Nakita ng mga customer sa Timog-Silangang Asya noong unang bahagi ng Oktubre na nawala ang crypto mula sa mga hardware wallet ng Ledger na parang nagtatrabaho nang normal. Binebili ng mga customer ang mga device sa pamamagitan ng CryptoBilis, isang pinahihintulutang reseller na gumagana sa Malaysia, Indonesia, at Pilipinas. Kumpirmado ng Ledger ang isang hindi awtorisadong implant sa isang device ng isang customer noong Okt. 10. Tatlong araw pagkatapos, ipinaliwanag ng security team ng Ledger na idinagdag na electronics ang kopya ng 24-word na recovery phrase habang nagset-up at ipinadala ang mga salita sa pamamagitan ng mobile connection. Ang protected chip, operating system, at transaction signatures ay nanatiling hindi nabago. Ipinagmamalaki ni Bitquery na ang mga attacker ay nakuha ang $102 milyon mula sa 324 wallets sa anim na network, bagaman hindi kumpirmado ng Ledger ang kabuuang ito o itinakda na ang bawat pagkawala ay may kinalaman sa isang implanted device.
Ang hardware wallets ay nagpaprotekta sa mga private key na ginagamit upang mag-awtorisa ng mga transaksyon, habang nananatili ang crypto sa mga blockchain network. Ang isang wallet ay nagpapakita ng isang aprobado na transaksyon nang hindi ibinibigay ang mga private key sa konektadong computer. Sa panahon ng pag-setup, ipinapakita ng isang Ledger wallet ang 24 recovery words na maaaring muling lumikha ng wallet at mga key kung nawawala ang device. Inirerekomenda sa mga may-ari na isulat ang recovery phrase, panatilihin ito offline, at huwag ibahagi ang phrase. Ang sinuman na may recovery phrase ay maaaring muling i-restor ang parehong mga account sa ibang device nang hindi pinipigilan ng PIN ng orihinal na wallet. Sinabi ng Ledger na isang maliit na controller ang nagsasagawa ng impormasyon na ipinapadala sa display, binuo muli ang recovery phrase, at ipinadala ang phrase sa pamamagitan ng LTE gamit ang isang embedded SIM card.
Hindi kailangan ng implant na kompromisahin ang protected chip o ipakilala sa may-ari na mag-enter ng recovery words sa isang fake website. Maaaring tapusin ng may-ari ang setup at paborhin ang mga legal na transaksyon habang nananatili ang katumbas na access ng attacker sa mga pondo. Maaaring magkaroon ng karagdagang passphrase para protektahan ang mga account na nilikha gamit ang passphrase na iyon, ngunit sapat ang recovery words lamang para sa karaniwang mga account. Tinutukoy ng Ledger's Genuine Check kung ang isang device ay may authentic Secure Element, ang chip na responsable sa mga sensitibong security operations. Maaaring makakilala ang Genuine Check ng isang counterfeit chip ngunit hindi ito maaaring i-inspect ang bawat komponente o patunayan na wala nang idinagdag pagkatapos ng paggawa. Babala ng Ledger's security documentation na maaaring makaligtas sa pagkakakilala ang physical modifications kung ang orihinal na chip ay nananatiling buo.
Tinuklasan ng Tibane Labs ang mga binago na Ledger Nano X na may mga elektronikong nagmomonito sa mga signal sa pagitan ng secure chip at ang screen. Ang isang mas kumplikadong halimbawa ay nagtatago ng isang custom na board sa ilalim ng display at nanatili sa orihinal na battery, na nag-iwas sa pagkakakita ng pagbabago sa pananaliksik na pangkaraniwan. Ang mga halimbawang ito ay hiwalay sa imbestigasyon ng CryptoBilis at hindi nagpapatotoo na ang mga parehong device o mga attacker ang kasangkot. Ang mga orihinal na chip, tamang mga signature, at normal na paggana ay hindi nagpapatotoo na ang buong device ay libre sa pagbabago.
