Ipinahayag ng Ledger noong Oktubre 15, 2026 ang mga bagong seguridad na pangangailangan para sa mga awtorisadong retailer nito. Bago ito, ang mga hacker ay nag-install ng nakatagong elektronikong komponente sa mga totoong cryptocurrency wallet upang makuha ang mga recovery phrase ng mga user at makapasok sa kanilang mga pondo.
Nilagay ng Ledger na pinigilan ng kumpanya ang mga rule para sa mga reseller pagkatapos makita nila na ang mga kriminal ay nagbago ng orihinal na hardware wallet upang makuha ang cryptocurrency.
- Ang mga nakatago na implant ay makakakuha ng recovery phrase ng wallet habang ang proseso ng pag-setup ng device, at ipapadala ang sensitibong impormasyon sa pamamagitan ng cellular network.
- Hininto ng Ledger ang pagbebenta ng mga pinahihintulutan na reseller sa Southeast Asia at Hong Kong habang sinusuri ang mga apektadong device.
- Sinuri ng security team ang retail at warehouse equipment at sinabi na walang apektadong device sa mga sample na sinuri.
- Hiningi ng Ledger na ipaghinto ng mga retailer ang pagpapakita ng wallet at ipagbawal ang pagbebenta muli ng mga nabalik na device nang walang exception.
Napatunayan ng tagagawa ng hardware wallet na ang mga attacker ay bumili ng legal na device, inayos ito, at binalik sa merkado sa pamamagitan ng mga channel ng distribusyon sa Southeast Asia. Sinuspensyon na ni Ledger ang pagbebenta muli sa rehiyon, sinuri ang mga device mula sa mga retail store at warehouse, at nagsimula na na magtrabaho kasama ang mga awtoridad ng batas upang matukoy ang mga nakuha na pondo.
Sinabi ng kumpanya na hindi na入侵 ang kanilang loob na sistema, operasyonal na software, at security chip. Patuloy pa rin ng mga imbestigador ang pagpapatotoo sa buong saklaw ng pag-atake, kabilang ang paano pumasok sa merkado ang mga naka-modify na device.
Ang pag-atake sa Ledger wallet ay kasama ang nakatago na implant ng recovery phrase
Ang imbestigasyon ng Ledger ay nagpakita na ang mga attacker ay naghanda ng ilang buwan para sa aksyon na ito. Binebenta nila ang mga orihinal na hardware wallet, binuksan ang mga aparato, at isinilid ang mga custom na elektronikong komponente upang makakuha ng recovery phrase habang nagset-up.
Ang recovery phrase ay karaniwang binubuo ng 24 na salita, na nagpapahintulot sa mga user na muling makakuha ng access sa kanilang cryptocurrency wallet. Anumang tao na makakakuha ng mga salitang ito ay maaaring muling lumikha ng wallet sa ibang device at ilipat ang mga ari-arian nito.
Ang mga attacker ay nagpapakita ng recovery phrase sa screen ng device. Ang mga nakatago na komponente ay kumukuha ng mga salitang ito at ipinapadala ito sa isang imprastruktura na pinag-uugnayan ng mga kriminal.
Sa teknikal na pag-update noong Oktubre 13, ipinaliwanag ng seguridad ng Donjon ng Ledger na gumagamit ang implant ng microcontroller upang basahin ang phrase at magpadala ng impormasyon sa pamamagitan ng embedded SIM card sa pamamagitan ng LTE cellular connection.
Sinabi ng kumpanya na nagtatrabaho ang implant na ito nang hiwalay sa Secure Element na nagpaprotekta sa mga sensitibong impormasyon sa cryptocurrency. Walang natagpuang ebidensya ang mga mananaliksik na may mga masasamang komponente na nagbabago sa operating system o nagpapalit ng transaction signature.
Nakarekord na ang pag-aaral sa nakatago na chip sa Ledger wallet kung paano ipinakita ang recovery phrase ng mga hindi awtorisadong elektronikong komponente nang hindi nagbabago sa normal na pag-sign ng device.
Ang pinakabagong pahayag ng Ledger ay naglalarawan nito bilang isang organisadong krimen na naglalaman ng pagkuha ng mga aparato, mga pagkakasundo sa distribusyon, at mga imprastruktura na ginagamit para makalap ang mga credentials ng mga nasupil na wallet.
