Yetkili satıcıdan alınan Ledger cüzdanlara gizlenen seed çeken LTE implantı 86 milyon dolardan fazla fonu buharlaştırdı

Yetkili satıcıdan alınan cüzdanlarda gizli implant doğrulandı

Ledger, Endonezya ve Malezya'daki yetkili satıcı CryptoBilis üzerinden satılan donanım cüzdanlarından en az birinde, cihazın kurtarma ifadesini çalmak için yerleştirilmiş yetkisiz bir donanım implantı bulunduğunu doğruladı. dev.to'da yayımlanan bir RedEye Threat Intelligence raporuna göre, takma adlı blokzincir araştırmacısı Specter, Güneydoğu Asya kullanıcıları arasındaki kayıpların 86 milyon doları aştığını tahmin ediyor; ancak Ledger ne bir mağdur sayısı ne de toplam bir rakam doğruladı.

İmplant, Ledger'ın Secure Element'ine veya firmware'ine dokunmuyor, işlemleri veya imzaları değiştirmiyor. Bunun yerine, kasa içine gizlenmiş ayrı bir bileşen ekranı izliyor. İlk kurulumda cüzdan 24 kelimelik kurtarma ifadesini ekranda gösterdiğinde, implantın mikrodenetleyicisi bu kelimeleri çözüyor ve provision edilmiş bir eSIM üzerinden LTE ile iletiyor. Veri hücresel bağlantıyla ayrıldığı için saldırganın mağdurun telefonuna, bilgisayarına veya Wi-Fi'sine erişmesi gerekmiyor. Seed ele geçirildiğinde cüzdan herhangi bir cihazda yeniden oluşturulup boşaltılabiliyor; sahibin signer'ından hiçbir kötü niyetli işlem geçmiyor.

Bu yaklaşım, donanım cüzdanlarının üzerine inşa edildiği güvenlik kontrollerini etkisiz kılıyor. Cihaz üzerindeki işlem incelemesi anlamsızlaşıyor, çünkü hırsızlık imzalama anında değil kurulum sırasında gerçekleşiyor. Ayrıca Ledger'ın 13 Ekim'deki güncellemesinde açıkladığı gibi, Genuine Check Secure Element'in bütünlüğünü doğruluyor ama bu çip sağlam kaldığı sürece donanımın diğer kısımlarındaki yetkisiz fiziksel değişiklikleri yakalayamıyor; yani kurcalanmış bir cihaz üreticinin kendi orijinallik testinden geçebiliyor. Ledger ayrıca cihazı incelemek için açmanın zarar verebileceği uyarısında bulunarak kullanıcılara önce kurtarma ifadesini yedeklemelerini söyledi.

Üç nesil, birden fazla satış kanalı

RedEye raporuna göre Ledger'ın bulguları, her biri öncekinden daha yetenekli üç implant varyantı belgeleyen Tibane Labs'ın önceki araştırmasıyla örtüşüyor. Üçüncü nesil CryptoBilis'ten gelmedi: araştırmacılar onu Çin merkezli üçüncü taraf bir satıcıdan Amazon Japan üzerinden satın aldı ve kargo Malezya'dan yollandı. Araştırmacılar, ana akım bir pazaryerindeki ilan, bir ülkedeki satıcı, başka bir ülkeden gelen kargo ve orijinal stoktan ayırt edilemeyen ambalajın alıcıların farkı tespit etmesine imkân bırakmadığına dikkat çekti.

Avrupa'da da bir vaka yaşandı. Ledger'a göre elektronik perakendecisi MediaMarkt Saturn, Almanya'da bir müşteri implant bulduktan sonra mağazalarındaki Ledger satışlarını durdurdu; kayıp fon bildirilmedi. Rapora göre doğrulanmış fon boşaltmaları yalnızca Güneydoğu Asya'da ve Ledger, başka bir yerden satın alınan bir cihaza bağlı herhangi bir hırsızlığı doğrulamadı. Şirket, cihazların kimler tarafından ve dağıtım zincirinin neresinde kurcalandığını hâlâ araştırıyor.

Üretici ve satıcı yanıtı

Ledger, CryptoBilis, Malezya ve Filipinler'deki Shopee Mall ile Filipinler'deki LazMall üzerinden satışları durdurdu; ancak rapor, bu duraklatmaların her birinin olayla bağlantılı olup olmadığını Ledger'ın söylemediğini not ediyor. 13 Ekim'de Endonezya, Singapur, Tayland, Filipinler, Vietnam, Malezya ve Hong Kong'taki satıcı ve distribütörlere satışları askıya almaları ve cihazları raflardan çekmeleri çağrısında bulundu. Ayrıca satıcılara stoku yalnızca yetkili kanallardan temin etmelerini, iade edilen ürünleri asla yeniden stoğa koymamalarını söyledi ve kendi altyapısının veya hizmetlerinin ihlal edildiğine dair bir bulgu olmadığını belirtti.

Ledger'ın alıcılara tavsiyesi net: son 90 günde CryptoBilis'ten alışveriş yapan herkes henüz kurmadığı bir cihazı başlatmamalı, kurmuş olanlar ise varlıklarını yeni bir seed ile yepyeni bir Ledger cihazına taşımali. CryptoBilis, soruşturma tamamlanana kadar tüm donanım cüzdanı satışlarını durdurdu. Müşteri uyarısı, daha eski ve kaba bir dolandırıcılığı da kapsıyor: kurtarma ifadesi önceden basılmış veya bir karta yazılmış halde gelen cüzdan güvensizdir; ancak implant daha kötü, çünkü mağdurlar seed'i cihaz üzerinde doğru şekilde üretiyor ve yine de tehlikeye düşüyor.

Her iki şirket de hiçbirinin kullanıcıları aramayacağını, mesaj atmayacağını veya kurtarma ifadesi ile PIN istemeyeceğini, kayıp fonları geri kazanma tekliflerinin ise neredeyse her zaman dolandırıcılık olduğunu söylüyor — bu boyuttaki olayların ardından düzenli olarak görülen bir dolandırıcılık dalgası.

Neden önemli

Bu yalnızca kripto meraklılarının sorunu değil. Hazine birimleri, borsa cold storage'ları ve custodian masaları çoğu zaman varlıkları, herhangi bir çevre birim gibi, stokta olan satıcı ya da pazaryerinden aldıkları donanım signer'larda tutuyor. Olay, yetkili satıcı statüsünün cihazın yol boyunca dokunulmadığının garantisi olmadığını ve pazaryeri ilanlarının kutuda aynı görünen değiştirilmiş donanım taşıyabileceğini gösteriyor.

Daha geniş ders tüm güvenilir donanımlar için geçerli: secure enclave'ler ve firmware attestation yalnızca kendi sınırları içindeki şeyleri korur, yanına yerleştirilen ek bileşenler hakkında hiçbir şey söylemez. Düz metin olarak sır gösteren bir ekran, silikon attestation'ın göremediği bir saldırı yüzeyidir; kasanın içine gizlenmiş bir hücresel radyo ise donanım cüzdanı tehdit modellerinin genellikle varsaydığı air gap'i ortadan kaldırır.