Gizli eSIM modemli Ledger Nano X cüzdanlar seed phrase'leri çalıyor, 93 milyon dolar boşaltıldı

Kripto kullanıcıları, satış öncesinde kurcalanmış donanım cüzdanları nedeniyle yaklaşık 100 milyon dolar kaybetti; bunu heise online haberleştirdi. Cihazlar, gerçek ürüne benzeyen ve aynı şekilde çalışan ancak sahiplerinin seed phrase'ini saldırganlara sızdıran gizli ekstra elektronik parçalar — küçük bir LTE modem dahil — taşıyan Ledger Nano X birimleri.

Kurcalanmış cüzdanlar nasıl çalışıyor

Heise'nin aktardığına göre saldırganlar cihazın Secure Element'ini, yani Ledger'ın güvenliğinin kalbi olarak tanıttığı kurcalamaya dayanıklı çipi hiç kıramıyorlar. Bunun yerine, Secure Element ile cihazın küçük ekranı arasındaki bağlantıya ek bir çip yerleştiriyorlar. İmplanta takılan çip, karakterler ekrana çizilirken okuyor; heise'nin atıfta bulunduğu analizi yapan Tibane Labs, bu yöntemi klasik Tempest dinleme tekniğinin gömülü bir varyantı olarak tanımlıyor.

Bir alıcı değiştirilmiş cihazda kurtarma seed phrase'i oluşturduğunda, eklenen çip ekranda görülen kelimeleri kaydediyor. Donanım cüzdanlarının çevrimdışı kalması gerektiği için saldırganlar ayrıca minyatür bir LTE modem, bir eSIM modülü ve küçük bir anten takmış; tüm bunlar Nano X'in kendi şarj edilebilir piliyle çalışıyor. Yakalanan seed phrase mobil ağ üzerinden iletiliyor ve Secure Element hiç kırılmadan saldırganlara, ondan türetilen her cüzdanın kontrolünü veriyor.

Şimdiye kadar yaklaşık 93 milyon dolar boşaltıldı

Heise'nin haberine göre Ledger, en az bir müşteriye cüzdanının manipüle edildiğini ve maddi kayba uğradığını kabul etti; ancak şirket olayın tam koşullarını ve zararın kapsamını doğrulamadı. Heise'nin alıntıladığı blockchain gözlemcileri, toplamda yaklaşık 93 milyon doların boşaltıldığı 300'den fazla etkilenmiş cüzdan tespit etti. Çalınan coinler daha sonra takas ediliyor ve en azından kısmen crypto mixer'lardan geçirilerek aklanıyor.

Şüpheyi üzerine çeken Malezyalı bir satıcı

Şüphelenilen dağıtım kanalı, ağırlıklı olarak Güneydoğu Asya'da faaliyet gösteren ve Malezya'dan çalışan bir cüzdan satıcısı olan Cryptobilis. Heise'nin aktardığına göre Ledger'ın tavsiyesi, son üç ayda Cryptobilis'ten alışveriş yapan herkesin cihazı kullanmayı bırakması ve mevcut varlıklarını başka bir cüzdana taşıması. Ledger, Cryptobilis'i şimdilik daha fazla satış yapmaktan men etti ve bayilerine genel olarak iade edilen cihazları başka müşterilere devretmemeleri talimatı verdi.

Sorun şu ki etkilenen birçok alıcı cihazının nereden geldiğini bilemiyor. Tibane Labs, Amazon Japonya üzerinden bir Çinli satıcıdan sipariş edilen ama Malezya'dan gönderilen manipüle edilmiş bir Ledger inceledi.

Heise ayrıca kripto camiasından gelen, Cryptobilis'in sessizce el değiştirdiğine dair haberleri aktarıyor. Doğrulanmamış ekran görüntüleri, dükkânın Ağustos'tan beri JiaMing adlı bir Çinliye ait olduğunu öne sürüyor — bu isim, telaffuzuna bağlı olarak ya Çin'de yaygın bir isim ya da "yanlış isim" anlamına geliyor. Önceki sahiplerinin işletmeyle artık hiçbir ilgilerinin kalmadığını söyledikleri bildiriliyor.

Üç nesil implant

Şimdi ortaya çıkan cihazlar, bu yöntemin en az üçüncü tekrarı. Mayıs ayında gömülü sistemler uzmanı Joe Grand, Hardware.io konferansında elle değiştirilmiş bir Nano X sundu: fail grubu, USB bellek boyutundaki kasanın içine yer açmak için çok daha küçük bir pil takmış ve cihazı açan birinin fark edebileceği belirgin kablolar bırakmıştı.

Tibane Labs, hâlâ yedek pile dayanan ikinci, daha profesyonel bir nesli ve ek parçaların profesyonel seri üretimde hassas biçimde kesildiği, orijinal pilin ise dokunulmadığı üçüncü bir nesli tanımlıyor. Yer açmak için saldırganlar ekranın altını koruyan köpüğü kazıyor. İnce bir anten teli dışında, açılan bir cihaz fabrika çıkışı gibi görünüyor ve bu da sıradan kullanıcılar tarafından tespiti fiilen imkânsız kılıyor.

Neden önemli

Donanım cüzdanları tam olarak özel anahtarları uzaktan saldırganların erişiminden uzak tutmak için var. Bu kampanya, en zayıf halkanın kriptografi ya da Secure Element değil, fabrikayla alıcı arasındaki tedarik zinciri olduğunu — ve "çevrimdışı" bir cihazın yalnızca bir modem ve anten eklenerek bir işaret fenerine dönüştürülebileceğini gösteriyor. Seal'lı donanım için menşe doğrulaması rutin hale gelene kadar alıcılar doğrudan üreticiden sipariş vermeli, bayi kaynaklı cihazlara şüpheyle yaklaşmalı ve son aylarda Cryptobilis'ten satın alınan herhangi bir cüzmandaki fonları Ledger'ın yönlendirmesi doğrultusunda taşımaları gerekir.