Ledger, CryptoBilis hırsızlık soruşturması kapsamında müşteri cüzdanında yetkisiz donanım implantı bulunduğunu doğruladı

Ledger bir müşteri cihazında kurcalanmış donanımı doğruladı

Ledger, Endonezya, Malezya ve Filipinler'de faaliyet gösteren donanım cüzdanı bayisi CryptoBilis ile bağlantılı fon hırsızlıklarına ilişkin soruşturmadan etkilenen müşterilerden birine ait bir cihazın içinde yetkisiz bir donanım implantı bulunduğunu doğruladı. Şirket, crypto.news'e göre bulguyu 10 Ekim'de bir destek açıklamasında duyurdu ve bileşeni yalnızca yetkisiz bir implant olarak tanımladı. Hangi modelin dahil olduğunu, parçanın nasıl takıldığını veya bilgi iletip iletmediğini belirtmedi.

Bu doğrulama, 9 Ekim'den itibaren Ledger ürünlerini CryptoBilis aracılığıyla satın alan müşteriler arasında ortaya çıkmaya başlayan yetkisiz işlem bildirimlerinin ardından geldi. Ledger bir soruşturma başlattı ve distribütörden cihazlarının satışını ve sevkiyatını duraklatmasını istedi. Şirket, implantın bildirilen kayıplara neden olup olmadığını henün tespit etmediğini söyledi.

Ekranın arkasındaki gizli bileşen

Ledger'ın açıklamasından önce, çöken Mt. Gox borsasının eski CEO'su olarak tanınan güvenlik araştırmacısı Mark Karpelès, Malezya'dan edinilen şüpheli bir Ledger Nano X'i incelediğini bildirdi. Cihazın ekranının arkasına, normalde ekranı koruyan malzemenin içine gömülmiş ek bir elektronik bileşen gizlendiğini tespit ettiğini anlattı. Cüzdan sağlam görünen bir ambalajla geldiğinden, değiştirilmiş bir cihazın sıradan görsel incelemeyle fark edilebilip edilemeyeceği konusunda şüpheler doğuyor.

Tibane Labs tarafından yayımlanan teknik bir inceleme, modifikasyonu hücresel iletişim donanımıyla eşleştirilmiş ve ekranın iç veri hatlarına bağlanmış bir microcontroller olarak tanımladı. Analiz, böyle bir düzenek kurulum sırasında ekranda gösterilen bilgileri — cihaz sahibinin fonlara erişimi geri kazanmasını sağlayan, genellikle 24 kelimelik recovery phrase dahil — yakalayabileceğini öne sürdü. Bu kelimeleri ele geçiren kişi, cihazı elinde tutmadan cüzdanı yeniden oluşturup transferleri onaylayabilir. Ledger, implantın bu amaca hizmet ettiğini doğrulamadı.

Zarar tahminleri farklı ve henüz doğrulanmadı

Olayın mali ölçeği hâlâ belirsiz. The Block'tan bir haber, on-chain araştırmacıların başlangıçta 72 milyon doları aşan şüpheli hırsızlıkları izlediğini söyledi. Crypto.news, blockchain araştırmacılarına ait tahminlerin 86 milyon doların üzerinde olduğunu, analitik firması Bitquery ise rakamı 311 cüzdana yayılmış 92,9 milyon dolar olarak açıkladı. Ledger bu tutarlardan hiçbirini doğrulamadı. Şirket, kendi güvenlik altyapısının, sistemlerinin veya hizmetlerinin ele geçirildiğine dair hiçbir bulgu olmadığını vurguladı.

Bayi satışları durdurdu; müşterilere sıfırlama çağrısı

CryptoBilis, tüm donanım cüzdanı stoğunun satışını askıya aldı; bu, Ledger'ın önceki talebinin yalnızca Ledger markalı sevkiyatları durdurmayı kapsamasının ötesine geçti. TokenPost'a göre askıya alma, soruşturma sonuçlanana kadar yürürlükte kalacak.

