Ledger, 15 Ekim 2026 tarihinde yetkili perakendecileri için yeni güvenlik gereksinimlerini duyurdu. Daha önce, saldırganlar orijinal kripto cüzdanlara gizli elektronik bileşenler yerleştirerek kullanıcıların kurtarma ifadelerini çalıp varlıklarına erişmişti.
Ledger, suçluların orijinal donanım cüzdanları manipüle ederek kripto para para çalmaları sonrası, yeniden satıcı kurallarını sıkılaştırdığını belirtti.
- Gizli eklentiler, cihaz ayarları sırasında cüzdan kurtarma ifadesini yakalar ve hassas bilgileri mobil ağı üzerinden iletir.
- Ledger, etkilenen cihazları incelemesi süresince Southeast Asia ve Hong Kong'daki yetkili dağıtım satışlarını durdurdu.
- Güvenlik ekibi, perakende ve khoğe ekipmanlarını kontrol etti ve örnekleme sonuçlarında etkilenen cihaz bulunmadı.
- Ledger, perakendecilerden cüzdanları sergilemeyi durdurmayı ve iade edilen cihazların herhangi bir istisna olmadan yeniden satılmasını yasaklamayı talep etti.
Bu donanım cüzdan üreticisi, saldırganların legít cihazları satın alıp bunları değiştirdikten sonra Southeast Asia'daki dağıtım kanalları aracılığıyla tekrar piyasaya sürdüğünü doğruladı. Ledger, bu bölgedeki yeniden satışları durdurdu, perakende mağazalarından ve depolardan gelen cihazları inceledi ve çalınan fonları takip etmek için güvenlik güçleriyle iş birliği başlattı.
Şirket, iç sistemlerinin, operasyon yazılımlarının ve güvenlik çiplerinin ihlal edilmediğini belirtti. Araştırmacılar, bu manipüle edilmiş cihazların piyasaya nasıl girdiğini de dahil olmak üzere saldırıların tam kapsamını belirlemeye devam ediyor.
Ledger cüzdan saldırısı, gizli kurtarma ifadesi eklentisini içeriyor
Ledger'in araştırması, saldırganların bu eylem için aylarca hazırlık yaptığını ortaya koydu. Onlar, orijinal donanım cüzdanlar satın aldı, cihazları açtı ve kurulum sırasında kurtarma ifadesini yakalamak için özel elektronik bileşenler yerleştirdi.
Kurtarma ifadesi genellikle 24 kelimeden oluşur ve kullanıcıların kripto para cüzdanlarına erişimini geri almasına olanak tanır. Bu kelimelere sahip olan herkes, cüzdanı başka bir cihazda yeniden oluşturabilir ve varlıklarını aktarabilir.
Saldırganlar, kurtarma ifadesinin cihaz ekranında görünmesi anından yararlanır. Gizli bileşenler bu kelimeleri toplar ve suçluların kontrolündeki altyapıya iletir.
13 Ekim teknik güncellemesinde, Ledger'in Donjon güvenlik ekibi, bu gömülü yazılımın mikrodenetleyici aracılığıyla ifadeyi okuduğunu ve gömülü SIM kart üzerinden LTE hücresel bağlantı ile bilgi ilettiğini açıkladı.
Şirket, bu eklentinin, hassas kripto bilgileri koruyan Secure Element'den bağımsız olarak çalıştığını belirtti. Araştırmacılar, kötü amaçlı bir bileşenin işletim sistemini değiştirdiğine veya işlem imzalarını değiştirdiğine dair hiçbir kanıt bulamadı.
Önceden Ledger cüzdanındaki gizli çip üzerine yapılan araştırmalar, yetkisiz elektronik bileşenlerin cihazın normal imza işlevini değiştirmeden kurtarma ifadesini nasıl ortaya çıkardığını kaydetmişti.
Ledger, bu durumu cihaz satın alımı, dağıtım düzenlemeleri ve çalınan cüzdan kimlik bilgilerini toplamak için kullanılan altyapıyı içeren organize bir suç faaliyeti olarak tanımladı.
Üretici, bu saldırı için çetenin milyonlarca dolar harcadığını belirtti, ancak finansal ayrıntılar sağlamadı ve ilgili kişileri tanımlamadı.
Raporlara göre, saldırganlar toplanan kurtarma ifadelerini kullanarak 9 Ekim'de bir koordineli hırsızlık eylemiyle birden fazla cüzdanı erişti.
Bağımsız blok zinciri araştırmacıları, 86 milyon doların üzerinde bir kayıp tahmin etmesine rağmen, Ledger henüz çalınan toplam tutarı veya etkilenen müşteri sayısını doğrulamadı.
Ledger, Güneydoğu Asya bölgesi için cüzdan satışlarını durduruyor.
Sorun tespit edildikten sonra Ledger, etkilenen dağıtım kanalları incelenene kadar Güneydoğu Asya ve Hong Kong'daki yetkili distribütör ve dağıtım şirketlerinden cihaz satışlarını durdurmasını istedi.
Sınırlı bölgeler: Endonezya, Singapur, Tayland, Filipinler, Vietnam, Malezya ve Hong Kong.
Sırbistan'daki bir yeniden satıcı olan CryptoBilis, daha önce cihaz manipülasyonuyla ilişkilendirilmiş onaylanmış olaylara dahil olmuştur.
Müşterilerden para kayıpları raporlandıktan sonra şirket, donanım cüzdan satışını durdurdu.
CryptoBilis cüzdanı araştırmasıyla ilgili önceki raporlar, Ledger'ın yetkisiz eklentileri tespitini ve müşteri şikayetlerine ilk tepkisini kaydetmiştir.
Diğer yerlerle ilgili raporlar alındıktan sonra, Ledger önleyici önlemleri bu yeniden satıcıyı da aşarak genişletti.
