দক্ষিণ-পূর্ব এশিয়ায় লেজার হার্ডওয়্যার ওয়ালেটগুলি অনুমান করা হয়েছে যে পরিবর্তন করা হয়েছে, $102M চুরি হয়েছে

দক্ষিণ-পূর্ব এশিয়ার গ্রাহকরা অক্টোবরের শুরুতে দেখেন যে সেই হার্ডওয়্যার ওয়ালেটগুলি যেগুলি সাধারণভাবে কাজ করছিল, সেগুলিতে ক্রিপ্টো অদৃশ্য হয়ে গেছে। গ্রাহকরা এই ডিভাইসগুলি CryptoBilis-এর মাধ্যমে কিনেছিলেন, যা মালয়েশিয়া, ইন্দোনেশিয়া এবং ফিলিপাইনে কাজ করা একটি অনুমোদিত রিসেলার। অক্টোবর 10-এ Ledger-এর পক্ষ থেকে একজন প্রভাবিত গ্রাহকের ডিভাইসে একটি অননুমোদিত ইমপ্ল্যান্টের নিশ্চিতকরণ করা হয়। তিনদিন পর, Ledger-এর সিকিউরিটি টিম ব্যাখ্যা করেন যে, অতিরিক্ত ইলেকট্রনিক্সগুলি ওয়ালেটের 24টি রিকভারি শব্দকে সেটআপের সময় কপি করেছিল এবং মোবাইল সংযোগের মাধ্যমে এই শব্দগুলি প্রেরণ করেছিল। সুরক্ষিত চিপ,অপারেটিং সিস্টেম এবং লেনদেনের স্বাক্ষরগুলি অপরিবর্তিত থাকে। Bitquery-এর অনুমান, 6টি নেটওয়ার্কে 324টি ওয়ালেট থেকে $102 million-এরও beshi stoln hoiyechhe, tathapic Ledger ei total-er nishchitkaron kore nai ebong har ek loss-er sathe implanted device-er sambandha sthapito kore nai।

হার্ডওয়্যার ওয়ালেটগুলি লেনদেন অনুমোদনের জন্য ব্যবহৃত প্রাইভেট কীগুলিকে সুরক্ষিত রাখে, যখন ক্রিপ্টো ব্লকচেইন নেটওয়ার্কে থাকে। একটি ওয়ালেট একটি অনুমোদিত লেনদেন সই করে, যখন সংযুক্ত কম্পিউটারকে প্রাইভেট কীগুলি দেয় না। সেটআপের সময়, একটি Ledger ওয়ালেট 24টি রিকভারি শব্দ প্রদর্শন করে যা ডিভাইসটি হারানোর ক্ষেত্রে ওয়ালেট এবং এর কীগুলি পুনর্গঠন করতে পারে। মালিকদের নির্দেশ দেওয়া হয়েছে যে রিকভারি ফ্রেজটি লিখে রাখুন, ফ্রেজটি অফলাইনে রাখুন এবং কখনও ফ্রেজটি শেয়ার করবেন না। যেকোনো ব্যক্তির যদি রিকভারি ফ্রেজটি থাকে, তবে মূল ওয়ালেটের PIN-এর মাধ্যমে বাধা ছাড়াই অন্য ডিভাইসে একই অ্যাকাউন্টগুলি restore করতে পারবে। Ledger-এর মতে, একটি ছোট কন্ট্রোলার ডিসপ্লেতে প্রেরিত তথ্যকে ইন্টারসিপ্ট করে, রিকভারি ফ্রেজটি পুনর্গঠন করেছিলএবং একটি embedded SIM-কার্ডের মাধ্যমে LTE-এর মধ্যে ফ্রেজটি প্রেরণ করেছিল।

