Ledger підтвердила, що несанкціонований апаратний імплант, виявлений всередині криптовалютного підписувача, проданого південно-східноазійським реселером CryptoBilis, може зчитувати 24-словні фрази відновлення користувачів і передавати їх через стільникову мережу.
Резюме
- Ledger підтвердила наявність апаратного імпланта всередині одного постраждалого підписувача, проданого через південно-східноазійського реселера CryptoBilis.
- Імплант зчитує фрази відновлення під час налаштування та передає захоплені слова через LTE-з'єднання.
- Ledger заявляє, що імплант працює окремо, не змінюючи її Secure Element, операційну систему чи підписи.
- CryptoBilis призупинив продаж підписувачів Ledger, поки слідчі вивчають постраждалі пристрої та повідомлені про втрати клієнтів.
- Ledger не підтвердила загальну кількість постраждалих або загальні повідомлені втрати криптовалюти.
Ledger опублікувала ці висновки 13 жовтня після розслідування, проведеного її командою безпеки Donjon щодо втрат криптовалюти, про які повідомлялося 9 жовтня. Компанія підтвердила наявність імпланта в пристрої одного постраждалого клієнта 10 жовтня і заявила, що кожна втрата коштів, яку вона підтвердила в цьому інциденті, стосувалася пристроїв, придбаних через CryptoBilis. Реселер призупинив продаж підписувачів Ledger, поки слідчі вивчають постраждале обладнання.
Розслідування безпеки гаманця Ledger виявило прихований шпигунський пристрій
Згідно з останніми висновками компанії, несанкціонований компонент знаходиться всередині корпусу гаманця та відстежує інформацію, що відображається на його екрані. Під час початкового налаштування підписувач Ledger відображає 24-словну фразу відновлення, яка дозволяє користувачам відновити доступ до своїх криптовалютних активів.
Імплант містить мікроконтролер, який може зчитувати інформацію, що відображається під час налаштування. Коли він виявляє екрани з фразою відновлення, він декодує слова та передає інформацію через LTE-з'єднання за допомогою налаштованої eSIM. Висновки Ledger вказують на те, що компонент працює незалежно від звичайних систем безпеки підписувача.
У своїй заяві Ledger пояснила, що пристрій не змінює Secure Element — чіп, відповідальний за захист приватних ключів. Імплант не змінює операційну систему Ledger, криптовалютні транзакції чи цифрові підписи. Його функція полягає у захопленні конфіденційної інформації, що відображається під час ініціалізації гаманця.
Компанія заявила, що її розслідування не встановило, що інцидент впливає на пристрої, придбані через інші канали розповсюдження. «Ми не підтвердили витік, пов'язаний із підписувачем, купленим в іншому місці», — заявила Ledger. Однак її дослідники з безпеки продовжують вивчати повідомлення про апаратні модифікації в інших пристроях і місцях.
Останні технічні висновки надають додаткову інформацію про приховане обладнання, виявлене в гаманцях Ledger, проданих CryptoBilis. Ledger спочатку підтвердила наявність несанкціонованого компонента 10 жовтня, але на тому етапі ще не встановила публічно метод його роботи.
CryptoBilis припиняє продажі, поки Ledger розслідує повідомлення про крадіжки
Розслідування розпочалося після того, як Ledger отримала повідомлення про зникнення криптовалюти від клієнтів, які придбали пристрої через CryptoBilis — реселера апаратних гаманців, що обслуговує ринки Південно-Східної Азії. 9 жовтня виробник почав вивчати скарги та попросив дистриб'ютора припинити продаж і відправлення своїх продуктів.
До 10 жовтня команда безпеки компанії виявила несанкціонований імплант у пристрої одного постраждалого клієнта. Згодом CryptoBilis підтвердив, що припинив продаж підписувачів Ledger, поки розслідування триває.
Ledger не встановила, як несанкціоновані компоненти потрапили до постраждалих пристроїв, і не визначила тих, хто відповідальний за їх встановлення. Компанія не оголошувала про будь-які арешти, кримінальні звинувачення або завершені правоохоронні дії, пов'язані з інцидентом.