Almanya'da, MediaMarkt Saturn, bir müşterinin cihazında bir araya getirme bildirildikten sonra Ledger cihazlarının fiziksel mağazalar ve çevrimiçi platformlar aracılığıyla satışını durdurdu.
Ledger, Almanya örneğinin herhangi bir onaylanmış müşteri fon kaybına yol açmadığını belirtti.
Bu olay, Almanya'daki Ledger cüzdan satışlarının da ayrı olarak durdurulmasına neden oldu ve şirket aynı zamanda cihazları inceleyip ilgili durumu araştırıyor.
15 Ekim güncellemesinde Ledger, araştırmacıların, Almanya da dahil olmak üzere farklı pazarlardaki mağazalardan cihazlar satın alıp fiziksel olarak incelediğini belirtti.
Şirket, stok örneklerini de inceledi ve kendi envanterinin bir kısmını taradı.
Ledger, bu kontrollerde rastgele seçilen örneklerde yetkisiz bileşenler bulunmadığını belirtti.
Ancak şirket, kaç cihazın kontrol edildiğini açıklamadığından, potansiyel olarak etkilenen ürünlerin toplam sayısı henüz onaylanmadı.
Ledger, olayı "kısmi dağıtım saldırısı" olarak tanımladı ve üretim sisteminin bu olayın nedeni olmadığını savundu.
İncelenen cihazların her birinin nerede değiştirildiği henüz kesin olarak belirlenmedi.
Ledger, donanım cüzdan perakendecileri için yeni kurallar getiriyor
Önlem kapsamında Ledger, yetkili perakendecilere donanımsal cüzdanların saklanma ve satış yöntemlerini değiştirmelerini talep etti.
Perakendeciler, Ledger cihazlarını sergi raflarında ve tezgâhlarda sergilemeyi durdurmalıdır. Bunun yerine, ürünleri depo alanlarında saklamalı ve yalnızca satın alma anında müşterilere vermelidir.
Şirket, bu gerekliliklerin hemen yürürlüğe girdiğini ve cihazlara yetkisiz erişim olasılığını azaltmayı amaçladığını belirtti.
Ledger, iade edilen cihazların, paketin görünürde açık olmadığı hatta ürünün kullanılmamış gibi görünmesi durumunda bile tekrar satılamayacağını da hatırlatıyor.
Bu kural zaten mevcuttu, ancak Ledger, dağıtımçıların hiçbir istisna olmadan uygulamasını talep etti.
Tedarikçiler, müşterilerin anormal ürünler veya şüpheli donanımları bildirdiği anda üreticiyi bilgilendirmek zorundadır.
Soruşturma devam ederken şirket, yetkili dağıtım ağına olan denetimi artırıyor.
Ledger, güvenlik ekibinin şirket tarihinin en büyük iç araştırmasını gerçekleştirdiğini ve birden fazla departmanın katıldığını belirtti.
Ledger Donjon'dan uzmanlar, geri kazanılan eklentileri inceledi ve saldırganların kurtarma ifadelerini nasıl topladığını belirlemek için çalışma yöntemlerini inceledi.
Üretici, araştırma süresince SEAL_911 dahil güvenlik araştırmacıları ve endüstri ortaklarıyla iş birliği yaptı.
Ledger, ekibin çalınan fonları takip etmek ve cüzdan kimlik bilgilerini toplamak için kullanılan altyapıyı tanımlamak amacıyla yetkili kurumlarla iş birliği içinde olduğunu belirtti.
Şirket, ilgili tutuklamalar, resmi cezai suçlamalar veya para iadesi durumlarını açıklamadı.
Ledger, soruşturma görevlilerinin sonuçları güvenli bir şekilde açıklamaya hazır olduğunda, şirketin daha fazla teknik bilgi paylaşmayı planladığını belirtti.
Ledger, cüzdan değiştirilmesini daha da korumayı planlıyor
Görsel perakende kısıtlamalarının yanı sıra, Ledger fiziksel müdahalelerin daha zor olmasına yönelik ek ürün güvenlik önlemleri geliştiriyor.
Şirket, teknik özellikler, etkilenen ürün modelleri veya bu koruma önlemlerinin uygulanma zamanlaması hakkında henüz bilgi sağlamamıştır.
Ledger, benzer riskleri incelemeleri için diğer donanım cüzdan üreticileri ve satıcılarıyla anket sonuçlarını paylaşacağını belirtti.
Bu üretici, CryptoBilis'ten cihaz satın alan müşterilere, resmi destekle iletişim kurmadan önce cihazı başlatmamaları konusunda önceki uyarıda bulunmuştu.
Olası etkilenen cüzdanları kullanan müşterilere, kripto varlıklarını güvenilir bir cihaza aktarmaları ve yeni bir kurtarma ifadesi oluşturmaları önerilir.
Eğer saldırgan zaten eski kurtarma ifadesine sahipse, eski ifadeyi yeni bir cihazda kurtarmak finansal güvenliği garanti etmez.
Ledger, güvenlik rehberinde kullanıcıları, herhangi bir müşteri hizmetleri temsilcisi olduğunu iddia eden kişiye kurtarma ifadesini asla vermemeye uyarıyor.
Şirket, çalışanlarının kurtarma kelimesini mesaj, telefon veya web sitesi üzerinden istemeyeceğini vurgulamaktadır.
15 Ekim duyurusunda Ledger, soruşturma hâlâ devam etmekte ve daha fazla güvenlik çalışması yapılması gerektiğini kabul etti.
Üretici, soruşturma açıklanmaya izin verdiğinde, bu saldırı ve suçluların kullandığı yöntemlerle ilgili daha fazla ayrıntı paylaşacağını tekrarladı.