Sinabi ng manufacturer na ginastusan ng grupo ng milyon-milyong dolyar ang pag-atake, ngunit hindi ibinigay ang detalyadong pagsasaparating ng pondo o tinukoy ang mga kakaibang tao.
Ayon sa mga ulat, ginamit ng mga attacker ang mga nakuha na recovery phrases upang makapasok sa maraming wallet sa isang koordinadong pagkakasira noong Oktubre 9.
Bagaman hinuhulaan ng mga independiyenteng mananaliksik sa blockchain na ang pagkawala ay hihigit sa $86 milyon, hindi pa pinatotohanan ni Ledger ang kabuuang halaga ng pagkakawala o bilang ng mga customer na naapektuhan.
Hinintay ng Ledger ang pagbebenta ng wallet sa rehiyon ng Timog-Silangang Asya
Pagkatapos makita ang problema, hiningi ng Ledger na ipagpahinga ang pagbebenta ng mga device ng mga awtorisadong distributor at reseller sa Southeast Asia at Hong Kong hanggang sa ma-check ng mga imbestigador ang mga apektadong distribusyon channel.
Ang mga rehiyon na may limitasyon ay kasama ang Indonesia, Singapore, Thailand, Pilipinas, Vietnam, Malaysia, at Hong Kong.
Isang reseller sa Timog Silangang Asya na CryptoBilis ay dating nauugnay sa mga napatunayang kaso ng pagpapalit ng mga kagamitan.
Pagkatapos makatanggap ng mga ulat mula sa mga customer tungkol sa pagkawala ng pera, sinara ng kumpanya ang pagbebenta ng hardware wallet.
Ang nakaraang ulat tungkol sa imbestigasyon sa CryptoBilis Wallet ay nagtala sa pagkakakita ng Ledger sa hindi pinahintulutang implant at sa kanilang unang tugon sa mga reklamo ng mga kliyente.
Pagkatapos makatanggap ng mga ulat na may kaugnayan sa ibang lugar, palawigin ng Ledger ang mga panatig na pag-iingat sa labas ng reseller na iyon.
Sa Germany, sinara ng MediaMarkt Saturn ang pagbebenta ng mga device na Ledger sa mga physical na tindahan at online platform matapos ma-report ang isang device ng isang customer na may implanted item.
Ang Ledger ay nagpapahayag na ang kaso sa Germany ay hindi nagresulta sa anumang kumpirmadong pagkawala ng pera ng customer.
Ang pangyayaring ito ay nagresulta sa pagpapahinto sa pagbebenta ng Ledger wallet sa Germany, habang sinusuri ng kumpanya ang mga device at sinisiyasat ang kaugnay na sitwasyon.
Sa pag-update noong Oktubre 15, ipinahayag ng Ledger na ang mga imbestigador ay bumili ng mga aparato mula sa mga tindahan sa iba’t ibang merkado, kabilang ang Germany, at binuksan para sa pisikal na pagsusuri.
Tinsele ng kumpanya ang mga sample sa warehouse at isinuri ang ilang bahagi ng kanilang sariling inventory.
Sinabi ng Ledger na ang mga sampel na sinuri sa mga pagsusuri na ito ay walang natagpuang hindi awtorisadong komponente.
Gayunpaman, hindi inilathala ng kumpanya kung ilang mga aparato ang sinuri, kaya ang kabuuang bilang ng mga posibleng naapektadong produkto ay patuloy na hindi matiyak.
Ipinapaliwanag ng Ledger ang pangyayaring ito bilang "partial distribution attack" at pinaniniwalaan na ang kanilang sistema ng paggawa ay hindi ang dahilan ng pinsala.
Hindi pa tiyak na matukoy kung saan eksaktong binago ang bawat apektadong device.
Ledger ay naglalabas ng mga bagong patakaran para sa mga retailer ng hardware wallet
Bilang bahagi ng mga pagsasagawa, hiniling ng Ledger sa mga awtorisadong retailer na baguhin ang paraan ng pag-iimbak at pagbebenta ng hardware wallet.
Dapat huminto ang mga retailer na ipakita ang mga device na Ledger sa mga display rack at counter. Sa halip, dapat ilagay ang produkto sa mga storage area at ibigay lamang sa customer kapag nangyari ang pagbili.
