Ledger wprowadził nowe wymagania bezpieczeństwa dla swoich autoryzowanych sprzedawców detalicznych w dniu 15 października 2026 r., po tym jak atakujący zainstalowali ukryte komponenty elektroniczne wewnątrz oryginalnych portfeli kryptowalutowych, aby ukraść frazy odzyskiwania użytkowników i uzyskać dostęp do ich środków.
Podsumowanie
- Ledger wprowadził surowsze zasady dla sprzedawców po tym, jak przestępcy zmodyfikowali oryginalne portfele sprzętowe, aby ukraść kryptowaluty.
- Ukryte implanty przechwytywały frazy odzyskiwania portfela podczas konfiguracji i przesyłały poufne informacje przez sieci komórkowe.
- Ledger zawiesił sprzedaż autoryzowanych sprzedawców w Azji Południowo-Wschodniej i Hongkongu podczas badania skompromitowanych urządzeń.
- Zespoły bezpieczeństwa zbadały urządzenia w sklepach detalicznych i magazynach, zgłaszając brak skompromitowanych egzemplarzy wśród zbadanych próbek.
- Ledger polecił sprzedawcom zaprzestanie eksponowania portfeli i zakazał odsprzedaży zwróconych urządzeń bez wyjątków.
Producent portfeli sprzętowych potwierdził, że atakujący kupili oryginalne urządzenia, zmodyfikowali je i zwrócili do obiegu przez kanały dystrybucyjne w Azji Południowo-Wschodniej. Ledger zawiesił regionalną sprzedaż u sprzedawców, zbadał urządzenia ze sklepów detalicznych i magazynów oraz rozpoczął współpracę z organami ścigania w celu prześledzenia skradzionych środków.
Firma utrzymuje, że jej systemy wewnętrzne, oprogramowanie operacyjne i układy bezpieczeństwa nie zostały naruszone. Śledczy nadal ustalają pełny zakres ataku, w tym sposób, w jaki zmodyfikowane urządzenia trafiły na rynek.
Atak na portfele Ledger obejmował ukryte implanty fraz odzyskiwania
Śledztwo Ledger wykazało, że atakujący spędzili miesiące przygotowując operację. Kupili oryginalne portfele sprzętowe, otworzyli urządzenia i wstawili niestandardowe komponenty elektroniczne zaprojektowane do przechwytywania fraz odzyskiwania podczas konfiguracji.
Fraza odzyskiwania zazwyczaj zawiera 24 słowa, które pozwalają użytkownikowi przywrócić dostęp do portfela kryptowalutowego. Każdy, kto zdobędzie te słowa, może potencjalnie odtworzyć portfel na innym urządzeniu i przenieść jego aktywa.
Atakujący wykorzystali moment, gdy fraza odzyskiwania pojawiła się na ekranie urządzenia. Ukryty komponent zbierał słowa i przesyłał je do infrastruktury kontrolowanej przez przestępców.
W swojej aktualizacji technicznej z 13 października zespół bezpieczeństwa Ledger Donjon wyjaśnił, że implant wykorzystywał mikrokontroler do odczytu frazy oraz wbudowaną kartę SIM do przesyłania informacji przez połączenie komórkowe LTE.
Firma oświadczyła, że implant działał niezależnie od Secure Element urządzenia, który chroni poufne informacje kryptograficzne. Śledczy nie znaleźli dowodów na to, że złośliwy komponent modyfikował system operacyjny lub zmieniał podpisy transakcji.
Wcześniejsze śledztwa dotyczące ukrytych chipów w portfelach Ledger udokumentowały, w jaki sposób nieautoryzowana elektronika może ujawnić frazy odzyskiwania bez zmiany normalnych funkcji podpisywania urządzenia.
Najnowsze oświadczenie Ledger opisało zorganizowaną operację przestępczą obejmującą zakup sprzętu, ustalenia dystrybucyjne i infrastrukturę do zbierania skradzionych danych uwierzytelniających portfela.
Producent twierdził, że grupa wydała miliony na przygotowanie ataku. Nie podał szczegółów finansowych ani nie zidentyfikował osób odpowiedzialnych.
Atakujący rzekomo wykorzystali zebrane frazy odzyskiwania, aby uzyskać dostęp do wielu portfeli podczas skoordynowanej operacji kradzieży w dniu 9 października.
Chociaż niezależni śledczy blockchain oszacowali straty przekraczające 86 milionów dolarów, Ledger nie zweryfikował całkowitej skradzionej kwoty ani liczby poszkodowanych klientów.
Ledger wstrzymuje sprzedaż portfeli w Azji Południowo-Wschodniej
Po odkryciu Ledger poprosił autoryzowanych sprzedawców i dystrybutorów w całej Azji Południowo-Wschodniej oraz Hongkongu o wstrzymanie sprzedaży urządzeń, podczas gdy śledczy badali dotknięte kanały dystrybucji.
Ograniczenia obejmowały Indonezję, Singapur, Tajlandię, Filipiny, Wietnam, Malezję i Hongkong.
CryptoBilis, sprzedawca działający w Azji Południowo-Wschodniej, był wcześniej powiązany z potwierdzonymi przypadkami dotyczącymi zmodyfikowanych urządzeń.
Firma wstrzymała sprzedaż portfeli sprzętowych po pojawieniu się doniesień, że klienci stracili środki.
Wcześniejsze doniesienia dotyczące śledztwa w sprawie portfela CryptoBilis udokumentowały odkrycie przez Ledger nieautoryzowanego implantu oraz jego początkową reakcję na skargi klientów.
