Ledger potwierdza nieautoryzowany implant sprzętowy w ataku na łańcuch dostaw, straty mogą przekroczyć 86 milionów dolarów

Francuski producent portfeli sprzętowych do kryptowalut ujawnił wyrafinowane naruszenie łańcucha dostaw wpływające na urządzenia sprzedawane przez sprzedawcę w Azji Południowo-Wschodniej, ze złośliwymi chipami opróżniającymi fundusze użytkowników.

Ledger, francuski producent jednego z najpopularniejszych portfeli sprzętowych do kryptowalut na świecie, potwierdził w niedzielę, że w oryginalnych urządzeniach odkryto nieautoryzowany implant sprzętowy, potencjalnie wpływający na tysiące użytkowników w Azji Południowo-Wschodniej. Firma stwierdziła, że incydent wydaje się być ograniczony do jednego sprzedawcy w regionie, choć straty z opróżnionych portfeli mogą według wstępnych analiz forensycznych blockchain przekroczyć 86 milionów dolarów.

W przeciwieństwie do włamań do oprogramowania czy ataków phishingowych, to naruszenie stanowi znacznie poważniejsze zagrożenie: atak na łańcuch dostaw, w którym fizyczne urządzenia zostały zmodyfikowane przed dotarciem do klientów. Złośliwy implant—maleńki chip przylutowany do płytki drukowanej wewnątrz autentycznych jednostek Ledger—pozwalał atakującym przechwytywać klucze prywatne i frazy seed podczas konfiguracji lub dostępu użytkowników do portfeli, nawet jeśli urządzenia wydawały się działać normalnie.

Ledger poinformował, że współpracuje z organami ścigania w wielu jurysdykcjach i rozpoczął wewnętrzne śledztwo w celu ustalenia, w jaki sposób wprowadzono implanty. Firma podkreśliła, że urządzenia zakupione bezpośrednio na Ledger.com lub od zweryfikowanych sprzedawców w Ameryce Północnej i Europie nie wykazują oznak ingerencji. Użytkownicy w Azji Południowo-Wschodniej, którzy kupili urządzenia w ostatnich miesiącach, są proszeni o natychmiastowe przeniesienie środków do nowego portfela wygenerowanego na urządzeniu zakupionym przez oficjalne kanały.

Kwota 86 milionów dolarów jest wstępna i opiera się na adresach portfeli, które badacze bezpieczeństwa powiązali ze skompromitowanymi urządzeniami. Faktyczne straty mogą wzrosnąć wraz z pojawieniem się kolejnych ofiar. Ledger nie ujawnił nazwy zaangażowanego sprzedawcy, powołując się na trwające śledztwo, ale poinformował, że zawiesił wysyłki do dystrybutora i przeprowadza audyt całej sieci partnerów.

Portfele sprzętowe takie jak Ledger są sprzedawane jako złoty standard bezpieczeństwa kryptowalut właśnie dlatego, że przechowują klucze prywatne w trybie offline i w izolacji od komputerów podłączonych do internetu. Ten atak podważa tę obietnicę, pokazując, że nawet urządzenia odizolowane powietrzem mogą zostać skompromitowane, jeśli naruszony zostanie łańcuch dostaw. Dla użytkowników podkreśla to krytyczne znaczenie kupowania portfeli sprzętowych tylko z oficjalnych źródeł i sprawdzania urządzeń pod kątem oznak fizycznej ingerencji.

Incydent ma miejsce w wrażliwym czasie dla branży kryptowalut, która spędziła lata na odbudowywaniu zaufania po upadkach giełd i awariach przechowywania. Sprzedaż portfeli sprzętowych wzrosła po upadku FTX, gdy użytkownicy szukali rozwiązań do samodzielnego przechowywania, a jakikolwiek erozja zaufania do tych urządzeń może skłonić inwestorów do powrotu do regulowanych depozytariuszy lub zmniejszyć adopcję kryptowalut. Konkurenci Ledgera, w tym Trezor i Coldcard, nie skomentowali jeszcze publicznie, ale prawdopodobnie dokonują przeglądu własnych kontroli łańcucha dostaw.

Dla zwykłych inwestorów lekcja jest jasna: nawet najbezpieczniejsza technologia jest tylko tak bezpieczna jak sieć dystrybucji za nią. Eksperci zalecają sprawdzanie opakowań zabezpieczonych przed ingerencją, weryfikację numerów seryjnych urządzeń na stronie producenta i konfigurowanie portfeli w bezpiecznym środowisku. Ledger obiecał dzielić się dalszymi aktualizacjami w miarę postępu śledztwa i oferuje bezpłatne urządzenia zastępcze potwierdzonym ofiarom.