Немецкая розничная группа MediaMarktSaturn, владеющая примерно 1070 магазинами электроники MediaMarkt и Saturn по всей Европе, убрала с полок и сайтов криптокошельки Ledger на фоне растущих опасений по поводу атаки на цепочку поставок французского производителя кошельков. Одновременно Марк Карпелес, бывший генеральный директор печально известной и обанкротившейся биржи биткоинов Mt. Gox, заявил, что изучил устройство Ledger с имплантом, купленное в аэропорту Сингапура.
Карпелес еще в прошлом месяце сообщал об устройствах Ledger с «шпионскими имплантами», за недели до того, как в пятницу начали опустошаться кошельки пользователей Ledger. Его участие в раскрытии атаки на цепочку поставок Ledger превратилось в неожиданную историю искупления для бывшего опального главы Mt. Gox. Ledger по-прежнему утверждает, что все подтвержденные случаи связаны с устройствами, проданными через CryptoBilis, реселлера в Юго-Восточной Азии, и что «количество затронутых устройств ограничено». На данный момент публичных сообщений о поддельных устройствах, купленных в США, не поступало.
Новые случаи в Европе и Сингапуре
Представитель MediaMarktSaturn сообщил Cointelegraph, что изъятие продукции распространяется на все страны, где работает компания. «Продукция была снята с продажи на международном уровне во всех наших странах. Мы сделали это в качестве меры предосторожности», — заявил представитель.
Во вторник утром Ledger сообщил, что MediaMarktSaturn прекратил продажу его устройств в магазинах и онлайн по соглашению с Ledger после того, как один клиент в Германии сообщил об импланте. Компания добавила, что о потере средств сообщений не поступало.
Пользователь X ранее опубликовал в воскресенье фотографии устройства Ledger с дополнительными кабелями внутри, указав MediaMarkt как магазин, где оно было приобретено, и предположив, что устройство, вероятно, было перепроданным возвратом. В понедельник он заявил, что купил второе устройство Ledger в другом магазине MediaMarkt с теми же модификациями. «Я только что купил второе устройство в другом магазине Mediamarkt сегодня, записал процесс распаковки и снова обнаружил шпионское ПО», — написал он. В том же сообщении он отказался от теории возврата, заявив, что сотрудник MediaMarkt сообщил ему, что устройство не было возвращено, и что возвращенные Ledger отправляются обратно производителю.
Карпелес анонсировал находку в Сингапуре рано утром во вторник. «Ledger Flex, проданный в аэропорту Сингапура, подтвержденно содержит шпионский имплант!» — написал он. Подтверждение принадлежит самому Карпелесу, и Ledger не заявлял, что проверил устройство. Flex принадлежит Бену Йорку, который в субботу сообщил, что купил его в аэропорту в магазине под названием *Metapod и заметил царапины на корпусе, и который во вторник заявил, что устройство было куплено в июне и никогда не вскрывалось.
Карпелес также делится своим мнением о том, кто стоит за аппаратным обеспечением. «Учитывая уровень исследований и разработок, вложенных в эти импланты, европейскую версию «v1.0» и общее качество продукта, я бы предположил, что сам имплант является продуктом, имеющим свои производственные линии и руководство, которое продается кому-то другому, кто устанавливает их на Ledger перед продажей», — написал он в понедельник.
Несмотря на все это, Карпелес по-прежнему защищает аппаратное обеспечение Ledger. «Я пользуюсь устройствами Ledger уже много лет, и недавние обнаружения аппаратных имплантов не поколебали моего доверия к ним», — сказал он в другом сообщении. «Устройства Ledger относительно легко вскрыть и изучить. Это одна из причин, по которой эти вредоносные импланты удалось обнаружить и исследовать».
Ledger объясняет, как работает имплант
Собственная команда экспертов по кибербезопасности Ledger, известная как Donjon, также опубликовала во вторник свое первое техническое объяснение атаки, которое совпадает с тем, что задокументировала компания Карпелеса Tibane Labs в своем собственном разборе.
«На основе анализа атаки, проведенного Donjon, имплант находится внутри корпуса и считывает данные, отображаемые на экране. Во время настройки подписант отображает 24-словную фразу восстановления. Когда имплант обнаруживает эти экраны, его микроконтроллер декодирует слова и передает их по LTE с использованием предоставленной eSIM», — сообщил Ledger. «Он не модифицирует Secure Element или операционную систему Ledger, а также не изменяет транзакции или подписи».
В обновлении добавлено, что Ledger рассматривает сообщения об имплантах в других устройствах и местах. «Мы не подтвердили утечку, связанную с подписантом, купленным в другом месте», — говорится в сообщении.
Отслеживание денег через Tornado Cash и Zcash
Кто бы ни стоял за кражами, он пытался отмыть вырученные средства, но, по-видимому, не знал, как правильно использовать криптомиксер Tornado Cash или ориентированную на конфиденциальность криптовалюту Zcash. Аналитическая фирма Bitquery подсчитала, что из 324 кошельков на шести блокчейнах было похищено 102,0 млн долларов США.
По ее подсчетам, с пятницы по понедельник вор отправил около 6680 ETH в Tornado Cash, а большую часть выведенного затем направил через Zcash. Bitquery отследила средства, сопоставив суммы и время. «Миксер означает, что прямая связь не может быть доказана, но мы оцениваем ее как сильную», — заявила фирма. Bitquery оценивает свои связи для последующих раундов микширования как слабые, а также отмечает заслугу YFarmX в первоначальном обнаружении этого маршрута через миксер и Zcash.
Tether, по сообщениям, заморозил 10 миллионов долларов в своем стейблкоине USDT, которые были связаны с текущим расследованием. Ledger заявляет, что не подтвердил общее количество затронутых пользователей или сумму потерь, и что цифры, циркулирующие в сети, исходят от третьих сторон.
Что делают Ledger и другие производители кошельков
Генеральный директор Ledger Паскаль Готье заявил, что компания до сих пор не знает, где были подделаны устройства. «Расследование продолжается, чтобы определить, кто подделал эти устройства или где в цепочке дистрибуции это произошло», — написал Готье во вторник. «Мы пересматриваем меры контроля, применяемые к нашим прямым продажам и к реселлерам, и поделимся тем, что сможем».
Для владельцев, желающих заглянуть внутрь своих устройств, Ledger предлагает руководство по проверке своих устройств, а Карпелес опубликовал плейлист на YouTube по вскрытию и закрытию Nano X, Nano S Plus, Flex и Stax. «Будьте осторожны и убедитесь, что ваша фраза восстановления сохранена, поскольку вскрытие устройства может его повредить», — предупредил технический директор Ledger Шарль Гийемет.
Другие производители аппаратных кошельков также ужесточают свои каналы продаж. «После недавних инцидентов с цепочками поставок мы решили сократить количество реселлеров, чтобы мы могли более эффективно проверять тех, с кем работаем», — заявил Trezor во вторник. «Позвольте нам быть предельно ясными: нет ни одного доказательства того, что устройства Trezor были скомпрометированы». OneKey заявил в понедельник, что прекратил авторизацию CryptoBilis, прекратил добавление новых реселлеров и начал проверку всех существующих.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Kyle Torpey