Ledger później rozszerzył swoje środki ostrożności poza tego sprzedawcę po otrzymaniu doniesień dotyczących innych lokalizacji.
W Niemczech MediaMarkt Saturn zaprzestał sprzedaży urządzeń Ledger w swoich sklepach stacjonarnych i na platformie internetowej po zgłoszeniu implantu w urządzeniu klienta.
Ledger oświadczył, że niemiecki przypadek nie spowodował żadnej potwierdzonej utraty środków klientów.
Incydent doprowadził do osobnego wstrzymania sprzedaży portfeli Ledger w Niemczech, podczas gdy firma sprawdzała urządzenia i badała okoliczności.
W swojej aktualizacji z 15 października Ledger poinformował, że jego śledczy kupili urządzenia w sklepach na różnych rynkach, w tym w Niemczech, i otworzyli je w celu fizycznego zbadania.
Firma zbadała próbki z magazynów i przescreened części własnych zapasów.
Według Ledger w próbkach zbadanych podczas tych kontroli nie wykryto żadnych nieautoryzowanych komponentów.
Jednak firma nie ujawniła, ile urządzeń zbadano, pozostawiając całkowitą liczbę potencjalnie dotkniętych produktów niepotwierdzoną.
Ledger określił incydent jako „zlokalizowany atak na dystrybucję” i utrzymywał, że jego systemy produkcyjne nie były odpowiedzialne za naruszenie.
Śledztwo nie ustaliło jeszcze dokładnie, gdzie każde dotknięte urządzenie zostało zmodyfikowane.
Ledger wprowadza nowe zasady dla sprzedawców portfeli sprzętowych
W ramach swojej reakcji Ledger nakazał autoryzowanym sprzedawcom zmianę sposobu przechowywania i sprzedaży portfeli sprzętowych.
Sprzedawcy muszą przestać umieszczać urządzenia Ledger na półkach wystawowych i ladach. Zamiast tego muszą przechowywać produkty w magazynach i wydawać je klientom tylko w momencie dokonania zakupu.
Firma wprowadziła te wymagania natychmiast, wyjaśniając, że środki te mają na celu ograniczenie możliwości nieautoryzowanego manipulowania.
Ledger przypomniał autoryzowanym sprzedawcom, że zwrócone urządzenia nigdy nie mogą być ponownie sprzedawane, nawet jeśli ich opakowanie wygląda na nieotwarte lub produkt wygląda na nieużywany.
Zasada ta już istniała, ale Ledger polecił dystrybutorom przestrzegać jej bez wyjątków.
Sprzedawcy muszą niezwłocznie powiadomić producenta, gdy klienci zgłaszają nietypowe produkty lub potencjalnie podejrzany sprzęt.
Firma zaostrza nadzór nad swoją autoryzowaną siecią dystrybucji, podczas gdy śledztwo jest kontynuowane.
Ledger oświadczył, że jego zespół ds. bezpieczeństwa przeprowadził największe wewnętrzne śledztwo w historii firmy, angażując kilka działów.
Specjaliści z Ledger Donjon rozmontowali odzyskany implant i zbadali jego działanie, aby ustalić, w jaki sposób atakujący zbierali frazy odzyskiwania.
Producent współpracował z badaczami bezpieczeństwa i partnerami branżowymi, w tym SEAL_911, podczas śledztwa.
Według Ledger zespoły współpracują z organami ścigania w celu prześledzenia skradzionych środków i zidentyfikowania infrastruktury wykorzystanej do zbierania danych uwierzytelniających portfeli.
Firma nie ujawniła aresztowań, formalnych zarzutów karnych ani odzyskanych środków wynikających z tych działań.
Ledger oświadczył, że zamierza opublikować dodatkowe informacje techniczne, gdy śledczy będą mogli bezpiecznie ujawnić swoje ustalenia.
Ledger planuje dalsze zabezpieczenia przed manipulacją przy portfelach
Poza natychmiastowymi ograniczeniami w sprzedaży detalicznej, Ledger opracowuje dodatkowe środki bezpieczeństwa produktów, mające na celu utrudnienie fizycznej manipulacji.
Firma nie podała specyfikacji technicznych, dotkniętych modeli produktów ani harmonogramu wprowadzenia tych zabezpieczeń.
Ledger oświadczył, że podzieli się ustaleniami z innymi producentami i sprzedawcami portfeli sprzętowych, aby mogli oni zbadać podobne ryzyka w swoich produktach.
Klienci, którzy już korzystali z potencjalnie dotkniętego portfela, zostali poproszeni o przeniesienie swojej kryptowaluty na zaufane urządzenie z nowo wygenerowaną frazą odzyskiwania.
Przywrócenie starej frazy odzyskiwania na urządzeniu zastępczym nie zabezpieczyłoby środków, gdyby atakujący już uzyskali tę frazę.
Wskazówki dotyczące bezpieczeństwa Ledger ostrzegają użytkowników, aby nigdy nie ujawniali swoich fraz odzyskiwania nikomu, kto twierdzi, że reprezentuje obsługę klienta.
Firma podkreśliła, że jej pracownicy nie będą prosić o słowa odzyskiwania za pośrednictwem wiadomości, rozmów telefonicznych ani stron internetowych.
Podczas swojej zapowiedzi z 15 października Ledger przyznał, że śledztwo jest kontynuowane i że pozostały dodatkowe prace związane z bezpieczeństwem.
Producent powtórzył swój zamiar ujawnienia dalszych szczegółów dotyczących ataku i metod stosowanych przez przestępców, gdy jego śledztwo pozwoli na ujawnienie informacji.