Ledger, CryptoBilis aracılığıyla cihaz satın alan müşterilere, henüz kurulum yapmadılarsa buna başlamamaları çağrısında bulundu. Cihazlarını kullanmış olanlara, kripto paralarını tamamen yeni bir recovery phrase ile başlatılmış yeni bir donanım cüzdanına taşımaları tavsiye edildi; çünkü mevcut bir phrase'i yedek bir cihaza aktarmak, orijinal donanım onu açığa çıkarmışsa işe yaramayacaktı. Ledger, kolluk kuvvetleriyle temasa geçtiğini, Security Alliance'ın SEAL_911 olay müdahalesi girişiminden gelen desteği kabul ettiğini ve ilgili bilgiye sahip araştırmacıları öne çıkmaya davet ettiğini bildirdi. Hiçbir şüpheli adlandırılmadı, hiçbir tutuklama duyurulmadı ve hiçbir zaman çizelgesi verilmedi.

CryptoBilis'in iki eski yöneticisi Arravind Prabu ve Vimalatheethan, Karpelès ile paylaşılan ve Tibane Labs tarafından yayımlanan bir açıklamada, 2026'nın başındaki bir mülkiyet değişikliğinin ardından Mart ayında operasyonel kontrolü devrettiklerini ve artık şirket sistemlerini veya müşteri veritabanlarını yönetmediklerini söyledi. Açıklama, etkilenen cüzdanı kimin değiştirdiğini veya devir teslimin olayla bağlantılı olup olmadığını ortaya koymuyor.

Doğrulanabilir donanım üzerine bir tartışma

Olay, tüketicilerin şeffaf olmayan donanıma ne kadar güvenmesi gerektiği tartışmasını da yeniden alevlendirdi. dev.to'da yayımlanan bir mühendislik analizi, donanım cüzdanlarının anahtarları tutmak için kurcalamaya dayanıklı bir secure element'e güvendiğini, ekran ve haberleşmeyi ise ayrı bir uygulama işlemcisinin yönettiğini ve aralarındaki veri yollarında oturmuş herhangi bir belgelenmemiş bileşenin teoride trafiği yakalayabileceğini ya da değiştirebileceğini belirtiyor. Yazar, son kullanıcıların silikonu gerçekçi biçimde doğrulayamayacağını, çünkü bir çipin zararsız olduğunu teyit etmenin çipin kapağını açmak gibi yıkıcı ve maliyetli çalışmalar gerektirdiğini savunuyor ve gelecekteki tasarımlarda belgelenmiş, denetlenebilir bileşenler ile şifrelenmiş iç iletişim çağrısında bulunuyor. Bunlar yazarın önerileridir; Ledger olayını, belgelenmemiş bir üretici bileşeni değil dış müdahale olarak çerçeveledi.

Neden önemli

Donanım cüzdanları, private key'lerin asla kurcalamaya dayanıklı donanımın dışına çıkmayacağı sözüyle satılır. Ekran yoluna bağlanmış fiziksel bir implant bu sözü en temel düzeyde zayıflatır: sırlar, kullanıcıya gösterilmeden önce ya da gösterilirken okunabiliyorsa, secure element ne kadar güçlü olursa olsun güvenlik modeli çöker. Olay ayrıca tedarik zinciri müdahalesinin — bir cihazı fabrikayla kapı arasındaki bir noktada değiştirmenin — sağlam ambalaj ve mühürlü kutular dahil satıcıların normalde güvendiği yazılım güvencelerini nasıl bertaraf ettiğini gösteriyor. Alıcılar için en zayıf halka üretici değil, dağıtım olabilir. Ledger fiziksel kurcalamaya karşı ek korumalar geliştirdiğini söylüyor, ancak soruşturma implantın tedarik zincirine nasıl girdiğini netleştirene kadar pratik ders, güvenlik açısından kritik donanımı yalnızca denetlenmiş kanallardan satın almak ve yeniden satılan cihazlara güvenmemektir.