ইমপ্ল্যান্টটি প্রোটেক্টেড চিপকে কমপ্রোমাইজ করার বা মালিককে একটি ফেক ওয়েবসাইটে রিকভারি শব্দ প্রবেশ করানোর জন্য বিভ্রান্ত করার প্রয়োজন হয়নি। একজন মালিক সেটআপ সম্পন্ন করতে পারতেন এবং বৈধ লেনদেনগুলি অনুমোদন করতে পারতেন, যখন একজন আক্রমণকারী ফান্ডগুলির সমান অ্যাক্সেস রাখত। একটি ঐচ্ছিক অতিরিক্ত পাসফ্রেজ সেই পাসফ্রেজ দিয়ে তৈরি অ্যাকাউন্টগুলিকে সুরক্ষিত করতে পারে, তবে সাধারণ অ্যাকাউন্টগুলির জন্য শুধুমাত্র রিকভারি শব্দই যথেষ্ট। Ledger-এর Genuine Check যাচাই করে যে ডিভাইসটিতে একটি অথেনটিক Secure Element, অর্থাৎ সংবেদনশীল সুরক্ষা অপারেশনের জন্য দায়ী চিপটি রয়েছে। Genuine Check একটি কন্ট্রিফেট চিপকে識別 করতে পারে, তবে প্রতিটি উপাদানকেই পরীক্ষা করতে পারে না বা প্রমাণ করতে পারে না যে উৎপাদনের পরে কিছুই যোগ করা হয়নি। Ledger-এর সুরক্ষা ডকুমেন্টেশনে সতর্কবাণী দেওয়া হয়েছে যে, মূল চিপটি অখণ্ড থাকলেও, физিকাল-পরিবর্তনগুলি শনাক্তকরণের বাইরেয়েয়েয়।

টিবান ল্যাবস পরিবর্তিত লেজার ন্যানো এক্স ডিভাইসগুলি পরীক্ষা করেছে, যেগুলিতে সিকিউর চিপ এবং স্ক্রিনের মধ্যে সংকেত পর্যবেক্ষণ করার জন্য ইলেকট্রনিক্স যুক্ত ছিল। একটি আরও উন্নত নমুনায় ডিসপ্লের নিচে একটি কাস্টম বোর্ড লুকিয়ে রাখা হয়েছিল এবং মূল ব্যাটারি বজায় রাখা হয়েছিল, যার ফলে সাধারণ পরীক্ষায় পরিবর্তনটি ধরা পড়েনি। এই নমুনাগুলি CryptoBilis তদন্তের থেকে পৃথক ছিল এবং এগুলির মাধ্যমে একই ডিভাইস বা আক্রমণকারীদের সংশ্লিষ্টতা প্রমাণিত হয়নি। সত্যিকারের চিপ, সঠিক সিগনেচার এবং স্বাভাবিক অপারেশন দিয়েই একটি সম্পূর্ণ ডিভাইসের অপরিবর্তিততা প্রমাণিত হয়না।

Ledger অনুমোদিত বিক্রেতাদের মাধ্যমে কেনার পরামর্শ দেয়, যা CryptoBilis মামলাকে শুধু নকল পণ্যের সমস্যা না করে পুরো বিতরণ চেইনের প্রতি আস্থার প্রশ্নে পরিণত করেছে। Ledger ১৫ অক্টোবরের একটি আপডেটে বলেছে যে আক্রমণকারীরা কয়েক মাস ধরে আসল ডিভাইস কিনেছে, ডিভাইসগুলো খুলেছে, কাস্টম কম্পোনেন্ট ইনস্টল করেছে এবং ডিভাইসগুলোকে দক্ষিণ-পূর্ব এশিয়ার পুনর্বিক্রেতাদের মাধ্যমে পুনরায় বিতরণে ফিরিয়ে দিয়েছে। Ledger এই ঘটনাকে বিতরণ চ্যানেলের উপর একটি আক্রমণ হিসেবে বর্ণনা করেছে। Ledger জানিয়েছে, গুদাম ও দোকানে পরীক্ষা করা নমুনাগুলোতে কোনো ধরনের হস্তক্ষেপের চিহ্ন পাওয়া যায়নি। Ledger বলেছে, কোম্পানি দক্ষিণ-পূর্ব এশিয়া এবং হংকং-এর অনুমোদিত পুনর্বিক্রেতা ও ডিস্ট্রিবিউটরদের বিক্রি স্থগিত করতে বলেছে। Ledger ফেরত আসা পণ্যে নিয়ন্ত্রণ আরও কড়া করছে এবং বিক্রেতাদের ডিভাইসগুলোকে প্রদর্শন শেলফ থেকে দূরে রাখতে বলছে। জার্মানির MediaMarktSaturn একটি বিকৃত ডিভাইসের রিপোর্টের পর Ledger বিক্রি স্থগিত করেছে। Trezor তাদের কোনো পণ্যে আপসের প্রমাণ না পাওয়া সত্ত্বেও প্রতিদ্বন্দ্বী ওয়ালেট নির্মাতার পুনর্বিক্রেতা নেটওয়ার্ক কমানোর পদক্ষেপ নিয়েছে।

