Ledger potwierdza nieautoryzowane implanty sprzętowe w portfelach; raportowane straty sięgają 92 mln USD

CoinDesk podaje, że Ledger potwierdził wykrycie nieautoryzowanego implantu sprzętowego w portfelu kryptowalutowym poszkodowanego klienta. Do odkrycia doszło 10 października podczas śledztwa w sprawie domniemanych kradzieży z udziałem południowoazjatyckiego dystrybutora CryptoBilis. Badacze blockchain szacują podejrzewane straty na ponad 86 mln USD. Ledger potwierdził, że na urządzeniach poszkodowanych klientów znaleziono nieautoryzowane implanty sprzętowe. W trakcie dochodzenia w sprawie raportowanych strat wśród klientów w Azji CryptoBilis zawiesił sprzedaż wszystkich portfeli sprzętowych. Producent zaleca klientom posiadającym urządzenia od tego dystrybutora, by nie inicjalizowali ich, a pozostałym użytkownikom — by korzystali z nowej frazy odzyskiwania. Badacz Mark Karpelès poinformował, że w Malezji odnalazł podejrzane komponenty elektroniczne za ekranem urządzenia Ledger Nano X. Bitquery szacuje, że straty kryptowalut w 311 portfelach sięgają łącznie 92,9 mln USD. Ledger nie potwierdził niezależnie tej liczby. Dział wsparcia Ledgera potwierdził ustalenia w oficjalnym oświadczeniu: zmodyfikowane urządzenie należało do użytkownika objętego prowadzonym śledztwem. Firma poinformowała, że dla ostrożności CryptoBilis wstrzymał sprzedaż wszystkich portfeli sprzętowych, a Ledger kontaktuje się z poszkodowanymi klientami i współpracuje z właściwymi organami. Nie ustalono, czy implant doprowadził do raportowanych strat w kryptowalutach. Ustalenie to stanowi bezpośrednie potwierdzenie, że co najmniej jedno urządzenie zostało fizycznie zmodyfikowane — po wcześniejszych ostrzeżeniach o podejrzanych portfelach rozprowadzanych przez tego dealera. Ledger potwierdził obecność nieautoryzowanych implantów w portfelach klientów. W trakcie dochodzenia firma znalazła dodatkowe komponenty elektroniczne w portfelu poszkodowanego klienta. Określiła element jako "nieautoryzowany implant sprzętowy", nie ujawniając modelu urządzenia, sposobu montażu komponentu ani tego, czy przekazywał on jakiekolwiek informacje. Zgodnie z oświadczeniem z 10 października zespół bezpieczeństwa analizuje incydent i kontaktuje się z klientami uznanymi za potencjalnie zagrożonych. Producent nie potwierdził, ile portfeli mogło zostać podobnie zmodyfikowanych. 9 października klienci, którzy kupili produkty Ledger przez CryptoBilis, zaczęli zgłaszać nieautoryzowane transakcje. CryptoBilis działa w Indonezji, Malezji i na Filipinach. Po otrzymaniu zgłoszeń Ledger wszczął dochodzenie w sprawie raportowanych strat i zażądał od dystrybutora wstrzymania sprzedaży oraz wysyłki urządzeń. The Block podał później, że śledczy onchain wstępnie zidentyfikowali podejrzane skradzione środki o wartości ponad 72 mln USD, a inny szacunek podniósł stratę do ponad 86 mln USD. Ledger nie zweryfikował tych kwot. Firma podkreśliła w najnowszym oświadczeniu, że nie ma dowodów na naruszenie jej wewnętrznej infrastruktury bezpieczeństwa, systemów ani usług. "Nie mamy żadnych przesłanek, by sądzić, że infrastruktura bezpieczeństwa, systemy lub usługi Ledger zostały naruszone" — przekazał producent. Trwają prace nad dodatkowymi zabezpieczeniami chroniącymi przed fizyczną ingerencją w urządzenia, a śledczy ustalają, jak nieautoryzowane komponenty trafiły do poszkodowanych portfeli. CryptoBilis zawiesił sprzedaż wszystkich portfeli sprzętowych na czas dochodzenia. Po wykryciu