Ledger ve Trezor cüzdanlardaki ekran izleme implantları 102 milyon dolarlık hırsızlıkla ilişkilendirildi

Ne oldu

Ledger ve Trezor donanım cüzdanlarını hedef alan bir tedarik zinciri saldırısı 13 Ekim'de kamuoyunun gözü önüne geldi; Kim Zetter, Zero Day'te cihazların içine gizlenmiş implantlar hakkında bir haberi yayımladı ve bu haberle ilgili bir analiz şurada yer aldı: dev.to. Hackaday üç gün sonra donanım odaklı bir özet yayımladı. Blockchain analitik firmaları, Bitcoin, Ethereum, Tron ve diğer varlıklarda yaklaşık 102 milyon dolar tutan kabaca 315 boşaltılmış hesabı bu kampanyayla ilişkilendiriyor; etkilenen cihazların birçoğu Ledger'ın Malezya, Endonezya ve Filipinler yetkili satıcısı olan CryptoBilis'e kadar izlendi.

Çipi kırmak yerine ekranı okumak

İmplant kriptografiye hiç saldırmıyor. dev.to yazısında açıklandığı gibi, bu, LCD'yi süren SPI hatlarını dinleyen küçük bir mikrodenetleyici. Cihaz yeni üretilmiş bir kurtarma tohumunu (recovery seed) ekranda gösterdiğinde implant framebuffer'ı çözüyor, 24 kelimeyi kaydediyor ve daha sonra bunları kendi LTE modemi, anteni ve eSIM'i üzerinden iletiyor.

Bu tasarım tüm güvenlik modelini bir kenara bırakıyor. İmplant ana bilgisayara veya kullanıcının WiFi ağına hiç dokunmuyor ve Ledger'ın kendi de teyit ettiği bildirildiğine göre Secure Element'i, Ledger işletim sistemini veya işlemleri değiştirmiyor. Firmware imzaları geçerli kalıyor ve Genuine Check geçiyor. Ele geçirilen şey, çip ile ekranı okuyan kişi arasındaki bağlantı.

Trezor cihazları farklı şekilde etkilendi. Aynı habere göre Joe Grand, bir Trezor One ve bir Model T'nin içinde, mikrodenetleyicinin değiştirildiği ve cüzdanın rastgele bir tohum yerine önceden belirlenmiş bir düzine tohumdan birini ürettiği implantlar buldu. Grand, Ağustos'ta Trezor'u bilgilendirdi; şirketin CCO'su 13 Ekim'de, yani Zetter'ın Grand'ın bulgularını yayımladığı gün "tek bir kanıt parçası bile" olmadığını herkese açık biçimde söyledi.

Beş kuşaklık geliştirme

Mark Karpeles tarafından Eylül'de yayımlanan ve Hackaday tarafından özetlenen bir söküm incelemesi beş farklı implant tasarımını belgeliyor. Birinci kuşak, emaye tel ve sıcak silikonla yapılmış kaba bir kavram kanıtıydı. İkinci kuşak, ana kartın üzerine şeffaf turuncu bir poliimid esnek PCB'yi lamine etti ve boşluk yaratmak için daha küçük bir pile geçti. Üçüncü kuşak, karta karışması için siyah lehim maskesine geçti ve adli incelemeleri zorlaştırmak için modem ve mikrodenetleyici üzerindeki parça numaraları kazındı. Dördüncü ve beşinci kuşaklar, anteni üst kenara daha sıkı bütünleştirdi, iç dolguyu çıkardı ve özel eSIM profilleri kullandı.

Ölçek tek seferlik değildi. Grand, ilk Reddit gönderinden sonra sekiz Nano X daha satın aldı ve dördünde implant buldu. Ayrıca Johannes adında bir kullanıcı, on ülkeede yaklaşık bin şubesi olan yetkili satıcı MediaMarkt mağazalarından satın alınan iki Nano X cihazında implant buldu.

Açıklamadan önce gelen uyarılar

Grand, Cointelegraph'a, Ağustos 2025'te Tayland'da satın alınan implantlı bir Nano X hakkında Ledger'ı 4 Mart 2026'da uyardığını ve şirketin bulguyu teyit ettiğini ancak müşterileri proaktif biçimde uyarmadığını söyledi. Karpeles ise fonlar çalınmadan üç hafta önce bir implant bildirdiğini ve hiç yanıt almadığını söylüyor.

Bir cihaza güvenmeden önce ucuz kontroller

dev.to yazarı önce yıkıcı olmayan kontrolleri öneriyor: cihazı 0,01g hassasiyetli bir terazide tartın (stok bir Nano X 34 gramdır; ikinci ve üçüncü kuşak implantlı cihazlar 1,5–3 gram ağırdır), çıkarılan pil dolgusundan gelen hafif bir tıkırtı dinleyin, kasa derzlerinde zorlama izleri veya düzensiz boşluklar arayın ve pil ömrünün belirtildiklerinin yüzde 30–40 altında olup olmadığına dikkat edin.

Tohum üretimi sırasında bir USB-C hat içi güç ölçer de yardımcı olabilir. Yazar, implantlı bir cihazın kurtarma ifadesi ekranda gösterilirken genellikle ek ve sürekli bir 15–40mA akım çektiğini, ayrıca modemin karşıya yükleme için uyandığı sırada 30 saniye ile beş dakika sonra keskin bir 100–250mA yükseliş gösterdiğini bildiriyor. Tohumu iki kez üretmek ve aynı akım desenini gözlemlemek de bir uyarı işareti; çünkü bu, cihazın gerçek entropi üretmediğini ima ediyor. Yazar, ölçer doğruluğunun teyit edilmediğini ve bu testlerin hiçbirinin bir cihazın temiz olduğunu kanıtlamadığını belirtiyor — yalnızca ele geçirilmeyi ucuz yoldan kanıtlıyorlar; bu yüzden önce geliyorlar.

Neden önemli

Donanım cüzdanı güvenliği, savunulması gereken şeylerin çip, firmware ve imzalama akışı olduğunu varsayar. Bu kampanya, insan-ekran kanalının en az onlar kadar kritik olduğunu gösteriyor: Ekranda ne gösterildiğini gözlemleyebilen bir saldırganın özel anahtara, istismara ya da kurbanın bilgisayarında veya ağında var olmaya ihtiyacı yok. Ayrıca suça karışan cihazlar hem Güneydoğu Asya hem de Avrupa'da yetkili kanallardan geldiği için, yetkili satıcılardan satın alın yönündeki standart tavsiyeyi de zayıflatıyor. Ve uyarıların halka açık ifşadan aylar önce satıcılarda beklediği bildirildiğine göre, pratik yük alıcılara cihazları fiziksel olarak doğrulamak ve satıcılara daha hızlı iletişim kurmak için kayıyor. Çıkarılacak ders, cold storage'in kriptografik olarak başarısız olduğu değil; tedarik zinciri bütünlüğü ve bant dışı veri sızdırmanın artık tehdit modelinin tam merkezinde yer aldığıdır.