Tinamaan ng pag-atake sa supply chain ng isang reseller ang mga hardware wallet ng Ledger

Ayon sa Ledger, bumili ang isang grupong kriminal ng mga tunay na hardware wallet, nilagyan ang mga ito ng mga nakatagong piyesa, at muling ipinagbili sa pamamagitan ng mga distributor sa Timog-Silangang Asya. Kayang nakawin ng mga binagong device ang mga recovery phrase habang isinasagawa ang setup, kaya nagawa ng mga umaatake na ubusin ang laman ng mga wallet. Kinumpirma ng Ledger na may kahit isang device na nilagyan ng nakatagong piyesa matapos mag-ulat ang mga customer ng mga pagkaluging iniugnay sa reseller na CryptoBilis na nakabase sa Malaysia. Tinataya ng blockchain investigator na Specter na humigit-kumulang $86 milyon ang ninakaw, ngunit hindi kinumpirma ng Ledger ang kabuuang halaga ng pagkalugi o ang bilang ng mga biktima. Iniulat na gumastos ng milyun-milyong dolyar ang mga umaatake sa pagbuo ng mga sistemang mangangalap ng recovery phrase, maglilipat ng mga asset, at maglalaba ng pera. Inilarawan ng Ledger ang insidente bilang pag-atake sa channel ng pamamahagi, hindi pagkompromiso sa mga chip, operating system, o server nito. Hiniling nito sa mga distributor sa Timog-Silangang Asya at Hong Kong na pansamantalang ihinto ang pagbebenta habang sinusuri ang imbentaryo; sa ngayon, walang ibang pakialamang device na nakita sa mga sample check. Ipinagbawal ng Ledger ang muling pagbebenta ng mga isinauling device at inatasan ang mga tindahan na direktang iabot sa mga customer ang mga produkto sa oras ng pagbili. Nakikipagtulungan ang kumpanya sa mga tagapagpatupad ng batas at mga mananaliksik sa seguridad upang subaybayan ang mga pondo at buwagin ang imprastraktura ng mga umaatake. Itinatampok ng pag-atake sa hardware wallet ng Ledger ang mga panganib sa supply chain para sa mga gumagamit ng crypto, kasabay ng mas malawak na pangamba sa seguridad ng mga wallet, kabilang ang naiulat na pagnanakaw noong Hulyo ng halos $120 milyon mula sa mga gumagamit ng Coldcard.