Atak na sprzedawcę Ledger powiązany z kradzieżą kryptowalut o wartości 93 mln dolarów

Atak powiązany z dystrybutorem Ledger został połączony z kradzieżą kryptowalut o wartości ponad 86 mln dolarów, a według jednego z szacunków straty wynoszą około 93,2 mln dolarów. Jak podano, objęte atakiem portfele sprzętowe sprzedawał południowo-wschodnioazjatycki dystrybutor CryptoBilis, który na czas dochodzenia zawiesił sprzedaż i wysyłkę. Ledger poinformował, że jego własne systemy nie zostały naruszone; liczba urządzeń, których dotyczy sprawa, oraz ostateczna kwota strat pozostają niepewne. Śledczy twierdzą, że nieautoryzowany moduł podłączony do linii danych ekranu urządzenia mógł przechwytywać wyświetlaną 24-wyrazową frazę odzyskiwania i wysyłać ją przez połączenie komórkowe. Urządzenie nadal mogło przejść kontrolę autentyczności oprogramowania Ledger, a według doniesień bezpieczny element nie został wyjęty ani naruszony. Atak na dystrybutora Ledger wskazuje więc na fizyczne zagrożenia w łańcuchu dostaw, których kontrole oprogramowania mogą nie wykryć. Jak podano, analiza blockchaina prześledziła przepływ środków przez sześć łańcuchów i 315 portfeli. Około 2990 ETH przeszło przez Tornado Cash, zanim trafiło do puli prywatności Zcash. Tether zamroził około 10 mln dolarów w USDT; część środków miała zostać zamieniona na USDD, a około 700 ETH w chwili publikacji pozostawało nieruszonych. Ledger zalecił klientom, którzy kupili urządzenia od CryptoBilis w ciągu poprzednich 90 dni, by nie inicjalizowali nieużywanych urządzeń. Osoby, które już skonfigurowały urządzenie, powinny przenieść aktywa do nowego podpisującego, używając nowej frazy odzyskiwania wygenerowanej na zaufanym sprzęcie.