Użytkownicy kryptowalut w Singapurze stracili około 3,5 mln dolarów singapurskich po zakupie zmodyfikowanych portfeli sprzętowych Ledger od lokalnych sprzedawców detalicznych, co skłoniło policję do wszczęcia dochodzenia w sprawie urządzeń zawierających złośliwe komponenty.
Podsumowanie
- Policja w Singapurze zgłosiła straty kryptowalut wynoszące około 3,5 mln dolarów singapurskich w dwóch przypadkach dotyczących zmodyfikowanych portfeli sprzętowych Ledger zakupionych od lokalnych sprzedawców detalicznych od 10 września.
- Wstępne dochodzenia wykazały, że dotknięte urządzenia zawierały złośliwe komponenty sprzętowe zdolne do przechwytywania fraz odzyskiwania lub kluczy prywatnych użytkowników i umożliwiania nieautoryzowanych transferów.
- Ledger zawiesił sprzedaż portfeli sprzętowych na kilku rynkach Azji Południowo-Wschodniej, w tym w Singapurze, Malezji, Indonezji, Tajlandii, na Filipinach, w Wietnamie i Hongkongu, po odkryciu naruszonych urządzeń.
- Analitycy blockchain wcześniej szacowali straty związane z naruszonymi portfelami na ponad 86 mln dolarów amerykańskich, choć Ledger stwierdził, że nie może potwierdzić łącznej skradzionej kwoty ani liczby dotkniętych użytkowników.
Zgodnie z komunikatem ostrzegawczym z 28 października wydanym przez Siły Policji Singapuru, od 10 września zgłoszono co najmniej dwa przypadki dotyczące naruszonych urządzeń Ledger, a wstępne dochodzenia wykazały, że niektóre portfele sprzedawane w sklepach detalicznych zostały fizycznie zmodyfikowane w celu kradzieży poufnych informacji.
Śledczy ustalili, że dotknięte urządzenia zawierały nieautoryzowany sprzęt zdolny do przechwytywania fraz odzyskiwania lub kluczy prywatnych użytkowników, które następnie mogły zostać wykorzystane do uzyskania dostępu do ich zasobów kryptowalutowych i transferu środków bez pozwolenia.
Portfele sprzętowe Ledger znalezione ze złośliwymi komponentami
Zgłoszone straty następują po wcześniejszym dochodzeniu Ledger w sprawie naruszonych urządzeń dystrybuowanych przez CryptoBilis, resellera działającego w Azji Południowo-Wschodniej.
13 października Ledger potwierdził odkrycie ukrytych implantów sprzętowych wewnątrz jednego ze swoich urządzeń po tym, jak użytkownicy zgłosili kradzieże kryptowalut na początku tego miesiąca.
Zespół bezpieczeństwa Donjon firmy ustalił, że nieautoryzowany komponent mógł przechwytywać 24-wyrazową frazę odzyskiwania wyświetlaną podczas konfiguracji portfela i przesyłać te informacje do atakującego za pośrednictwem połączenia komórkowego LTE.
Frazy odzyskiwania pozwalają użytkownikom przywrócić dostęp do swoich portfeli kryptowalutowych. Każdy, kto uzyska pełną frazę, może potencjalnie odtworzyć portfel na innym urządzeniu i przenieść przechowywane w nim aktywa.
Ledger stwierdził, że złośliwy komponent działał niezależnie od Secure Element urządzenia, który jest zaprojektowany do ochrony kluczy prywatnych, i nie wymagał zmian w systemie operacyjnym portfela.
Jak wcześniej relacjonował crypto.news, naruszone urządzenia dotarły do klientów poprzez kanał dystrybucji resellera, a Ledger stwierdził, że jego własne systemy i bezpośrednie kanały sprzedaży nie zostały objęte potwierdzonymi przypadkami.
Firma potwierdziła nieautoryzowany implant sprzętowy w jednym z dotkniętych portfeli 10 października i rozpoczęła badanie innych zgłoszonych incydentów dotyczących urządzeń zakupionych przez tego samego resellera.
Ledger zawiesił sprzedaż w całej Azji Południowo-Wschodniej
Po odkryciu Ledger poprosił resellerów i dystrybutorów w całej Azji Południowo-Wschodniej o zawieszenie sprzedaży i wysyłki swoich portfeli sprzętowych na czas dochodzenia firmy w sprawie dotkniętych produktów.
Zawieszenie, ogłoszone 13 października, obejmowało Singapur, Malezję, Indonezję, Tajlandię, Filipiny, Wietnam i Hongkong.
Ledger początkowo polecił CryptoBilis zaprzestanie sprzedaży swoich urządzeń po otrzymaniu zgłoszeń o skradzionych środkach od klientów, którzy zakupili portfele za pośrednictwem tego resellera.
Firma doradziła klientom, którzy kupili urządzenia Ledger od CryptoBilis w ciągu poprzednich 90 dni, aby nie inicjalizowali nieużywanych portfeli. Tych, którzy już skonfigurowali swoje urządzenia, zachęcono do rozważenia przeniesienia aktywów do nowego portfela z nowo wygenerowaną frazą odzyskiwania.
Według The Straits Times naruszone urządzenia zostały zidentyfikowane na singapurskim rynku detalicznym, w tym jedno sprzedane w Metapod na lotnisku Changi, a inne rzekomo zakupione w sklepie Challenger w VivoCity.
Analitycy blockchain szacowali wcześniej, że w związku z przejętymi portfelami skradziono ponad 86 milionów dolarów, choć Ledger stwierdził, że nie może potwierdzić łącznych strat ani liczby poszkodowanych użytkowników.
Figura 3,5 miliona dolarów singapurskiej policji obejmuje przypadki zgłoszone lokalnie i jest odrębna od wcześniejszego szacunku regionalnego.
Śledztwo w sprawie portfeli Ledger dociera do europejskich sprzedawców detalicznych
Obawy dotyczące manipulowanych urządzeń Ledger nie ograniczały się do Azji Południowo-Wschodniej.
13 października niemiecki sprzedawca elektroniki MediaMarktSaturn wstrzymał sprzedaż sprzętowych portfeli Ledger we wszystkich swoich sklepach stacjonarnych i kanałach online po tym, jak klient w Niemczech zgłosił znalezienie nieautoryzowanego komponentu wewnątrz urządzenia.
Ledger zgodził się na wstrzymanie sprzedaży, podczas gdy jego zespół ds. bezpieczeństwa badał zgłoszoną modyfikację sprzętu.
Producent oświadczył, że w niemieckim incydencie nie utracono żadnych środków klientów, i utrzymywał, że jego infrastruktura, systemy i usługi nie zostały naruszone.
Odrębny incydent bezpieczeństwa sprzętowego portfela ujawniono 26 października, gdy konkurencyjny producent Keystone ujawnił naruszenie klucza uwierzytelniającego mające wpływ na jego urządzenia.
Keystone poinformował, że hakerzy ukradli klucz uwierzytelniający urządzenia i ujawnili informacje należące do 25 964 klientów, co zmusiło firmę do zniszczenia 18 835 sprzętowych portfeli i tymczasowego wstrzymania wysyłek.
W przeciwieństwie do incydentów z Ledger, Keystone podał, że frazy odzyskiwania i klucze prywatne jego klientów nie zostały naruszone.