বিটকোয়ারি পাওয়া গেছে যে ২৫টি ট্রন ওয়ালেট তিন সেকেন্ডের মধ্যে একই অনুমতি স্বাক্ষর করেছে, যা কারও ইতিমধ্যে একাধিক অ্যাকাউন্ট নিয়ন্ত্রণ করার সাথে সামঞ্জস্যপূর্ণ। ব্লকচেইন রেকর্ডগুলি চিহ্নিত করতে পারে না যে কে প্যাকেজিং খুলেছে, উপাদানগুলি ইনস্টল করেছে বা ডিভাইসটি দোকানে ফিরিয়ে দিয়েছে; এই প্রশ্নগুলির উত্তর পাওয়ার জন্য হার্ডওয়্যার পরীক্ষা এবং বিতরণ রেকর্ডের প্রয়োজন।

নতুন হার্ডওয়্যার কিনে পুরানো 24টি রিকভারি শব্দ প্রবেশ করানো একই ঝুঁকি তৈরি করে, কারণ পুরানো ফ্রেজটি একই কীগুলি পুনরুদ্ধার করে। সম্পদগুলিকে একটি বিশ্বস্ত ডিভাইসে একটি নতুন রিকভারি ফ্রেজ থেকে তৈরি অ্যাকাউন্টে স্থানান্তরিত করা দরকার, যেখানে সতর্কতার সাথে যাচাইকৃত ঠিকানা এবং নির্দেশাবলী ব্যবহার করা হয়। লেজার্ড ক্রিপ্টোবিলিস ক্রেতাদের অব্যবহৃত ডিভাইসগুলি ইনিশিয়ালাইজ করতে বলেছিল এবং যারা ইতিমধ্যেই সেটআপ সম্পন্ন করেছেন, তাদেরকে একটি নতুন ফ্রেজ সহ একটি নতুন সাইনারে ফান্ডস স্থানান্তরিত করতে পরামর্শ দিয়েছিল। প্রভাবিত মালিকদের অফিশিয়াল সাপোর্ট চ্যানেলগুলির মাধ্যমেই যোগাযোগ করা উচিত, সম্ভাব্য প্রাসঙ্গিক প্রমাণগুলি সংরক্ষণ করা উচিত, এবং কখনওই কোনও ব্যক্তিকে রিকভারি শব্দগুলি দেওয়া উচিত নয়, যেখানে সেই ব্যক্তিরা অর্থপুনরুদ্ধারের জন্য সহায়তা করছেন বলে দাবি করে। এই ঘটনাটি দেখিয়েছে যে,হার্ডওয়্যার-ওয়ালেটের安全性টি পরদা,কেস,প্যাকেজিংএবংবণ্টনশৃঙ্খলেরমধ্যদিয়েবিস্তৃত,যতক্ষণনা-প্রথমবাররিকভারি-শব্দগুলিপ্রকাশপায়।সেলফ-কাসডোডি-এক্সচেঞ্জকেপ্রাইভেট-কীসহজহওয়ার-পরিচয়প্রদান-করতেবিশ্বাসকরা-অপ্রয়োজন,কিন্তুমালিকদেরঅবশ্যইসেইহার্ডওয়্যার-এ-বিশ্বাসকরতেহবেযা-সেই-কীগুলি-তৈরি-এবং-প্রদর্শন-করে।