problemu Ledger potwierdził wstrzymanie sprzedaży całego zapasu swoich portfeli sprzętowych. Zawieszenie obejmuje wszystkie produkty tego typu sprzedawane przez dystrybutora i wykracza poza wcześniejszy środek nakazujący wstrzymanie sprzedaży i wysyłki urządzeń Ledger. Według TokenPost z 10 października zawieszenie potrwa do zakończenia śledztwa. Ledger utrzymuje aktywny kontakt z dystrybutorem w sprawie dochodzenia i dalszych działań. Klienci, którzy kupili urządzenia przez CryptoBilis i nie rozpoczęli jeszcze ich konfiguracji, nie powinni ich inicjalizować. Tym, którzy już korzystali z takich urządzeń, Ledger zaleca przeniesienie kryptowalut do nowego portfela sprzętowego zainicjalizowanego zupełnie nową frazą odzyskiwania. Przeniesienie dotychczasowej frazy do zastępczego urządzenia nie usuwa ryzyka jej przejęcia przez oryginalny sprzęt. Firma apeluje też o przekazywanie wszelkich istotnych dowodów i kieruje badaczy bezpieczeństwa do skrzynki programu nagród za luki w zabezpieczeniach: [email protected]. Ledger nawiązał kontakt z organami ścigania i potwierdził, że pomoc zapewnił program reagowania na incydenty SEAL_911 należący do Security Alliance. Oświadczenie nie wskazuje podejrzanych, nie ogłasza zatrzymań ani nie podaje terminu zakończenia śledztwa. Byli menedżerowie CryptoBilis, Arravind Prabu i Vimalatheethan, poinformowali, że przekazali kontrolę nad działalnością firmy po zmianie właściciela na początku 2026 r. W oświadczeniu przekazanym badaczowi Markowi Karpelèsowi i opublikowanym przez Tibane Labs podali, że zakończyli przekazanie zarządzania w marcu i nie kontrolują już systemów firmy ani baz danych klientów. Nie dowodzi to, kto zmodyfikował poszkodowane urządzenia, ani nie ustala związku między zmianą właściciela a incydentem. Zanim Ledger publicznie potwierdził implant, były dyrektor generalny Mt. Gox Mark Karpelès poinformował, że zbadał podejrzane urządzenie Ledger Nano X pochodzące z Malezji. 9 października podał, że znalazł dodatkowy komponent elektroniczny ukryty za wyświetlaczem, zatopiony w materiale zwykle chroniącym ekran. Opakowanie wyglądało na nieuszkodzone, co rodzi pytanie, czy klienci mogą wykryć zmodyfikowane urządzenia w rutynowych oględzinach. Na udostępnionych zdjęciach komponent zawierał obwody elektroniczne odrębne od oryginalnego sprzętu portfela. Karpelès przeanalizował następnie tę modyfikację i zbadał zdjęcia przekazane przez innych poszkodowanych użytkowników. Biała księga techniczna opublikowana przez Tibane Labs opisuje urządzenie z mikrokontrolerem, modułem komunikacji komórkowej i połączeniami z wewnętrznymi liniami danych wyświetlacza. Z analizy wynika, że komponenty umieszczone w punkcie podłączenia ekranu mogą przechwytywać informacje wyświetlane podczas konfiguracji portfela. Fraza odzyskiwania to zwykle 24 słowa pozwalające posiadaczowi odzyskać dostęp do kryptowalut. Jeśli atakujący zdobędzie te słowa, może odtworzyć portfel i autoryzować transakcje bez oryginalnego urządzenia. Zdaniem badaczy implant odczytujący dane wysyłane do wyświetlacza mógł teoretycznie przechwycić frazę odzyskiwania w trakcie inicjalizacji. Ledger nie potwierdził niezależnie, czy implant pełnił taką funkcję ani czy spowodował raportowaną kradzież. Oficjalny komunikat firmy potwierdza fizyczną ingerencję w urządzenie, nie określa jednak metody technicznej, którą atakujący uzyskał dostęp do środków klientów. Wcześniejsze badania bezpieczeństwa prowadzone przez Ledger dotyczyły