Ledger подтвердила, что несанкционированный аппаратный имплант, обнаруженный внутри криптовалютного подписывающего устройства, проданного юго-восточноазиатским реселлером CryptoBilis, может перехватывать 24-словные фразы восстановления пользователей и передавать их через сотовую сеть.
Краткое содержание
- Ledger подтвердила наличие аппаратного импланта внутри одного пострадавшего подписывающего устройства, проданного через юго-восточноазиатского реселлера CryptoBilis.
- Имплант считывает фразы восстановления во время настройки и передаёт перехваченные слова через LTE-соединение.
- Ledger заявляет, что имплант работает отдельно, не изменяя её Secure Element, операционную систему или подписи.
- CryptoBilis приостановила продажи подписывающих устройств Ledger, пока следователи изучают пострадавшие устройства и сообщения о потерях клиентов.
- Ledger не подтвердила общее число пострадавших или общие заявленные потери криптовалюты.
Ledger раскрыла эти выводы 13 октября после расследования, проведённого её командой безопасности Donjon в связи с потерями криптовалюты, о которых сообщалось 9 октября. Компания подтвердила наличие импланта в устройстве одного пострадавшего клиента 10 октября и заявила, что каждая подтверждённая ею потеря средств в этом инциденте была связана с устройствами, приобретёнными через CryptoBilis. Реселлер приостановил продажи подписывающих устройств Ledger, пока следователи изучают пострадавшее оборудование.
Расследование безопасности кошелька Ledger выявило скрытое шпионское устройство
Согласно последним выводам компании, несанкционированный компонент находится внутри корпуса кошелька и отслеживает информацию, отображаемую на его экране. Во время первоначальной настройки подписывающее устройство Ledger отображает 24-словную фразу восстановления, которая позволяет пользователям восстановить доступ к своим криптовалютным активам.
Имплант содержит микроконтроллер, который может считывать информацию, отображаемую во время настройки. Когда он обнаруживает экраны с фразой восстановления, он декодирует слова и передаёт информацию через LTE-соединение с использованием подготовленной eSIM. Выводы Ledger указывают на то, что этот компонент работает независимо от обычных систем безопасности подписывающего устройства.
В своём заявлении Ledger пояснила, что устройство не изменяет Secure Element — чип, отвечающий за защиту приватных ключей. Имплант не изменяет операционную систему Ledger, криптовалютные транзакции или цифровые подписи. Его функция заключается в перехвате конфиденциальной информации, отображаемой во время инициализации кошелька.
Компания заявила, что её расследование не установило, что инцидент затрагивает устройства, приобретённые через другие каналы распространения. «Мы не подтвердили вывод средств, связанный с подписывающим устройством, купленным в другом месте», — заявила Ledger. Однако её исследователи безопасности продолжают изучать сообщения об аппаратных модификациях в других устройствах и регионах.
Последние технические выводы предоставляют дополнительную информацию о скрытом оборудовании, обнаруженном в кошельках Ledger, проданных CryptoBilis. Ledger первоначально подтвердила наличие несанкционированного компонента 10 октября, но на том этапе ещё не установила публично способ его работы.
CryptoBilis прекращает продажи, пока Ledger расследует сообщения о кражах
Расследование началось после того, как Ledger получила сообщения о пропаже криптовалюты от клиентов, которые приобрели устройства через CryptoBilis — реселлера аппаратных кошельков, обслуживающего рынки Юго-Восточной Азии. 9 октября производитель начал изучать жалобы и потребовал, чтобы дистрибьютор прекратил продажу и отгрузку его продукции.
К 10 октября команда безопасности компании выявила несанкционированный имплант внутри устройства, принадлежащего одному пострадавшему клиенту. Впоследствии CryptoBilis подтвердила, что прекратила продажу подписывающих устройств Ledger, пока расследование продолжается.
Ledger не установила, как несанкционированные компоненты попали в пострадавшие устройства, и не выявила тех, кто ответственен за их установку. Компания не объявляла о каких-либо арестах, уголовных обвинениях или завершённых правоприменительных действиях, связанных с инцидентом.
