Zmodyfikowany portfel Ledger kupiony w Europie

Portfel sprzętowy Ledger kupiony około dwóch tygodni wcześniej w europejskim sklepie MediaMarkt miał pod wyświetlaczem dodatkową płytkę elektroniczną. Jej konstrukcja przypomina element znaleziony w urządzeniach dostarczanych przez azjatyckiego dystrybutora CryptoBilis. Z europejskiego egzemplarza nie skradziono środków.

Zdjęcia otwartego urządzenia opublikował na platformie X użytkownik posługujący się pseudonimem Johannes. Nie ustalono, czy europejski portfel był bezpośrednio związany z atakiem przypisywanym urządzeniom dostarczanym przez CryptoBilis. Ledger nie potwierdził takiego związku.

Analizę podzespołów przeprowadził Mark Karpeles, były szef giełdy Mt. Gox. Według jego oceny antena zamontowana w europejskim egzemplarzu wskazuje na konfigurację przeznaczoną dla rynku eurazjatyckiego. Może to oznaczać, że zmodyfikowane moduły przygotowywano w kilku wersjach, dostosowanych do zakresów częstotliwości sieci komórkowych używanych w poszczególnych regionach.

W urządzeniach powiązanych z CryptoBilis dodatkowa płytka znajdowała się bezpośrednio pod ekranem. Według analizy technicznej mogła przechwytywać 24-wyrazową frazę odzyskiwania i przesyłać ją napastnikom przez sieć komórkową. Zmodyfikowane portfele przechodziły cyfrowe testy autentyczności po podłączeniu do komputera.

CryptoBilis działa w Malezji, Indonezji i na Filipinach. Firma niedawno zmieniła właściciela. Po ujawnieniu incydentu Ledger zwrócił się do dystrybutora o wstrzymanie sprzedaży i wysyłki portfeli.

Ledger zalecił klientom, którzy kupili urządzenia w ciągu ostatnich 90 dni, przeniesienie aktywów na nowe adresy wygenerowane przy użyciu bezpiecznych portfeli. Producent utrzymuje, że liczba zmodyfikowanych egzemplarzy jest ograniczona, a jego oficjalne kanały sprzedaży i centra dystrybucyjne nie zostały naruszone.

Firma zajmująca się analizą bezpieczeństwa Yfarmx oszacowała wartość środków skradzionych z zaatakowanych portfeli na 93,4 mln dolarów. Transakcje miały dotyczyć ponad 471 adresów w sieciach kryptowalutowych. Dane te wymagają niezależnej weryfikacji.

W europejskim egzemplarzu nie odnotowano kradzieży aktywów. Nie ustalono, czy urządzenie było niesprawne, czy miało zostać wykorzystane po przekazaniu go kolejnym klientom.