Attacco a un rivenditore Ledger collegato al furto di 93 milioni di dollari in criptovalute

Un attacco collegato a un rivenditore di Ledger è stato associato al furto di oltre 86 milioni di dollari in criptovalute, anche se una stima quantifica le perdite in circa 93,2 milioni. Secondo quanto riferito, i portafogli hardware interessati erano stati venduti dal rivenditore del Sud-est asiatico CryptoBilis, che ha sospeso vendite e spedizioni durante le indagini. Ledger ha dichiarato che i propri sistemi non sono stati compromessi; il numero di dispositivi coinvolti e l’ammontare definitivo delle perdite restano incerti. Secondo gli investigatori, un modulo non autorizzato collegato alle linee dati dello schermo del dispositivo poteva acquisire la frase di recupero di 24 parole quando veniva visualizzata e inviarla tramite una connessione cellulare. Il dispositivo poteva comunque superare il controllo di autenticità del software Ledger e, a quanto riferito, l’elemento sicuro non è stato estratto né compromesso. L’attacco al rivenditore di Ledger evidenzia quindi i rischi fisici della catena di approvvigionamento che i controlli software potrebbero non rilevare. Secondo quanto riferito, il tracciamento sulla blockchain ha seguito i fondi attraverso sei blockchain e 315 portafogli. Circa 2.990 ETH sono transitati da Tornado Cash prima di raggiungere un pool per la privacy di Zcash. Tether ha congelato circa 10 milioni di dollari in USDT; a quanto riferito, una parte dei fondi è stata convertita in USDD, mentre circa 700 ETH risultavano ancora fermi al momento della pubblicazione. Ledger ha consigliato ai clienti che avevano acquistato dispositivi da CryptoBilis nei 90 giorni precedenti di non inizializzare quelli ancora inutilizzati. Chi aveva già configurato un dispositivo avrebbe dovuto trasferire i propri asset a un nuovo firmatario, usando una frase di recupero generata da zero su apparecchiature affidabili.