Атака на владельцев Ledger привела к потерям в $93,2 млн

Аналитическая компания Bitquery оценила потери пользователей Ledger от атаки 9 октября в $93,2 млн. Средства вывели из 315 криптокошельков в сетях TRON, биткоина, Ethereum, BNB Chain, Polygon и Solana. Предположительно, кошельки принадлежали клиентам, купившим устройства у реселлера CryptoBilis в Юго-Восточной Азии.

Около $70,5 млн пришлось на TRON, $16,8 млн — на биткоин, $3,7 млн — на Ethereum, $1,45 млн — на BNB Chain, $580 000 — на Polygon и $250 000 — на Solana. Bitquery учитывала активы, которые непосредственно вывели с кошельков. Последующие обмены, переводы между адресами злоумышленника и операции по отмыванию средств в расчет не включались. Суммы рассчитаны по котировкам криптовалют на 9 октября.

Другая аналитическая компания, YFarmX, оценила число пострадавших кошельков в 530, а общий ущерб — в $103,4 млн.

По данным Bitquery, вывод средств начался 9 октября и продолжался 47 минут. В сети биткоина 111 адресов очистили в рамках одного блока. В TRON 25 кошельков за три секунды подписали одинаковое разрешение на перевод USDT, после чего с них вывели около $29 млн.

Еще 30 кошельков в TRON незадолго до атаки передали контроль над активами новому ключу. Позднее с этих адресов перевели около $5,8 млн. За две недели до атаки исследователи зафиксировали 21 тестовую операцию в TRON и 20 в Ethereum. Во время них на небольшие кошельки отправляли средства для оплаты комиссий, запрашивали разрешение на перевод и возвращали активы.

Такая последовательность указывает на заранее полученный доступ к ключам большого числа кошельков со стороны одного злоумышленника или автоматизированной системы. Причина компрометации всех адресов не установлена.

Ledger связала пострадавшие устройства с CryptoBilis — реселлером, указанным авторизованным продавцом компании в Индонезии, Малайзии и на Филиппинах. 9 октября производитель попросил приостановить продажи и отправку устройств. Покупателям, которые приобрели Ledger у CryptoBilis в течение предыдущих 90 дней, рекомендовали не начинать настройку устройства. Тем, кто уже активировал кошелек, посоветовали перевести средства на другое устройство с новой сид-фразой.

Ledger заявила, что ее инфраструктура, системы и сервисы не были скомпрометированы. 10 октября компания обнаружила несанкционированный аппаратный имплант в устройстве одного из пострадавших пользователей, однако не подтвердила наличие таких компонентов во всех устройствах, связанных с атакой.

Исследовательская компания Tibane Labs изучила два Ledger Nano X с предполагаемыми аппаратными имплантами. По версии исследователей, компоненты могут перехватывать данные между защищенным чипом и экраном, включая 24 слова сид-фразы, отображаемые при первоначальной настройке. Прямая связь этих устройств с CryptoBilis не установлена: одно купили на японском Yahoo! Auctions, второе — у стороннего продавца на Amazon Japan, а отправление пришло из Малайзии.

Tether заблокировала 37 адресов, связанных с атакой. На 20 из них находилось около $10 млн в USDT. Заморозка адресов не означает автоматического возврата средств владельцам. Для перемещения активов злоумышленник использовал USDT0, Chainflip, Relay.link, HiFiSwap, NEAR Intents и THORChain. Около 2 990 ETH прошли через Tornado Cash, после чего их конвертировали с использованием Zcash. Еще около $14,9 млн обменяли на USDD — стейблкоин, который Tether не может заморозить.

По состоянию на 11 октября в блокчейне отслеживалось около $86 млн похищенных средств. Злоумышленник продолжал перемещать активы, а часть USDC вывели 11 и 12 октября — до возможной блокировки со стороны Circle. Владельцам устройств, купленных через CryptoBilis, рекомендуют не активировать неиспользованный кошелек, перевести средства на адрес с новой сид-фразой и проверить разрешения в блокчейн-эксплорере. Если приватный ключ скомпрометирован, поступившие позднее средства также могут быть выведены.