto em carteiras Ledger vendidas pela CryptoBilis. A Ledger confirmou inicialmente a presença de um componente não autorizado em 10 de outubro, mas ainda não havia estabelecido publicamente seu método de operação naquele estágio.
CryptoBilis interrompe vendas enquanto a Ledger investiga roubos relatados
A investigação começou depois que a Ledger recebeu relatos de criptomoedas desaparecidas de clientes que haviam comprado dispositivos por meio da CryptoBilis, uma revendedora de carteiras de hardware que atende os mercados do Sudeste Asiático. Em 9 de outubro, o fabricante começou a examinar as reclamações e solicitou que a distribuidora parasse de vender e enviar seus produtos.
Até 10 de outubro, a equipe de segurança da empresa havia identificado um implante não autorizado dentro de um dispositivo pertencente a um cliente afetado. A CryptoBilis subsequentemente confirmou que havia parado de vender assinadores Ledger enquanto a investigação continuava.
A Ledger não estabeleceu como os componentes não autorizados entraram nos dispositivos afetados nem identificou os responsáveis por instalá-los. A empresa não anunciou nenhuma prisão, acusação criminal ou ação de execução concluída relacionada ao incidente.
Enquanto isso, a empresa de análise de blockchain Bitquery estimou que os supostos roubos de criptomoedas ligados à investigação chegaram a aproximadamente US$ 102 milhões em 324 carteiras em sua análise de 12 de outubro. A empresa rastreou movimentações envolvendo Bitcoin, Ethereum e outras redes blockchain enquanto examinava possíveis conexões entre os endereços afetados.
Os números permanecem como estimativas independentes. A Ledger não confirmou o cálculo de perdas da Bitquery, o número de clientes afetados ou se cada transação suspeita identificada pelos pesquisadores resultou do implante de hardware.
Em sua declaração de 13 de outubro, o fabricante disse: “Não confirmamos o número total de usuários afetados ou o valor total perdido.” Ele alertou que os números que circulam online vieram de terceiros e não foram totalmente verificados por seus investigadores.
Separadamente, a empresa disse que sua equipe Donjon continuaria examinando os dispositivos enviados durante a investigação. Espera-se que os pesquisadores avaliem as modificações físicas e determinem se outros signers afetados contêm componentes semelhantes.
A Ledger pede que clientes da CryptoBilis movam suas criptomoedas
Os clientes que já usaram dispositivos afetados foram instruídos a transferir suas criptomoedas prontamente para um novo signer inicializado com uma frase de recuperação completamente nova. A Ledger alertou especificamente os usuários para não importarem ou restaurarem suas palavras de recuperação existentes em outro dispositivo comprado da CryptoBilis.
A recomendação segue as descobertas da empresa de que o implante pode capturar frases de recuperação exibidas durante a configuração. Um usuário que transfere uma frase de recuperação exposta para outra carteira de hardware continuaria usando credenciais potencialmente conhecidas por um atacante.
O fabricante disse que as vítimas devem coordenar com as autoridades policiais antes de abrir seus signers, especialmente quando o dispositivo puder ser necessário para uma investigação. Abrir o hardware sem o manuseio adequado pode afetar a condição das evidências físicas.
A Ledger reiterou que nunca ligaria para clientes, enviaria mensagens diretas não solicitadas ou pediria suas frases de recuperação. O alerta segue relatos separados de sites falsos da Ledger tentando roubar frases de recuperação de carteiras, embora nenhuma conexão direta entre essas campanhas de phishing e o incidente de hardware da CryptoBilis tenha sido estabelecida.
Para clientes que obtiveram seus dispositivos em outro lugar, a Ledger disponibilizou orientações de inspeção por meio de seu site de suporte. A empresa alertou que abrir um signer pode danificá-lo e aconselhou os usuários a garantir que suas frases de recuperação estejam seguramente armazenadas antes de tentar uma inspeção.
A Ledger Donjon continua examinando implantes de hardware
A equipe de pesquisa Donjon da Ledger está continuando seu exame técnico dos signers modificados. A empresa disse que seus investigadores analisariam dispositivos adicionais à medida que chegarem e divulgariam mais informações quando novas descobertas forem verificadas.
A equipe é especializada em pesquisa de segurança de hardware e software, incluindo ataques físicos contra dispositivos de assinatura de criptomoedas. A documentação de pesquisa da Ledger descreve trabalhos envolvendo análise de circuitos, inspeção de componentes e testes de mecanismos de segurança usados para proteger chaves privadas.
A investigação concentrou-se em como o componente não autorizado capturou informações do display do dispositivo. As descobertas da Ledger de 13 de outubro identificam um microcontrolador separado e um sistema de comunicação celular, sem modificação confirmada no Secure Element ou no processo de assinatura.
A empresa solicitou informações de pesquisadores e outros que possam ter evidências sobre as modificações. Descobertas relevantes podem ser enviadas para [email protected], enquanto clientes afetados foram direcionados ao Suporte da Ledger.
A Ledger disse que continuaria revisando relatos envolvendo outros modelos de signer e localizações geográficas. A empresa não anunciou uma data para concluir a investigação ou publicar um relatório final.
