Ledger потврди дека шпионски хардверски чип стои зад кражбите на криптовалути од дигитални паричници

Ledger потврди дека дел од нејзините уреди, дистрибуирани преку азискиот препродавач CryptoBilis во Југоисточна Азија, биле компромитирани со хардверски имплант кој ги празнел криптовалутните паричници на корисниците.

Компанијата истражувала пријави од корисници кои изгубиле средства од паричници купени преку CryptoBilis, голем малезиски продавач на хардверски паричници кој работи низ Југоисточна Азија.

Некои истражувачи уште од 16 септември покажувале докази за имплантот во уредот Ledger X, наведувајќи дека манипулираните уреди биле достапни по цена речиси двојно пониска од цената на оригиналниот хардвер.

Паричниците Ledger се физички уреди дизајнирани за безбедно чување на приватните клучеви што ги контролираат криптовалутните средства и овозможуваат одобрување трансакции.

На 9 октомври, Ledger соопшти дека започнала истрага по пријавите од корисници за загуба на криптовалути и побарала од CryptoBilis да престане со продажба и испорака на уредите Ledger.

Следниот ден, компанијата потврди дека најмалку еден од уредите бил хардверски изменет, иако сè уште не е јасно точно како и кога биле манипулирани уредите.

„Ledger може да потврди дека уредот на еден од засегнатите корисници содржел неовластен хардверски имплант. Ledger стапува во контакт со засегнатите корисници како дел од истрагата што е во тек“, соопшти компанијата.

Производителот на криптовалутни паричници, исто така, истакна дека соработува со надлежните органи за да го идентификува сторителот и да го изведе пред лицето на правдата.

„[…] Ledger им препорачува на корисниците кои купиле уред Ledger од овој препродавач да не започнуваат со поставување на уредот доколку сè уште не го направиле тоа. Ако веќе сте го поставиле вашиот уред Ledger, размислете за префрлање на средствата на нов уред Ledger за потпишување трансакции, со нова почетна фраза (seed)“, предупреди Ledger.

Вчера, Ledger објави дополнително соопштение, потврдувајќи дека сите пријави од корисници за неочекувано празнење на нивните криптовалутни паричници се поврзани со уреди продадени преку CryptoBilis. Компанијата го опиша обемот на засегнати случаи како „ограничен“.

Иако компанијата не го откри типот на уредите што биле компромитирани во овој напад врз синџирот на снабдување, во извештаите на интернет се зборува за шпионски имплант во уредите Ledger X, кој е направен така што се вклопува со оригиналниот хардвер.

Марк Карпелес, кој моментално раководи со Karpeles Lab Inc. и е технички директор (CTO) во Shells.com, објави фотографија од новиот имплант во уредот Ledger X, наведувајќи дека тој претставува „значителен напредок“ во однос на претходните верзии, кои користеле рачно залемени жици.

Поранешниот извршен директор на Mt. Gox изјави дека имплантот бил скриен зад екранот, но дека кабелот на неговата антена можел да укаже дека нешто не е во ред.

Според Карпелес, злонамерниот хардвер ги снимал излезните податоци на екранот на уредот и притискањата на копчињата за да ја открие почетната фраза (seed phrase). Потоа, ги испраќал податоците до напаѓачот преку LTE-врска, користејќи eSIM.

„Ledger Nano X се користат за чување криптовалути. Шпионските импланти се користат за кражба на сите криптовалути што ги чувате во тие уреди Ledger Nano X“, објасни Карпелес.

Иако извршниот директор не го именуваше CryptoBilis како продавач на компромитираниот Ledger X, тој изјави дека уредот не бил купен преку каналите за продажба што ги препорачува Ledger, туку преку „позната платформа од кинески продавач (производот бил испратен од Малезија)“.

Tibane Labs, студио за истражување и развој на криптовалути, ги потврди наодите на Карпелес, додавајќи дека постојат две верзии на имплантот за Ledger X.

Истражувачите набавиле две варијанти: едната во уред Ledger купен преку Amazon Japan од „продавач со седиште во Кина, испорака од Малезија“, а другата преку Yahoo! Auctions во Јапонија.

Во извештај објавен за време на викендот, Tibane Labs наведува дека напаѓачот направил простор за злонамерното електронско коло така што ја заменил оригиналната батерија со помала. Таа батерија ги напојувала и имплантот и самиот уред Ledger X.

„Под батеријата и антената се наоѓа чип ST STM32G431KBU6 (Arm Cortex-M4, 128 KB флеш-меморија, UFQFPN-32)“, откриле истражувачите во еден од уредите.

За комуникација, напаѓачот користел „мала eSIM-картичка, во куќиште со осум контактни точки, со димензии од само 2 × 2 mm, поставена веднаш до микроконтролерот (MCU), како и заштитен LTE-модул што ги испраќа зборовите“.

Во вториот анализиран хардверски паричник, истражувачите од Tibane откриле дека ознаките на микроконтролерот (MCU) и на eSIM-картичката биле изгребани за да се сокријат броевите на моделите и ознаките на компонентите.

Втората варијанта, која се чини дека е истата онаа што ја опишал Карпелес, е понапредна. Таа работела со оригиналната батерија и била сместена во просторот што вообичаено го зафаќа пенестата подлога под OLED-екранот.

Во двата случаи, најочигледниот знак бил кабелот на антената. Кај вториот имплант, тој се протегал долж горниот раб на уредот. Кај првиот имплант, антената била залепена преку горниот дел од батеријата и заштитениот LTE-модул.

Истражувачите предупредија дека примерокот прикажан погоре користел „специјално дизајнирана, панелизирана флексибилна печатена плочка (PCB), од типот што се нарачува од специјализирана фабрика за производство на плочки, а не рачно изработена плочка за еднократна употреба“.

Ledger ги советува корисниците да избегнуваат купување уреди од неовластени препродавачи, бидејќи постои зголемен ризик да добијат фалсификувани или модифицирани уреди.

Компанијата исто така ги потсетува своите овластени препродавачи и дистрибутери да ги набавуваат производите исклучиво преку овластени канали и да избегнуваат повторно ставање во продажба на вратени производи.

Ledger нуди механизам наречен „Genuine Check“ за проверка на автентичноста на уредот. Сепак, компанијата изречно предупредува дека оваа проверка не може да открие дополнителни хардверски импланти доколку оригиналниот безбедносен чип (Secure Element) на уредот остане недопрен.

Засега нема индикации дека други препродавачи на Ledger испорачуваат компромитирани паричници. Сепак, довербата на крипто-заедницата во мрежата на препродавачи е нарушена, а многумина сега повикуваат на нејзино укинување.

Извори:

• Bleeping Computer – Ledger confirms spy chip implant behind wallet crypto thefts Bleeping Computer