Тим часом компанія блокчейн-аналітики Bitquery оцінила, що підозрювані крадіжки криптовалюти, пов'язані з розслідуванням, сягнули приблизно 102 мільйонів доларів через 324 гаманці в її аналізі від 12 жовтня. Компанія відстежила рухи, пов'язані з Bitcoin, Ethereum та іншими блокчейн-мережами, вивчаючи можливі зв'язки між ураженими адресами.
Ці цифри залишаються незалежними оцінками. Ledger не підтвердила розрахунок збитків Bitquery, кількість постраждалих клієнтів або те, чи кожна підозріла транзакція, виявлена дослідниками, стала результатом апаратного імпланту.
У своїй заяві від 13 жовтня виробник сказав: «Ми не підтвердили загальну кількість постраждалих користувачів або загальну вартість втрат». Він застеріг, що цифри, які циркулюють в інтернеті, походять від третіх сторін і не були повністю перевірені його слідчими.
Окремо компанія заявила, що її команда Donjon продовжить досліджувати пристрої, надані під час розслідування. Очікується, що дослідники оцінять фізичні модифікації та визначать, чи містять інші постраждалі підписувачі подібні компоненти.
Ledger закликає клієнтів CryptoBilis перемістити свою криптовалюту
Клієнтам, які вже використовували постраждалі пристрої, було наказано негайно перевести свою криптовалюту на новий підписувач, ініціалізований із абсолютно новою фразою відновлення. Ledger особливо попередила користувачів не імпортувати або відновлювати свої наявні слова відновлення в інший пристрій, придбаний у CryptoBilis.
Ця рекомендація ґрунтується на висновках компанії про те, що імплант може захоплювати фрази відновлення, які відображаються під час налаштування. Користувач, який переносить скомпрометовану фразу відновлення на інший апаратний гаманець, продовжуватиме використовувати облікові дані, потенційно відомі зловмиснику.
Виробник заявив, що постраждалі повинні координувати свої дії з правоохоронними органами перед відкриттям своїх підписувачів, особливо коли пристрій може знадобитися для розслідування. Відкриття апаратного забезпечення без належного поводження може вплинути на стан фізичних доказів.
Ledger повторила, що ніколи не телефонуватиме клієнтам, не надсилатиме небажаних прямих повідомлень і не запитуватиме їхні фрази відновлення. Це попередження з'явилося після окремих повідомлень про фальшиві вебсайти Ledger, які намагаються викрасти фрази відновлення гаманців, хоча прямий зв'язок між цими фішинговими кампаніями та інцидентом з апаратним забезпеченням CryptoBilis не встановлено.
Для клієнтів, які придбали свої пристрої в іншому місці, Ledger надала інструкції щодо перевірки через свій вебсайт підтримки. Компанія попередила, що відкриття підписувача може його пошкодити, і порадила користувачам переконатися, що їхні фрази відновлення надійно збережені, перш ніж намагатися провести перевірку.
Ledger Donjon продовжує досліджувати апаратні імпланти
Дослідницька команда Ledger Donjon продовжує технічне дослідження модифікованих підписувачів. Компанія заявила, що її слідчі аналізуватимуть додаткові пристрої в міру їх надходження та оприлюднюватимуть подальшу інформацію, коли нові висновки будуть перевірені.
Команда спеціалізується на дослідженнях безпеки апаратного та програмного забезпечення, включаючи фізичні атаки на пристрої для підпису криптовалют. Дослідницька документація Ledger описує роботу, що включає аналіз схем, перевірку компонентів і тестування механізмів безпеки, які використовуються для захисту приватних ключів.
Розслідування зосередилося на тому, як несанкціонований компонент захоплював інформацію з дисплея пристрою. Висновки Ledger від 13 жовтня визначають окремий мікроконтролер і систему стільникового зв'язку, без підтвердженої модифікації Secure Element або процесу підпису.
Компанія запросила інформацію від дослідників та інших осіб, які можуть мати докази щодо модифікацій. Відповідні висновки можна надіслати на [email protected], тоді як постраждалих клієнтів було направлено до служби підтримки Ledger.
Ledger заявила, що продовжить розгляд звітів, які стосуються інших моделей підписувачів і географічних регіонів. Компанія не оголосила дату завершення розслідування або публікації остаточного звіту.
