تم سرقة حوالي 91 مليون دولار أمريكي دفعة واحدة. تم نقل 203 BTC إلى عنوانين في نفس الكتلة، وفي نفس الساعة، تم تحريك حوالي 58 مليون دولار أمريكي من USDT على شبكة Tron. كانت الأموال مستخرجة من مجموعة من محفظات Ledger المادية، حيث تم إرسال عبارة الاسترداد منذ اليوم الذي قام فيه المستخدم بتشغيل الجهاز. تم فتح جهاز Ledger تم شراؤه من ماليزيا، ووجدت لوحات صغيرة مزودة بـ eSIM مثبتة أسفل الشاشة. نشر @MagicalTux صورًا لفتح الجهاز في 8 أكتوبر. تحتوي هذه اللوحات على وحدة LTE ملحومة، ولا تقوم بأي شيء سوى مراقبة الشاشة. أثناء تنشيط الجهاز ونسخك للكلمات الـ24 لعبارة الاسترداد واحدة تلو الأخرى، كانت الكلمات تُرسل عبر شبكة الجوال. لا يمكن لبرنامج Ledger Live التحقق من الأصالة، لأن شريحة Ledger داخل الجهاز أصلية، لكن العناصر الخبيثة موجودة أسفل الشاشة. لقد قمت بتكبير هذه الصور لفترة طويلة، ووجدت أن نقاط اللحام منظمة جدًا ولا تبدو كمنتجات مصنوعة في ورشة عشوائية. هناك متجر في ماليزيا يُدعى CryptoBilis يبيع محفظات مادية. منذ عام 2022 على الأقل، كان موقع Ledger الرسمي يدرجها كوكيل معتمد في ماليزيا وإندونيسيا والفلبين. متجر رسمي، يبيع منتجات أصلية، وعمل بجدية لسنوات عديدة. لكن في مارس من هذا العام، باع الفريق المؤسس الشركة بالكامل. كانت الصفقة مصحوبة باتفاقية سرية، تمنع المساهمين الأصليين من الإعلان عن تغيير ملكية الشركة حتى 19 أكتوبر. بحلول أغسطس من هذا العام، ظهرت سجلات الشركة كأنها تملكها شخص واحد فقط بنسبة 100%، اسمه Jiaming، ومسجل في هيلونغجيانغ. استمر المتجر في العمل، وظل الموقع الإلكتروني كما هو، ولم يتغير النطاق، واستمرت لافتة "معتمد من Ledger" في مكانها الأصلي. لاحقًا، قال أحد المؤسسين السابقين إن الفريق القديم لم يعد قادرًا على الوصول إلى خلفية الشركة. ثم جاء منشور فتح الجهاز في 8 أكتوبر، وتم عرضه 120 ألف مرة. بعد 22 ساعة من نشر المنشور، استولى الأشخاص الذين يمتلكون عبارات الاسترداد على جميع الأصول. بعد حوالي 7 ساعات من نقل العملات، أصدرت Ledger بيانًا تقول فيه إنها تحقق في الأمر وتطلب من CryptoBilis تعليق المبيعات والشحنات. بالأمس، أكدت Ledger أن الأجهزة الخاصة بالمستخدمين المتضررين تحتوي بالفعل على تجهيزات غير مصرح بها. حتى الآن، لم يُربط رسميًا أي من المساهمين الجدد بهذه الأجهزة المعدلة، ولم تذكر Ledger كيف دخلت هذه اللوحات إلى الأجهزة. لكن الطريق واضح: لا حاجة لاختراق شريحة الأمان أو تحليل البرنامج الثابت، بل فقط شراء علامة "معتمد" موجودة مسبقًا، والاستفادة من سمعة الشركة التي بُنِيت على مدى ثلاث سنوات لإرسال المنتجات، بينما تقوم الأجهزة بإرسال إشارات تلقائية، وعند ظهور منشور فتح الجهاز، يتم تفريغ جميع الأصول دفعة واحدة. كانت علامة "وكيل معتمد" تُمنح في الأصل للأشخاص الذين أسسوا المتجر عام 2022. عندما تغيرت ملكية الشركة في مارس، ظلت العلامة في مكانها، ولم يُعاد التحقق من هوية المالك الجديد حتى اليوم.