Ninilinaw ng Ledger na dapat bumili sa mga pinahihintulutang seller, gawa ang kaso ng CryptoBilis isang tanong ng tiwala sa buong chain ng distribusyon kaysa sa simpleng mga kopyang pabrika. Sinabi ng Ledger sa isang update noong Oktubre 15 na ang mga attacker ay bumili ng totoong device sa loob ng ilang buwan, binuksan ang mga device, itinanim ang mga custom na komponente, at ibinalik ang mga device sa distribusyon sa pamamagitan ng mga reseler sa Timog-Silangang Asya. Ipinaliwanag ng Ledger ang insidente bilang isang pag-atake sa channel ng distribusyon. Sinabi ng Ledger na ang mga sample na tiniyak sa mga warehouse at tindahan ay walang pagbabago. Sinabi ng Ledger na hiniling ng kumpanya sa mga pinahihintulutang reseler at distributor sa Timog-Silangang Asya at Hong Kong na ipagpahinga ang pagbebenta. Pinapalakas ng Ledger ang mga kontrol sa mga binabalik na produkto at hinihingi sa mga seller na iwasan ang pagpapakita ng mga device sa mga shelf. Ipinagpahinga ng MediaMarktSaturn sa Germany ang pagbebenta ng Ledger pagkatapos ng ulat tungkol sa isang pinagbagoang device. Lumipat ang Trezor upang mabawasan ang network ng reseler ng kalaban na wallet maker, bagaman walang ebidensya na nakompromiso ang mga produkto ng Trezor.
Natuklasan ng Bitquery na ang 25 Tron wallet ay nag-sign ng parehong pagpapahintulot sa loob ng tatlong segundo, isang pattern na tugma sa isang tao na nangangasiwa na sa maraming account. Ang mga tala sa blockchain ay hindi makakakilala kung sino ang nagbukas ng pakete, nag-install ng mga komponente, o nagbalik ng isang device sa tindahan; ang mga tanong na ito ay nangangailangan ng mga pagsusuri sa hardware at mga tala sa distribusyon.
Ang pagbili ng bagong hardware at pagpapakilala ng mga lumang 24 na salitang pagbabalik ay bumubuo muli ng parehong panganib dahil ang lumang parirala ay babalikin ang parehong mga susi. Kailangang ilipat ang mga ari-arian sa mga account na ginawa mula sa bagong parirala ng pagbabalik sa isang tiwalaan na device, gamit ang mabuting pinatotohanang mga address at mga panuto. Sinabi ni Ledger sa mga bili ng CryptoBilis na huwag i-initialize ang mga di-gamit na device at inasikaso ang mga customer na nagsagawa na ng setup na ilipat ang kanilang pera sa isang bagong signer na may bagong parirala. Dapat gamitin ng mga apektadong may-ari ang opisyal na mga channel ng suporta, panatilihin ang posibleng kaugnay na ebidensya, at huwag kailanman ibigay ang mga salitang pagbabalik sa sinumang nagsasabing tutulong na mabawi ang pera. Ipapakita ng insidente na ang seguridad ng hardware wallet ay tumutuloy sa pamamagitan ng screen, casing, packaging, at chain ng distribusyon hanggang sa una mong makita ang mga salitang pagbabalik. Ang self-custody ay nagtatanggal ng pangangailangan na tiwalaan ang exchange upang manatili ang mga pribadong susi, ngunit kailangan pa ring tiwalaan ng mga may-ari ang hardware na gumagawa at nagpapakita ng mga susing iyon.
Natagpuang pinaglaruan ang Ledger Hardware Wallets sa Timog-Silangang Asya, $102M ang tinanggap
CryptoSlateI-share
Summary
Isang bagong ulat tungkol sa AI + crypto ay nagpapakita na ang mga hardware wallet ng Ledger sa Timog-Silangang Asya ay natuklasang pinaglaruan, na nagresulta sa pagkawala ng $102 milyon. Nakuha ng mga customer ang kanilang nawawalang pera noong unang bahagi ng Oktubre pagkatapos bumili mula sa awtorisadong reseller na CryptoBilis. Kumpirmado ng Ledger na may isang device na may hindi awtorisadong implant na nagsisipagkuha ng 24-word recovery phrase habang nagset-up. Ipinaglalayon ng Bitquery ang pagkawala sa 324 wallet sa anim na network. Sinabi ng kumpanya na ang mga binago na device ay inilagay muli sa supply chain ng mga attacker. Hiniling ng firma na mas maging mahigpit ang pagbabalik at hinihingi na ipaghinto ang pagbebenta ng mga seller. Inirerekomenda sa mga apektadong user na i-transfer ang kanilang assets gamit ang mga bagong recovery phrase sa ligtas na hardware.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.