Ledger, bayisi CryptoBilis üzerinden satılan Nano X cüzdanlarında casus çip implantını doğruladı

Ledger, bazı cüzdanlarının içine gizlenmiş yetkisiz bir donanım implantının kullanıcıların kripto paralarını çalmak için kullanıldığını ve konuyla ilgili aldığı tüm fon boşaltma bildirimlerinin tek bir bayi olan CryptoBilis üzerinden dağıtılan cihazlara bağlı olduğunu doğruladı. BleepingComputer'ın aktardığına göre, Malezya merkezli satıcı, Güneydoğu Asya genelinde faaliyet gösteren büyük bir donanım cüzdanı tedarikçisi; Ledger, etkilenen cihaz sayısını sınırlı olarak tanımlıyor.

Şirket, kullanıcıların fon kaybı bildirmelerinin ardından 9 Ekim'de bir soruşturma başlattı ve CryptoBilis'ten Ledger ürünlerini satmayı ve göndermeyi durdurmasını istedi. Ertesi gün en az bir cihazda kurcalama tespit edildiğini doğruladı, ancak değişikliklerin nasıl ve ne zaman yapıldığı hâlâ belirsiz. Ledger, sorumluları tespit etmek için yetkililerle çalıştığını söylüyor.

İmplanta nasıl çalışıyor

Bağımsız araştırmacılar 16 Eylül'den beri ele geçirilmiş donanımları ortaya koyuyordu ve erken uyarı işaretlerinden biri de fiyat oldu: kurcalanmış cihazlar, orijinal bir cihazın neredeyse yarısı fiyatına satışa sunulmuştu.

Eski Mt. Gox CEO'su, şu anda Karpeles Lab'ın başında olan ve Shells.com'da CTO'luk yapan Mark Karpelès, bir Ledger Nano X'in içindeki implantın görüntülerini yayımladı. İmplanta, el lehimli kablolamaya dayanan önceki sürümlere kıyasla önemli bir ilerleme olarak tanımladı. Bileşen ekranın arkasına gizlenmiş durumda, ancak anten kablosu kapağı açan herkes tarafından görülebilecek konumdaydı.

Karpelès'in analizine göre, kötü niyetli devre, cihazın ekran çıktısını ve tuş basışlarını izleyerek seed kelimelerini — cüzmandaki fonları kontrol eden kurtarma kelimelerini — yeniden oluşturuyor ve gömülü bir eSIM üzerinden LTE bağlantısıyla saldırgana iletiyor. Karpelès, örneğinin Ledger'ın önerdiği kanallardan değil, Malezya'dan gönderi yapan bir Çinli satıcı aracılığıyla tanınmış bir platformdan alındığını belirtti.

Ortada iki farklı varyant

Kripto para araştırma ve geliştirme stüdyosu Tibane Labs, bulguyu doğruladı ve birbirinden farklı iki implant tasarımı belgeledi. Ele geçirilmiş cihazlardan biri, Malezya'dan gönderi yapan Çin merkezli bir satıcıdan Amazon Japonya'da satın alındı; diğeri ise Japonya'daki Yahoo! Auctions'tan geldi.

İlk varyantta saldırgan, orijinal pili, hem implantı hem de cüzdanın kendisini besleyen daha küçük bir pille değiştirdi. Eklenen kart üzerinde, ST STM32G431KBU6 mikrodenetleyicisi (UFQFPN-32 kılıfında, 128 KB flash belleğe sahip bir Arm Cortex-M4 parçası), 2×2 mm boyutunda sekiz bacaklı minik bir eSIM ve seed kelimelerini dışarı sızdıran korumalı bir LTE modülü vardı. Anteni, pilin ve radyo modülünün üstüne bantla sabitlenmişti.

İkinci tasarım daha gelişmiş. Cihazın orijinal piliyle çalışıyor ve normalde OLED ekranın altındaki sünger dolguyla doldurulan boşluğa sığıyor; anteni üst kenar boyunca uzanıyor. O cihazda, bileşenleri gizlemek için hem mikrodenetleyicinin hem de eSIM'in üzerindeki işaretler kazınmıştı. Tibane Labs, kartların profesyonel bir kart üreticisinden sipariş edilecek türden tasarlanmış, panellenmiş flex PCB'ler olduğunu, elle yapılmış tek parçalar olmadığını vurguladı — bu da üretime hazır bir operasyona işaret ediyor.

Ledger, hangi cihaz modellerinin ele geçirildiğini açıklamadı, ancak çevrimiçi raporlar Nano X'e işaret ediyor.

Ledger'ın yanıtı ve kullanıcı rehberi

Ledger, bu bayiden cihaz alıp henüz başlatmamış herkese durmasını ve kurulumu sürdürmemesini öneriyor. CryptoBilis üzerinden aldığı cihazı çoktan kurmuş olan kullanıcılar ise varlıklarını yeni bir seed kelimesiyle başlatılmış yeni bir Ledger cihazına taşmalı.

Şirket ayrıca, bir cihazın orijinalliğini doğrulayan Genuine Check özelliğinin, orijinal Secure Element sağlam kaldığı sürece eklenen implantları tespit edemediği konusunda uyardı — bu da, kurcalanmış cihazların diğer yönlerden meşru görünmesi dikkate alındığında önemli bir boşluk. Ledger, müşterilerini yalnızca yetkili kanallardan almaya çağırıyor ve yetkili bayilerine ve distribütörlerine stoklarını doğru kaynaklardan temin etmeleri ve iade edilen ürünleri yeniden stoklamamaları hatırlatmasında bulundu.

Şu ana kadar diğer Ledger bayilerinin ele geçirilmiş cüzdan gönderdiğine dair bir bulgu yok.

Neden önemli

Donanım cüzdanları, güveni yazılımdan ve üçüncü taraflardan alıp kullanıcının kontrolündeki fiziksel bir cihaza taşımak için var. Gerçek görünen bir cihazın içine casus donanım yerleştiren ve satıcının kendi orijinallik kontrolünden geçebilen bir tedarik zinciri saldırısı, bu temel vaadi tamamen geçersiz kılıyor.

Olay ayrıca donanım implantlarının ne kadar ilerlediğini gösteriyor: hücresel bağlantılı, kompakt, profesyonel üretilmiş kartlar; elle değil, seri üretimle. Kripto kullanıcıları için pratik dersler net. Güvenlik donanımındaki büyük indirimler bir kırmızı bayrak, doğrudan veya doğrulanmış kanallardan almak önemli ve bu vakada ele veren anteni ancak fiziksel inceleme ortaya çıkarabilirdi. İtibar zararı olayın kendisinden daha uzun sürebilir: Ledger topluluğunun bir kısmı zaten bayi ağının lağvedilmesi çağrısında bulunuyor.