Ledger potvrdio neovlašteni dodatak u uređaju azijskog preprodavača, procjene štete oko 86 milijuna dolara

Proizvođač hardverskih novčanika Ledger potvrdio je da je u barem jednom uređaju koji je prodao preprodavač CryptoBilis iz jugoistočne Azije pronađen neovlašteni hardverski dodatak koji je napadačima dao pristup frazi za oporavak. Analitičari blockchaina procjenjuju da je iz više od 300 novčanika odneseno između 86 i 93 milijuna dolara, no Ledger te iznose nije potvrdio.

Što se dogodilo

Korisnici u jugoistočnoj Aziji počeli su 9. listopada prijavljivati prazne novčanike. Istog dana Ledger je objavio da istražuje gubitke kod kupaca preprodavača CryptoBilis, svog ovlaštenog partnera za Indoneziju, Maleziju i Filipine, te ga zatražio da zaustavi prodaju i isporuke Ledger uređaja.

Dan kasnije Ledger je potvrdio da je u uređaju jednog oštećenog korisnika pronađen neovlašteni hardverski dodatak. Tvrtka nije rekla da je taj dodatak uzrok svih gubitaka. Prema objavi od 11. listopada, svi potvrđeni slučajevi odnose se na uređaje prodane preko CryptoBilisa, a broj pogođenih uređaja tvrtka opisuje kao ograničen. Ledger navodi da njegovi interni sustavi i izravna prodaja nisu pogođeni te da surađuje s nadležnim tijelima.

Koliko je odneseno

Službene brojke nema. Analitičar tanuki42 povezao je s adresama napadača više od 72 milijuna dolara, a analitičar Specter procijenio je štetu na više od 86 milijuna dolara u bitcoinu, etheru i tokenima na mreži Tron. Prema CoinDesku, novije procjene istraživača kreću se od 86 do 93 milijuna dolara iz više od 300 novčanika.

CryptoBilis je, prema Ledgeru, obustavio prodaju svih hardverskih novčanika do završetka istrage. Na upite medija nije odgovorio. Taj preprodavač prodaje i uređaje drugih proizvođača, uključujući Trezor, Tangem, OneKey i SafePal, no zasad nema potvrđenih slučajeva s tim uređajima.

Što Ledger savjetuje

Kupci koji su u zadnjih 90 dana uređaj kupili od tog preprodavača ne bi ga trebali postavljati. Oni koji su ga već postavili trebali bi sredstva prebaciti na novu frazu za oporavak, na uređaju kupljenom izravno od Ledgera. Ledger podsjeća da nikad ne zove, ne šalje privatne poruke i nikad ne traži frazu od 24 riječi.

Stručnjaci za sigurnost upozoravaju i na drugu stranu priče: panika otvara prostor prevarantima. Lažne Ledger stranice, oglasi na tražilicama i lažne aplikacije ciljaju upravo korisnike koji žurno premještaju sredstva.

Kontekst

Ovo je druga veća krađa s hardverskih novčanika ove godine. Ranije je iskorišten propust u firmveru novčanika Coldcard, a procjene štete kreću se od 100 do 130 milijuna dolara. Za razliku od tog slučaja, ovdje se zasad ne radi o propustu u samom uređaju, nego o uređajima koji su, prema dosadašnjim nalazima, izmijenjeni prije nego što su stigli do kupca.

Hardverski novčanik i dalje je najčešći način vlastite pohrane, ali vrijedi onoliko koliko vrijedi lanac od tvornice do kupca. Kako odabrati i postaviti uređaj, objašnjava vodič Kako sigurno čuvati bitcoin, a kako prepoznati lažne stranice i poruke, vodič Kako prepoznati kripto prevaru.