Upravené kryptopeňaženky Ledger kradli peniaze, škody sa odhadujú na 100 miliónov dolárov

Ledger rieši jeden z najvážnejších bezpečnostných incidentov vo svojej histórii. Nejde pritom o klasické prelomenie softvéru alebo bezpečnostného čipu peňaženky. Útočníci podľa doterajších zistení fyzicky upravovali originálne zariadenia a pridávali do nich vlastnú elektroniku schopnú zachytiť recovery seed používateľa. Ledger už prítomnosť nepovoleného hardvérového implantátu v zariadení jedného poškodeného zákazníka potvrdil.

Prvé potvrdené prípady sa spájajú s autorizovaným predajcom CryptoBilis pôsobiacim v juhovýchodnej Ázii. Ledger 9. októbra začal vyšetrovanie po správach používateľov, ktorým z peňaženiek zmizli kryptomeny, a požiadal CryptoBilis, aby zastavil predaj a expedovanie jeho zariadení. Následne výrobca potvrdil, že minimálne jedna z peňaženiek obsahovala dodatočný hardvér, ktorý v originálnom zariadení nemal byť.

Implantát sledoval seed frázu

Útok je nepríjemný práve tým, že nebolo potrebné prelomiť samotné zabezpečenie Ledgeru. Do zariadenia bola pridaná elektronika umiestnená pri displeji, ktorá dokázala zachytiť údaje zobrazované počas prvotného nastavenia peňaženky. Medzi nimi je aj 24-slovná recovery fráza, ktorá predstavuje hlavný kľúč ku kryptomenám používateľa.

Podľa doterajších analýz mal implantát obsahovať aj mobilnú konektivitu a získané údaje mohol následne odoslať útočníkom. Ak útočník pozná kompletnú recovery frázu, pôvodnú fyzickú peňaženku už nepotrebuje. Môže si ju obnoviť na inom zariadení a dostať sa ku kryptomenám majiteľa.

Práve preto môže byť takýto útok ťažšie odhaliteľný ako klasický falzifikát. Samotná bezpečnostná časť Ledgeru môže zostať pôvodná a útočník iba odpočúva komunikáciu s displejom. Zariadenie sa tak pri bežnom používaní môže správať ako originálny Ledger.

Zmiznúť mohlo už 102 miliónov dolárov

Rozsah škôd zatiaľ Ledger oficiálne nevyčíslil. Blockchainová analytická spoločnosť Bitquery však sledovala transakcie spojené s incidentom a aktuálne odhaduje, že útočník získal približne 102 miliónov dolárov z 324 peňaženiek na šiestich blockchainoch.

Zasiahnuté boli Bitcoin, Ethereum, Tron, Solana, BNB Chain a Polygon. Bitquery zároveň zaznamenal, že útočník si mechanizmus presunov približne dva týždne testoval na malých transakciách a 9. októbra následne spustil rozsiahle vyprázdňovanie peňaženiek. Tether dokázal zmraziť približne 10 miliónov dolárov v USDT, časť ďalších kryptomien však už bola presunutá cez Tornado Cash, Zcash a ďalšie služby sťažujúce sledovanie toku peňazí.

Suma 102 miliónov dolárov teda nie je oficiálnym údajom Ledgeru, ale výsledkom on-chain analýzy Bitquery. Pôvodné odhady pritom hovorili približne o 86 až 93 miliónoch dolárov, pričom ďalším sledovaním blockchainov pribúdali nové identifikované peňaženky.

Podozrivé zariadenia sa objavili aj v Európe

Situácia sa však už nemusí týkať iba juhovýchodnej Ázie. Používateľ vystupujúci na sociálnej sieti X ako Johannes tvrdí, že kúpil dve nové Ledger peňaženky v dvoch rôznych predajniach MediaMarkt v Nemecku a v oboch po rozobratí našiel podobné nepovolené káble a mobilný komunikačný modul.

Druhý nákup podľa svojich slov nahral na video už od rozbaľovania zariadenia. Ledger zatiaľ verejne nepotvrdil, že tieto konkrétne európske kusy sú súčasťou rovnakého útoku, takže rozsah prípadného zásahu európskej distribúcie zostáva otvorený.

MediaMarktSaturn však už reagoval a všetky produkty Ledger stiahol zo svojich kamenných predajní aj internetových obchodov. Spoločnosť uviedla, že situáciu berie veľmi vážne a komunikuje priamo s výrobcom. Ide zatiaľ o preventívny krok, nie o potvrdenie, že sú kompromitované všetky zariadenia predávané cez MediaMarkt.

Objavili sa aj ďalšie hlásenia mimo CryptoBilis. Bývalý šéf Mt. Gox Mark Karpelès tvrdí, že podobný implantát našiel v modeli Ledger Flex kúpenom na letisku v Singapure. Ani tento konkrétny prípad zatiaľ Ledger samostatne nepotvrdil.

Nie sú kompromitované všetky Ledgery

Správy na sociálnych sieťach často incident interpretujú tak, že všetky Ledger zariadenia sú v súčasnosti nebezpečné. Dostupné informácie to zatiaľ nepotvrdzujú. Ledger tvrdí, že jeho vlastné systémy ani zariadenia kúpené priamo cez jeho distribučné kanály neboli kompromitované a pôvodne všetky potvrdené prípady krádeží spájal s CryptoBilis.

Európske nálezy však ukazujú, prečo výrobca a predajcovia teraz preverujú aj širší dodávateľský reťazec. Ak sa potvrdí, že upravené zariadenia prenikli k viacerým nezávislým predajcom, išlo by o podstatne rozsiahlejší supply-chain útok, než Ledger pôvodne predpokladal.

Ledger používateľom, ktorí si zariadenie kúpili cez CryptoBilis, odporúča, aby ho v prípade ešte nevykonaného nastavenia vôbec nepoužívali. Ak už peňaženku nastavili, mali by prostriedky presunúť na novú peňaženku vytvorenú s úplne novou recovery frázou. Použiť pôvodných 24 slov na inom zariadení nestačí, pretože práve tieto slová mohli útočníci zachytiť.

Vyšetrovanie incidentu naďalej pokračuje. Najväčšou otázkou teraz zostáva, v ktorej časti dodávateľského reťazca boli zariadenia upravené a či sa kompromitované kusy dostali vo väčšom množstve aj k ďalším predajcom mimo juhovýchodnej Ázie.