Ugrađeni čip u Ledger novčanik razotkrio propust u provjeri autentičnosti

Ledger je potvrdio neovlašteni hardverski implantat u novčaniku jednog pogođenog korisnika, dok neovisni istražitelji procjenjuju 93,2 milijuna dolara sumnjivih krađa kriptovaluta. U priopćenju od 10. listopada proizvođač hardverskih novčanika naveo je da je otkriće povezano s uređajem jednog od pogođenih korisnika. CryptoBilis, ovlašteni prodavač u jugoistočnoj Aziji, obustavio je prodaju cjelokupnog inventara hardverskih novčanika do završetka istrage. Istraga je počela nakon što su korisnici prijavili gubitak kriptovaluta nakon kupnje Ledgerovih uređaja od tog prodavača.

Ledger nije rekao koliko je uređaja modificirano niti je utvrdio da je implantat prouzročio sve prijavljene gubitke. Tvrtka je navela da nema naznaka da su njezina sigurnosna infrastruktura, sustavi ili usluge kompromitirani. Bivši glavni direktor Mt. Goxa Mark Karpelès ispitivao je sumnjive Ledger Nano X uređaje kroz Tibane Labs, koji je dokumentirao tri generacije implantata za presretanje fraza za oporavak.

Kontekst

Ledgerov hardverski novčanik pri postavljanju generira frazu od 24 riječi za vraćanje pristupa kriptovalutama. Riječi nastaju u sigurnom čipu, ali moraju proći kroz sklopove zaslona. Tibane Labs otkrio je da modificirani uređaji imaju dodatne mikrokontrolere koji čitaju podatke sa zaslona, rekonstruiraju riječi i šalju ih putem mobilnih modema sa SIM komponentama. Napadači su tako daljinski mogli dobiti vjerodajnice bez krađe uređaja ili kompromitiranja sigurnog čipa. Naprednija verzija iz rujna imala je ploču skrivenu ispod zaslona, LTE modem, antenu i komponente bez oznaka.

Genuine Check provjerava autentičnost sigurnog elementa, ali ne otkriva neovlaštene fizičke modifikacije ako element ostane netaknut. Tibaneovi primjerci kupljeni su na japanskim tržištima, ne od CryptoBilisa. Izvještaj ne utvrđuje dizajn u krađama povezanima s prodavačem, a Ledger nije javno opisao implantat. Tibane upozorava da frazu prikazanu na kompromitiranom uređaju treba smatrati izloženom; sredstva treba premjestiti u novčanik s novom frazom na pouzdanom uređaju.

Ključne brojke

Alex Thorn iz Galaxy Digitala izvijestio je 9. listopada o približno 91 milijun dolara na 477 adresa na Bitcoinu, Ethereumu i Tronu. Tronu je pripisano 64,5 milijuna dolara, uključujući 64,3 milijuna USDT-a. Bitcoin je činio 17,7 milijuna dolara, oko 213 BTC-a, a Ethereum i povezane mreže 8,8 milijuna. Bitquery je 11. listopada izbrojio 93,2 milijuna dolara iz 315 novčanika na šest lanaca. Procjene koriste različite adrese i metode; nijedna ne broji modificirane uređaje. Bitquery je pronašao da je 25 Tronovih novčanika potpisalo isto odobrenje unutar tri sekunde, omogućivši povlačenje oko 29 milijuna USDT-a.

Tether je zamrznuo oko 10 milijuna dolara USDT-a, a Circle bi mogao zamrznuti 5,35 milijuna USDC-a nakon prolaska kroz Tornado Cash i Zcash.

Što to znači

Slučaj pokazuje da Genuine Check ne mora otkriti zlonamjernu fizičku izmjenu ako je sigurni element netaknut. To je ozbiljno jer napad ne mora uključivati krađu uređaja ni proboj Ledgerove infrastrukture. Ako je fraza za oporavak bila prikazana na kompromitiranom uređaju, mora se smatrati izloženom. Zamjena uređaja uz ponovnu upotrebu te fraze ostavila bi napadaču pristup novčaniku.

Što slijedi

CryptoBilis je obustavio prodaju inventara do završetka istrage. Ledger kontaktira pogođene korisnike i koordinira s vlastima. Još nije poznato koliko je uređaja modificirano niti je li implantat uzrok svih prijavljenih gubitaka. CryptoQuantov analitičar Darkfost predložio je ispitivanje drugih regionalnih prodavača zbog moguće izloženosti opskrbnog lanca, uz napomenu da je ta zabrinutost spekulativna i bez potvrđenih dokaza.