Aanval op Ledger-wederverkoper gelinkt aan diefstal van 93 miljoen dollar aan crypto

Een aanval die in verband wordt gebracht met een Ledger-wederverkoper is gelinkt aan de diefstal van meer dan 86 miljoen dollar aan cryptovaluta; volgens een schatting loopt de schade op tot ongeveer 93,2 miljoen dollar. De getroffen hardwarewallets zouden zijn verkocht door de Zuidoost-Aziatische wederverkoper CryptoBilis, die de verkoop en verzending tijdens het onderzoek heeft opgeschort. Ledger zei dat zijn eigen systemen niet zijn gecompromitteerd; het aantal getroffen apparaten en het definitieve schadebedrag zijn nog onzeker. Volgens onderzoekers kon een ongeautoriseerde module die was aangesloten op de datalijnen van het apparaatscherm de herstelzin van 24 woorden vastleggen wanneer die werd weergegeven en deze via een mobiele verbinding versturen. Het apparaat kon nog steeds slagen voor de authenticiteitscontrole van de Ledger-software. Naar verluidt is het beveiligde element niet uit het apparaat gehaald en evenmin gecompromitteerd. De aanval op de Ledger-wederverkoper wijst dus op fysieke risico’s in de toeleveringsketen die softwarecontroles mogelijk niet detecteren. Volgens berichten volgde blockchainanalyse de geldstromen via zes blockchains en 315 wallets. Ongeveer 2.990 ETH ging via Tornado Cash voordat het een privacy-pool van Zcash bereikte. Tether bevroor ongeveer 10 miljoen dollar aan USDT; naar verluidt is een deel van het geld omgezet in USDD, terwijl ongeveer 700 ETH op het moment van berichtgeving nog niet was verplaatst. Ledger adviseerde klanten die in de voorafgaande 90 dagen apparaten bij CryptoBilis hadden gekocht, ongebruikte apparaten niet te initialiseren. Wie een apparaat al had ingesteld, moest de tegoeden overzetten naar een nieuwe ondertekenaar met een volledig nieuw gegenereerde herstelzin op vertrouwde apparatuur.