nieautoryzowanych modyfikacji sprzętu portfeli. W reakcji na incydent z 2018 r. producent opisywał, jak atakujący może zmodyfikować portfel po uzyskaniu fizycznego dostępu i zakłócić jego działanie dodatkowymi komponentami elektronicznymi. Tamte scenariusze ataku były inne i nie mają związku ze śledztwem w sprawie CryptoBilis. Badacze onchain szacują podejrzewaną kwotę kradzieży na miliony dolarów. Równolegle do badania sprzętu analitycy blockchain próbują wyliczyć wartość kryptowalut przeniesionych z portfeli domniemanych ofiar. Według badania Bitquery z 9 października z 311 portfeli w sieciach Bitcoin, Ethereum, TRON, BNB Chain i Polygon przetransferowano około 92,9 mln USD. Szacunek ten przewyższa wcześniejsze raporty o podejrzewanych stratach od 72 mln USD do ponad 86 mln USD. Bitquery tłumaczy różnicę uwzględnieniem większej liczby portfeli i sieci blockchain. Największa część podejrzewanych strat dotyczyła transakcji USDT w sieci TRON, a następnie przelewów w Bitcoinie i Ethereum. Z raportu wynika, że z portfeli w sieci TRON wypłynęło około 70,5 mln USD w aktywach, a dodatkowe 16,8 mln USD w Bitcoinie. Bitquery, opierając się na czasie transakcji i powiązaniach między adresami, uznaje te działania za spójne z przejęciem wielu portfeli przez atakującego. Firma zidentyfikowała liczne transakcje w sieci wykonane w krótkich odstępach czasu i prześledziła dalszy przepływ przeniesionych aktywów. Bitquery podaje, że na adresach powiązanych z podejrzewaną kradzieżą zamrożono około 10 mln USD w USDT. Wskazuje też transakcje z udziałem giełd kryptowalutowych oraz przelewy do Tornado Cash, usługi służącej do zacierania historii transakcji aktywów cyfrowych. Analiza pozostaje niezależną oceną; Ledger nie potwierdził szacunków strat Bitquery, liczby ofiar ani wniosków o atakujących. Raport onchain firmy PublicAML opisuje również dalsze przepływy z 10 października dotyczące podejrzanie skradzionego etheru, w tym przelewy do Tornado Cash. Analiza szacuje, że kolejny przelew 900 ETH trafił do Tornado Cash; przypisanie portfeli i wyliczenia strat pozostają niezależne od potwierdzonych ustaleń Ledgera. Śledztwo Ledgera skłoniło firmę do ostrzeżeń przed przestępcami wykorzystującymi publiczne zaniepokojenie sprawą dealera do oszustw. Firma radzi klientom, by informacje o poszkodowanych urządzeniach, dochodzeniu i możliwych środkach bezpieczeństwa czerpali wyłącznie z oficjalnych kanałów. W oświadczeniu przypomniano, że pracownicy wsparcia Ledgera nigdy nie proszą o 24-słowną frazę odzyskiwania. Wcześniejsze badania fałszywych stron Ledgera dokumentowały strony phishingowe próbujące wyłudzić frazę odzyskiwania poprzez podrobione prośby o weryfikację portfela. Raport opublikowany 11 października opisuje złośliwe reklamy Google kierujące użytkowników do podrobionych stron i aplikacji Ledgera. Kampania phishingowa nie została dotąd powiązana ze śledztwem dotyczącym sprzętu CryptoBilis. W najnowszym komunikacie Ledger poinformował, że przygotowuje dodatkowe środki utrudniające nieautoryzowane fizyczne modyfikacje. Firma nie podała daty wdrożenia tych zabezpieczeń ani szczegółów ewentualnej zmiany konstrukcji sprzętu. Klientom szukającym wskazówek wskazuje oficjalną stronę wsparcia support.ledger.com. Zespół bezpieczeństwa zapowiedział, że poszkodowani użytkownicy będą otrzymywać bezpośrednie komunikaty w trakcie dochodzenia, a informacje o incydencie można przekazywać przez program nagród za luki w zabezpieczeniach.