Ledger istražuje krađu 86 milijuna dolara u kriptovalutama, raste zabrinutost zbog dobavljačkog lanca preprodavača

Ledger, proizvođač hardverskih novčanika, počeo je istraživati izvješća o velikim gubicima kriptovaluta korisnika koji su uređaje kupili od ovlaštenog prodavača u jugoistočnoj Aziji. On-chain istraživači procjenjuju da je moglo biti ukradeno između 72 i 86 milijuna dolara. Tvrtka tvrdi da nema naznaka da su njezina vlastita infrastruktura, sustavi ili usluge kompromitirani, no korisnici na platformi X masovno prijavljuju znatne gubitke.

Ledgerov službeni kanal potpore na X-u potvrdio je jučer navečer da istražuje prijave korisnika CryptoBilisa, prodavača navedenog kao ovlaštenog u Indoneziji, Maleziji i na Filipinima. Ledger je zatražio da CryptoBilis privremeno pauzira svu prodaju i otpremu. Svakoga tko je uređaj od tog prodavača kupio u posljednjih 90 dana i još nije dovršio instalaciju pozvali su da sada ne započinje postavljanje. Korisnicima koji već rabe takve uređaje savjetovano je da razmotre prijenos imovine na novi Ledger signer uz novo generiranu seed frazu.

Kontekst

Hardverski novčanik je uređaj za čuvanje kriptovaluta, a ovlašteni prodavač znači da ga prodaje uz odobrenje proizvođača. U ovom slučaju riječ je o CryptoBilisu, ovlaštenom prodavaču za Indoneziju, Maleziju i Filipine. Binanceov suosnivač Changpeng Zhao rekao je da dostupne informacije upućuju na lokalizirani napad na lanac opskrbe koji uključuje jednog dobavljača, pri čemu je mali broj kupaca mogao dobiti krivotvorene ili fizički modificirane Ledgerove uređaje. Bivši direktor Mt.

Goxa Mark Karpeles dodao je da je već pregledavao modificirane Ledgerove uređaje s skrivenim hardverskim implantom te zatražio da CryptoBilis otvori jedinice iz svojih zaliha i provjeri postoje li slične komponente. Implant je, kako je opisao, mogao nadzirati internu komunikaciju koja se rabi za prikaz riječi za oporavak, što bi napadaču omogućilo hvatanje seed fraze iako je pravi Ledgerov Secure Element ostao netaknut.

Ključne brojke

On-chain istraživač tanuki42 pratio je više od 72 milijuna dolara do adresa za koje se sumnja da su povezane s krađom. Drugi istraživač, Specter, procijenio je gubitke na više od 86 milijuna dolara, u BTC-u, ETH-u i TRX-u. Ledger nije potvrdio nijednu od tih brojki, a nejasno je preklapaju li se transakcije u tim procjenama. MistTrack je naveo da bi gubici mogli biti bliže 90 milijuna dolara, dok je Tether navodno zamrznuo USDT na adresama povezanima s incidentom. Spominje se i 90 dana kao razdoblje za koje su kupci pozvani na oprez, te gubitak od milijun dolara kod korisnika Edwarda Winza.

Uz to, samo mjesec prije ovog slučaja konkurent Trezor imao je incident u kojem su kompromitirani osobni podaci više od 80.000 američkih korisnika.

Što to znači

Ako se potvrde sumnje u modificirane uređaje, riječ je o ozbiljnom udaru na povjerenje u lanac opskrbe hardverskih novčanika. Korisnici mogu izgubiti sredstva čak i ako sam proizvođačev sigurnosni čip nije kompromitiran, jer napad može ciljati način na koji se prikazuju riječi za oporavak. Ledger tvrdi da su prijave ograničene na proizvode prodane preko CryptoBilisa i da nema naznaka o kompromitaciji njegove sigurnosne infrastrukture, sustava ili usluga. Ipak, slučaj pokazuje koliko je lanac opskrbe osjetljiv i zašto kupci moraju paziti od koga kupuju uređaje.

Što slijedi

Ledger nastavlja istragu, a CryptoBilis je zamoljen da pauzira prodaju i otpremu. Korisnici koji su nedavno kupili uređaj i nisu ga postavili trebaju pričekati, dok oni koji ga već rabe mogu razmotriti prijenos imovine na novi signer s novom seed frazom. Karpeles je zatražio prov.