Ledger wstrzymuje sprzedaż po kradzieży 86 mln dolarów

Ledger bada kradzież kryptowalut z portfeli klientów w Azji Południowo-Wschodniej, którzy kupili urządzenia u autoryzowanego sprzedawcy CryptoBilis. W piątek producent nakazał sklepowi wstrzymać sprzedaż i wysyłkę wszystkich urządzeń Ledger.

Pierwsze zgłoszenia pojawiły się na platformie X i Reddicie. Użytkownicy informowali, że z ich portfeli zniknęły wszystkie środki. O godz. 14 czasu polskiego badacz bezpieczeństwa posługujący się pseudonimem tanuki42 opublikował osiem adresów, na które miały trafiać skradzione kryptowaluty. Oszacował straty na ponad 72 mln dolarów.

Niecałe pół godziny później analityk on-chain Specter wskazał dwa kolejne adresy w sieci Bitcoin. Według jego szacunków łączna wartość skradzionych aktywów w sieciach Bitcoin, Ethereum i TRON przekroczyła 86 mln dolarów, czyli około 340 mln zł. Środki miały napływać z setek portfeli należących do poszkodowanych.

W sprawę zaangażowała się Security Alliance, organizacja zrzeszająca specjalistów od cyberbezpieczeństwa w branży kryptowalut. Wezwała poszkodowanych do kontaktu przez kanał alarmowy SEAL 911 w komunikatorze Telegram.

W komunikacie opublikowanym na X Ledger poinformował, że analizuje zgłoszenia dotyczące klientów z Azji Południowo-Wschodniej, którzy kupili urządzenia w sklepie CryptoBilis. Firma nie potwierdziła oficjalnie skali strat ani przyczyny wycieku. Nie poinformowała też o luce dotyczącej wszystkich urządzeń Ledger sprzedawanych na świecie.

Ledger zalecił klientom, którzy kupili portfel w CryptoBilis w ciągu ostatnich 90 dni, lecz jeszcze go nie skonfigurowali, aby wstrzymali się z jego uruchomieniem. Osoby, które już skonfigurowały urządzenie, powinny rozważyć przeniesienie środków na nowe urządzenie Ledger z nową frazą odzyskiwania.

CryptoBilis to malezyjski sklep założony w 2020 roku. Sprzedaje urządzenia i akcesoria związane z kryptowalutami kilkunastu marek, w tym Ledger i Trezor. Poza Malezją działa w Indonezji i na Filipinach. Na stronach produktów deklaruje, że urządzenia są fabrycznie nowe, zaplombowane i nienaruszone. Sklep figuruje na liście autoryzowanych sprzedawców Ledger osobno dla każdego z tych trzech rynków.

Portfele sprzętowe przechowują klucze prywatne w odizolowanym układzie elektronicznym. Do przejęcia środków nie trzeba uzyskać fizycznego dostępu do urządzenia, jeśli przestępca zdobędzie 24-wyrazową frazę odzyskiwania. Pozwala ona odtworzyć portfel na innym urządzeniu i wykonać przelewy. Użytkownik może dodatkowo zabezpieczyć środki własnym hasłem, określanym jako passphrase.

Jednym z rozważanych scenariuszy jest problem w łańcuchu dostaw lub dotyczący konkretnej partii urządzeń. W kwietniu badacz José Mendes poinformował o znalezieniu podrobionego urządzenia Ledger Nano S Plus kupionego na chińskiej platformie sprzedażowej. Zamiast certyfikowanego układu bezpieczeństwa znajdował się w nim układ ESP32-S3. Zmodyfikowane oprogramowanie miało zapisywać kod PIN i frazę odzyskiwania oraz przesyłać je na serwer przestępców. W tamtym przypadku urządzenie pochodziło z nieoficjalnego źródła.

W tym samym miesiącu fałszywa aplikacja Ledger Live dostępna w sklepie Apple miała wyłudzić frazy odzyskiwania od ponad 50 osób. Straty oszacowano na około 9,5 mln dolarów. Nie ustalono, czy obecne kradzieże dotyczą wyłącznie klientów CryptoBilis, określonej partii urządzeń czy większej grupy użytkowników.

Na przełomie lipca i sierpnia użytkownicy urządzeń Coldcard stracili około 1367 bitcoinów z 4585 adresów. Producent wskazał wtedy na błąd, przez który urządzenia od 2021 roku korzystały z przewidywalnego programowego generatora liczb losowych zamiast z generatora sprzętowego.