Тем временем компания по анализу блокчейна Bitquery оценила, что предполагаемые кражи криптовалюты, связанные с расследованием, достигли примерно 102 миллионов долларов через 324 кошелька в её анализе от 12 октября. Компания отследила перемещения, связанные с Bitcoin, Ethereum и другими блокчейн-сетями, изучая возможные связи между затронутыми адресами.
Эти цифры остаются независимыми оценками. Ledger не подтвердила расчёт убытков Bitquery, количество пострадавших клиентов или то, что каждая подозрительная транзакция, выявленная исследователями, стала результатом аппаратного импланта.
В своём заявлении от 13 октября производитель сказал: «Мы не подтвердили общее количество пострадавших пользователей или общую сумму потерь». Он предупредил, что цифры, распространяемые в интернете, исходят от третьих лиц и не были полностью проверены его следователями.
Отдельно компания заявила, что её команда Donjon продолжит изучать устройства, представленные в ходе расследования. Ожидается, что исследователи оценят физические модификации и определят, содержат ли другие пострадавшие подписывающие устройства аналогичные компоненты.
Ledger призывает клиентов CryptoBilis переместить свою криптовалюту
Клиентам, которые уже использовали затронутые устройства, было предписано незамедлительно перевести свою криптовалюту на новое подписывающее устройство, инициализированное с совершенно новой фразой восстановления. Ledger особо предупредила пользователей не импортировать и не восстанавливать свои существующие слова восстановления на другом устройстве, приобретённом у CryptoBilis.
Эта рекомендация последовала за выводами компании о том, что имплант может захватывать фразы восстановления, отображаемые во время настройки. Пользователь, который перенесёт скомпрометированную фразу восстановления на другой аппаратный кошелёк, продолжит использовать учётные данные, потенциально известные злоумышленнику.
Производитель заявил, что пострадавшие должны координировать свои действия с правоохранительными органами перед вскрытием своих подписывающих устройств, особенно когда устройство может потребоваться для расследования. Вскрытие аппаратного обеспечения без надлежащего обращения может повлиять на состояние физических доказательств.
Ledger повторила, что она никогда не будет звонить клиентам, отправлять незапрошенные личные сообщения или запрашивать их фразы восстановления. Это предупреждение последовало за отдельными сообщениями о поддельных сайтах Ledger, пытающихся украсть фразы восстановления кошельков, хотя прямая связь между этими фишинговыми кампаниями и инцидентом с аппаратным обеспечением CryptoBilis не была установлена.
Для клиентов, которые приобрели свои устройства в другом месте, Ledger разместила руководство по проверке на своём сайте поддержки. Компания предупредила, что вскрытие подписывающего устройства может его повредить, и рекомендовала пользователям убедиться, что их фразы восстановления надёжно сохранены, прежде чем пытаться провести проверку.
Ledger Donjon продолжает изучать аппаратные импланты
Исследовательская команда Ledger Donjon продолжает техническое изучение модифицированных подписывающих устройств. Компания заявила, что её следователи проанализируют дополнительные устройства по мере их поступления и опубликуют дополнительную информацию, когда новые findings будут проверены.
Команда специализируется на исследованиях безопасности аппаратного и программного обеспечения, включая физические атаки на устройства подписи криптовалют. Исследовательская документация Ledger описывает работу, включающую анализ схем, проверку компонентов и тестирование механизмов безопасности, используемых для защиты приватных ключей.
Расследование сосредоточилось на том, как несанкционированный компонент захватывал информацию с дисплея устройства. Выводы Ledger от 13 октября выявили отдельный микроконтроллер и систему сотовой связи, при этом подтверждённых модификаций Secure Element или процесса подписи не обнаружено.
Компания запросила информацию у исследователей и других лиц, которые могут располагать доказательствами, касающимися модификаций. Соответствующие findings можно отправить на [email protected], а пострадавших клиентов направили в службу поддержки Ledger.
Ledger заявила, что продолжит рассматривать сообщения, касающиеся других моделей подписывающих устройств и географических регионов. Компания не объявила дату завершения расследования или публикации окончательного отчёта.
