מתקפה על משווק של Ledger נקשרה לגניבת מטבעות קריפטוגרפיים בשווי 93 מיליון דולר

מתקפה על משווק של Ledger נקשרה לגניבת קריפטו בשווי של יותר מ־86 מיליון דולר, כאשר הערכה אחת מעמידה את ההפסדים על כ־93.2 מיליון דולר. לפי הדיווחים, ארנקי החומרה שנפגעו נמכרו על ידי המשווק הדרום־מזרח אסייתי CryptoBilis, שהשהה את המכירות והמשלוחים במהלך החקירה. Ledger מסרה שהמערכות שלה עצמה לא נפרצו; מספר המכשירים שנפגעו והיקף ההפסדים הסופי עדיין אינם ידועים. לפי החוקרים, מודול לא מורשה שחובר לקווי הנתונים של מסך המכשיר יכול היה ללכוד את ביטוי השחזור בן 24 המילים כשהוצג על המסך, ולשלוח אותו באמצעות חיבור סלולרי. המכשיר עדיין יכול היה לעבור את בדיקת האותנטיות בתוכנה של Ledger, ולפי הדיווחים הרכיב המאובטח לא נשלף ולא נפרץ. לכן, המתקפה על משווק Ledger מצביעה על סיכונים פיזיים בשרשרת האספקה שייתכן שבדיקות תוכנה לא יזהו. לפי הדיווחים, מעקב בבלוקצ'יין עקב אחר הכספים לאורך שש רשתות ו־315 ארנקים. כ־2,990 ETH עברו דרך Tornado Cash לפני שהגיעו למאגר פרטיות של Zcash. Tether הקפיאה כ־10 מיליון דולר ב־USDT; לפי הדיווחים, חלק מהכספים הומרו ל־USDD, בעוד שכ־700 ETH נותרו ללא תנועה בעת פרסום הדיווח. Ledger המליצה ללקוחות שרכשו מכשירים מ־CryptoBilis במהלך 90 הימים האחרונים שלא לאתחל מכשירים שלא נעשה בהם שימוש. משתמשים שכבר הגדירו מכשיר צריכים להעביר את הנכסים שלהם לחותם חדש, באמצעות ביטוי שחזור שנוצר מחדש על ציוד מהימן.