Sinabi ng kumpanya na agad na lumalabas ang mga ito upang mabawasan ang pagkakataon na ma-access ang mga device nang walang pahintulot.
Paalala rin ng Ledger sa mga pinagkakatiwalaang negosyante na ang mga balik na aparato ay hindi dapat ibenta muli, kahit na ang pakete ay tila hindi binuksan o tila hindi ginamit ang produkto.
Nakalista na ang patakaran na ito, ngunit hinihingi ng Ledger na ipatupad ng mga distributor ito nang walang anumang paglilipat.
Ang mga retailer ay dapat agad na abisoin ang manufacturer kapag ang mga customer ay report ng anomalous na produkto o suspicious na hardware.
Habang patuloy ang imbestigasyon, ang kumpanya ay nagpapalakas ng pagmamalasakit sa kanilang awtorisadong distribusyon network.
Ipinahayag ng Ledger na ang kanilang security team ay nagpanagot ng pinakamalaking panloob na imbestigasyon sa kasaysayan ng kumpanya, na gumamit ng maraming departamento.
Nilinaw ng mga eksperto mula sa Ledger Donjon ang nabawal na implant at sinuri kung paano ito gumagana upang matukoy kung paano nakalap ng mga attacker ang recovery phrase.
Ang manufacturer ay nagtrabaho kasama ang mga researcher sa seguridad at mga kasosyo sa industriya, kabilang ang SEAL_911, sa panahon ng imbestigasyon.
Ang Ledger ay nagpapahayag na ang koponan ay nagtatrabaho kasama ang mga awtoridad sa pagtukoy sa mga nasupil na pera at sa pagkilala sa mga imprastruktura na ginamit para kumuha ng mga kredensyal ng wallet.
Hindi inilathala ng kumpanya ang kaugnay na pagkakakulong, opisyal na kriminal na paghuhukom, o pagbabalik ng pera.
Ang Ledger ay nagsasabing planong maglabas ng higit pang teknikal na impormasyon kapag ang mga imbestigador ay makakapaglabas ng mga resulta nang ligtas.
Planong dagdagan ng Ledger ang pagprotekta laban sa pagbabago ng wallet
Bukod sa kasalukuyang mga limitasyon sa retail, nagpapaunlad ang Ledger ng karagdagang mga pagsasagawa sa kaligtasan ng produkto na layunin gawing mas mahirap ang pisikal na pagpapabago.
Hindi pa nagbigay ang kumpanya ng teknikal na spesipikasyon, mga modelong produktong apektado, o iskedyul para sa pagpapakilala ng mga pagsasagawa na ito.
Ipinahayag ng Ledger na magbabahagi sila ng mga resulta ng pag-aaral sa iba pang mga tagagawa at nagbebenta ng hardware wallet upang mabigyan sila ng pagkakataon na suriin ang mga katulad na panganib sa kanilang mga produkto.
Bago ang manufacturer ay nagbaba ng babala sa mga customer na bumili ng device sa CryptoBilis na huwag i-initialize ang device bago makipag-ugnayan sa opisyal na suporta.
Para sa mga customer na nagamit na ang posibleng maapektadong wallet, inirerekomenda ng kumpanya na ilipat ang kanilang cryptocurrency sa isang tiwalaan na device at lumikha ng bagong recovery phrase.
Kung ang attacker ay nakakuha na ng lumang recovery phrase, ang pag-recover ng lumang phrase sa isang bagong device ay hindi nagpapakita ng seguridad sa mga pera.
Ang mga gabay sa kaligtasan ng Ledger ay nagpapaalala sa mga user na huwag ipaalam ang recovery phrase sa sinumang nagsasabing kumakatawan sa customer support.
Teko ang kompanya na ang mga empleyado nito ay hindi humihingi ng recovery phrase sa pamamagitan ng mensahe, tawag, o website.
Sa pahayag noong Oktubre 15, tinanggap ng Ledger na patuloy pa ang imbestigasyon at may karagdagang mga pagpapabuti sa kaligtasan na kailangang gawin.
Ang manufacturer ay nagpapahiwatig na maglalabas ng karagdagang detalye tungkol sa pag-atake at mga paraan na ginamit ng mga kriminal kapag ang imbestigasyon ay nagpapahintulot sa paglalabas.