Arka kapilli Ledger cüzdanları 102 milyon dolarlık hırsızlığa bağlandı, Almanya'daki perakende mağazalarında ortaya çıktı

Yüzlerce hesap boşaltıldı

Ledger cuma günü, Güneydoğu Asya'da satılan bazı cüzdanlarının içine gizlenmiş donanım implantlarının saldırganların sahiplerinden yaklaşık 102 milyon dolar sifonlamasına olanak tanıdığını açıkladı. Blockchain analitik firması Bitquery'ye göre, Malezya merkezli yetkili Ledger satıcısı CryptoBilis'in sattığı ele geçirilmiş cihazlara bağlı yaklaşık 315 hesap etkilendi; kayıplar Bitcoin, Ethereum, Tron ve diğer tokenları kapsıyor. Çalınan fonların bir kısmının alıcı adreslerinde dondurulduğu, diğer miktarların ise dolandırıcılık nedeniyle işaretlenmiş hesaplarda beklediği bildiriliyor. Diğer satıcılardan cihaz alan kullanıcıların da para kaybedip etmediği henüz belli değil ve implantların kullanılmadan önce cihazların içinde ne kadar süre kaldığı da bilinmiyor.

Ele geçirilmiş cihazlar Avrupa'da ortaya çıktı

İmplantlar ilk olarak CryptoBilis'in sattığı sayısı bilinmeyen miktarda Ledger Nano X cihazına bağlandı ve Ledger sorunu başlangıçta yalnızca bu satıcıyla sınırlı olarak sundu. Ancak Johannes adını kullanan bir kullanıcı, X平台上 haberler dolaşmaya başladıktan sonra hafta sonu cihazı açınca, ağustos ayında Almanya'daki bir MediaMarkt mağazasından şahsen satın aldığı bir Nano X'in içinde anten dahil bir implant bulduğunu yazdı. Ardından aynı zincirin başka bir mağazasından ikinci bir Nano X satın aldı ve onda da bir implant buldu. Kendisinden kripto çalındığını söylemiyor.

MediaMarkt, on ülkede yaklaşık 1.000 mağazasıyla Avrupa'nın en büyük elektronik perakendecilerinden biri ve Avusturya, Almanya, İspanya ile Türkiye'de yetkili Ledger satıcısı olarak listeleniyor. Johannes başlangıçta yeni diye satılan iade edilmiş cihazlar aldığından şüphelendi, ancak bir mağaza çalışanı cihazların yeni olduğunu ve iadelerin yeniden stoklanmak yerine Ledger'a geri gönderildiğini söyledi. Zero Day'e göre, kullanıcılar ve araştırmacılar şirketin daha yeni cihazları olan Ledger Flex ve Stax modellerinde de implantlar bulduklarını bildirdi.

Sürekli evrilen bir kampanya

İmplantlar yeni değil. Donanım hacker'ı Joe Grand, birkaç Nano X cüzdanında implantlar buldu ve Mart ayında Ledger'a bildirdi. Zero Day'e, şirketin arkasındakileri araştıracağını söylediğini, ancak aylar sonra sorduğunda, Ledger'ın implantların fon çalmak için kullanıldığına dair kanıt bulamadığını söylediğini belirtti. Grand bulgularını yayımladı ve Nisan ile Mayıs aylarında konferans sunumları yaptı.

Eski Mt. Gox genel müdürü Mark Karpelès, Grand'ın araştırmasını gördü, kendisi Ledger cüzdanları satın aldı, implantın daha gelişmiş sürümlerini buldu ve bulgularını geçen ay yayımladı. Kripto dünyasındaki ünü sayesinde farkındalık hızla yayıldı ve bazı gözlemciler, ortaya çıkan ilginin hırsızları harekete geçirdiğine inanıyor: geçen hafta koordineli bir soygun, ele geçirilmiş cüzdanları boşalttı — muhtemelen saldırganlar hazır olmadan ve sahipleri fonlarını taşımadan önce.

Taktikler de değişti. Grand'ın önceki keşiflerinin tümü, kısa ömürlü operasyonlar gibi görünen yetkisiz çevrimiçi satıcılardan alınan cüzdanlarla ilgiliydi. CryptoBilis ve MediaMarkt'ta bulunan implantlar, saldırganların artık bilinçli olarak yetkili satıcılar üzerinden geçen cihazları ele geçirdiğini, satıcıların müşterilere bu kanallara güvenmeleri konusunda uzun süredir söylediği güveni istismar ettiklerini ve daha geniş dağıtım elde ettiklerini gösteriyor. Grand ve diğer araştırmacılar, yeni implantların daha sofistike ve tespit edilmesinin daha zor olduğunu söylüyor.

Ledger parmağı satıcı kanalına çevirdi

Fransa merkezli Ledger, X üzerinde kendi güvenlik altyapısının, sistemlerinin veya hizmetlerinin ele geçirildiğine dair bir belirti olmadığını söyledi. Şirket bunun yerine, sorunun yetkili satıcıların cüzdanları meşru olmayan kaynaklardan temin etmesinden ya da kurcalanmış iade ürünlerini yeniden stoklamasından kaynaklanabileceğini öne sürdü ve satıcılara dağıtıcılara yalnızca yetkili kanallardan tedarik yapmalarını ve iadeleri asla yeniden stoklamamalarını hatırlattığını bildirdi. Ledger, CryptoBilis'ten soruşturma tamamlanana kadar satış ve sevkiyatı durdurmasını istedi; Malezya, Endonezya ve Filipinler'de satış yetkisi olan CryptoBilis iş birliği yaptığını söylüyor. Şirket durumu tüm ekosistem için süregiden bir tehdit olarak nitelendirdi ve sektördeki diğerlerini fiziksel tedarik zincirlerini güçlendirmek üzerine birlikte çalışmaya çağırdı. Ledger, Zero Day'in sorusunu yanıtlamazken Johannes, bu örüntünün Avrupa'daki MediaMarkt ve Saturn mağazalarındaki stoku etkileyen bir Ledger tedarik zinciri ihlaline işaret ettiğini savunuyor.

Neden önemli

Donanım cüzdanları tam olarak kullanıcılara aracılara güvenmemeleri söylendiği için var ve bir tedarik zinciri implantı bu sözü kökünden kırar: cihazın kendisi saldırgan haline gelir. Kampanya, düşmanların bilinçli olarak yetkili satıcıları — satıcıların müşterilere kullanmalarını söylediği tam kanalı — hedef aldığını ve incelemeden kaçmak için donanımlarını sürekli geliştirdiğini gösteriyor. Aynı zamanda şeffaflık sorularını da gündeme getiriyor: tanınmış bir araştırmacının erken uyarısı, kamuoyuna yansıyan haberler ve dokuz haneli bir hırsızlık eylemi zorlayana kadar aylarca çözümsüz kaldı. Geniş sektör için, manipülasyona karşı korumalı ambalaj, satıcı denetimi ve daha hızlı olay müdahalesi artık kaçınılmaz konular; donanım cüzdanı olan herkes cihazını doğrulamalı ve satıcı uyarılarını yakından takip etmeli.