Güneydoğu Asya'da Ledger Donanım Cüzdanları Manipüle Edildi, $102 Milyon Çalındı

Güneydoğu Asya’daki müşteriler, ilk Ekim’de Ledger donanımsal cüzdanlarından kripto paraların kaybolduğunu, ancak cüzdanların normal şekilde çalışmaya devam ettiğini fark etti. Müşteriler, Malezya, Endonezya ve Filipinler’de faaliyet gösteren yetkili satıcı CryptoBilis’ten cihazları satın aldılar. Ledger, 10 Ekim’de etkilenen müşterilerden birinin cihazında yetkisiz bir implant tespit etti. Üç gün sonra Ledger’ın güvenlik ekibi, eklenen elektronik bileşenlerin cihazın 24 kurtarma kelimesini kurulum sırasında kopyalayıp mobil bağlantı üzerinden ilettiğini açıkladı. Korunmuş çip, işletim sistemi ve işlem imzaları değişmeden kaldı. Bitquery, saldırganların altı ağda 324 cüzdanından 102 milyon dolar çaldığını tahmin ediyor; ancak Ledger bu toplamı doğrulamadı ve her kayıpın implantlı bir cihazla ilişkili olduğunu belirlemedi.

Donanımsal cüzdanlar, işlemlerini onaylamak için kullanılan özel anahtarları korurken, kripto varlıklar blok zinciri ağlarında kalır. Bir cüzdan, bağlı bilgisayara özel anahtarları vermeden onaylanmış bir işlemi imzalar. Kurulum sırasında bir Ledger cüzdanı, cihaz kaybedilirse cüzdanı ve anahtarlarını yeniden oluşturmak için kullanılabilen 24 kurtarma kelimesini görüntüler. Sahiplere, kurtarma ifadesini yazmaları, ifadeyi çevrimdışı tutmaları ve asla ifadeyi paylaşmamaları talimatı verilir. Kurtarma ifadesine sahip herkes, orijinal cüzdanın PIN kodu tarafından engellenmeden başka bir cihazda aynı hesapları geri yükleyebilir. Ledger, küçük bir kontrolcünün, ekrana gönderilen bilgileri araştırarak kurtarma ifadesini yeniden oluşturduğunu ve gömülü bir SIM kart kullanarak LTE üzerinden ifadeyi ilettiğini açıkladı.

Yerleştirme, korumalı çipe zarar vermek veya sahibine sahte bir web sitesinde kurtarma kelimelerini girmeye zorlamak gerektirmedi. Bir sahip, kurulumu tamamlayabilir ve meşru işlemler onaylayabilirken, bir saldırgan aynı düzeyde erişime sahip kalabilirdi. İsteğe bağlı ek bir parola, bu parolayla oluşturulan hesapları koruyabilir, ancak sıradan hesaplar için yalnızca kurtarma kelimeleri yeterlidir. Ledger'ın Gerçek Kontrolü, cihazın hassas güvenlik işlemlerinden sorumlu olan bir gerçek Güvenli Eleman içerdiğini doğrular. Gerçek Kontrol, sahte bir çipi tespit edebilir ancak her bileşeni inceleyemez veya üretimi tamamlandıktan sonra hiçbir şey eklenmediğini kanıtlayamaz. Ledger'ın güvenlik belgeleri, orijinal çip bütünlüğünü korudukça fiziksel değişikliklerin tespit edilmeyebileceğini uyarır.

Tibane Labs, güvenli çip ile ekran arasında sinyalleri izleyen elektronikler içeren değiştirilmiş Ledger Nano X cihazlarını inceledi. Daha karmaşık bir örnek, ekranın altına özel bir kart gizleyerek orijinal pilini korudu ve bu da rastgele bir incelemeyi değişimleri ortaya çıkarmaktan alıkoymuştu. Bu örnekler, CryptoBilis soruşturmasından ayrıydı ve aynı cihazların veya saldırganların dahil olduğunu göstermez. Orijinal çipler, doğru imzalar ve normal çalışma, bir cihazın tamamen müdahale edilmemiş olduğunu kanıtlamaz.

Ledger, yetkili satıcılar aracılığıyla satın alma önerisinde bulunuyor ve CryptoBilis olayını sadece sahte ürünler meselesi değil, dağıtım zinciri boyunca güven sorunu olarak tanımlıyor. Ledger, 15 Ekim'de yaptığı bir güncellemede, saldırganların birkaç ay boyunca orijinal cihazlar satın alıp, cihazları açarak özel bileşenler takıp, bu cihazları Güneydoğu Asya satıcıları aracılığıyla dağıtım kanalına geri gönderdiğini belirtti. Ledger, olayı dağıtım kanalına yönelik bir saldırı olarak tanımladı. Ledger, depolarda ve mağazalarda kontrol edilen örneklerde herhangi bir müdahale tespit edilmediğini söyledi. Ledger, Güneydoğu Asya ve Hong Kong'daki yetkili satıcı ve distribütörlere satışları durdurma talimatı verdi. Ledger, iade edilen ürünler üzerinde kontrolleri sıkılaştırmayı ve satıcıların cihazları vitrinlerde sergilememesini istiyor. Almanya'daki MediaMarktSaturn, müdahale edilmiş bir cihaz raporundan sonra Ledger satışlarını askıya aldı. Trezor, Trezor ürünlerinin tehlikeye girdiğine dair herhangi bir kanıt bulamamasına rağmen rakip cüzdan üreticisinin satıcı ağını daralttı.

Bitquery, üç saniye içinde aynı onayı imzalayan 25 Tron cüzdanını tespit etti; bu kalıp, zaten birden fazla hesabı kontrol eden biriyle uyumludur. Blok zinciri kayıtları, paketin kim tarafından açıldığını, bileşenlerin kim tarafından kurulduğunu veya cihazın mağazaya kim tarafından geri gönderildiğini belirleyemez; bu sorular, donanım incelemeleri ve dağıtım kayıtları gerektirir.

Yeni bir donanım satın alıp eski 24 kurtarma kelimesini girmek, aynı riski tekrar oluşturur çünkü eski ifade aynı anahtarları geri getirir. Varlıklar, güvenilir bir cihazda yeni bir kurtarma ifadesinden oluşturulan hesaplara, dikkatle doğrulanmış adresler ve talimatlar kullanılarak taşınmalıdır. Ledger, CryptoBilis alıcılarına kullanılmayan cihazları başlatmamalarını ve kurulumunu zaten tamamlayan müşterilere yeni bir ifadeyle yeni bir imzalayıcıya fonlarını taşımayı önerdi. Etkilenen sahipler, resmi destek kanallarını kullanmalı, ilgili olabilecek kanıtları korumalı ve kimseyle birlikte kurtarma kelimelerini paylaşmamalıdır. Bu olay, donanımlı cüzdan güvenliğinin, kurtarma kelimeleri ilk kez ortaya çıkana kadar ekran, kılıf, ambalaj ve dağıtım zinciri boyunca sürdüğünü göstermektedir. Kendi kontrolünüzde tutma, özel anahtarları bir borsada tutmaya gerek kalmadan sağlar, ancak sahipler hala bu anahtarları oluşturup gösteren donanıma güvenmelidir.