Энтузиастам криптовалют часто советуют приобретать аппаратные кошельки, такие как модели Ledger, что теоретически обеспечивает максимальный уровень безопасности. Однако даже такой подход не является на 100% надежным, поскольку текущее расследование выявило, что реселлеры Ledger в Юго-Восточной Азии и Европе продают взломанные кошельки, оснащенные модулями eSIM и LTE для кражи мнемонических фраз. По сообщениям, с пользователей уже было украдено не менее 93 миллионов долларов (и эта сумма продолжает расти) с их счетов. Аппаратное обеспечение, продаваемое напрямую Ledger, пока не затронуто.
Первый скомпрометированный кошелек поступил от реселлера Cryptobilis, который в настоящее время прекратил все продажи аппаратных кошельков всех брендов. Подозреваемое устройство было приобретено в магазине в Малайзии, хотя Cryptobilis также продает товары в Индонезии и на Филиппинах. Исследователь Марк Карпельэс уже некоторое время изучает взломанные кошельки, и один из них был куплен через Amazon Japan у китайского продавца с доставкой из Малайзии. Cryptobilis также продает кошельки других брендов, таких как Trezor, Coolwallet и Tangem, хотя пока нет сообщений о заражении за пределами Ledger.
Ledger рекомендует пользователям, купившим кошельки у Cryptobilis за последние 90 дней, не проводить их первоначальную настройку, поскольку именно на этом этапе, как сообщается, происходит кража приватных ключей. Тем, кто уже это сделал, Ledger советует перевести свои активы на новый кошелек с новой мнемонической фразой. Кража данных осуществляется путем скрытия гибкой печатной платы под дисплеем для перехвата пикселей, отображающих приватный ключ, введенный во время первой настройки. Затем информация передается через упомянутую комбинацию eSIM+LTE для кражи.
Тем временем из Европы поступили новые сообщения: техник Йоханнес, предположительно находящийся в Германии, обнаружил как минимум два взломанных кошелька в MediaMarkt, известном розничном продавце электроники и бытовой техники. Он купил одно устройство и обнаружил, что оно имеет те же аппаратные модификации, что и его азиатские аналоги, что предполагает возможную связь между азиатскими и европейскими инцидентами. Затем Йоханнес купил второй кошелек в другом магазине MediaMarkt, и, как оказалось, он также был модифицирован.
Примечательно, что большинство обнаруженных на данный момент взломанных кошельков — это подтвержденно новые устройства, а не возвращенные. Злоумышленники часто покупают новое оборудование, возвращают его в магазин с модификациями, чтобы следующий ничего не подозревающий покупатель стал жертвой.
Йоханнес попросил сотрудника MediaMarkt в одном из магазинов проверить информацию о складских запасах кошельков, и выяснилось, что как минимум одно устройство поступило от Aqipa GmbH, общеевропейского дистрибьютора, что означает, что зона поражения может быть гораздо шире, чем MediaMarkt или Германия. Поскольку это недавнее событие, Ledger еще не опубликовал никаких рекомендаций, хотя можно предположить, что они будут аналогичны упомянутым выше шагам.
В своем блоге Марк Карпельэс отмечает, что в более ранних версиях взломанных кошельков с картами eSIM были ручные имплантаты, но, что вызывает беспокойство, аппаратные дополнения в последних находках, по-видимому, изготавливаются на заказ. Если это так, это может означать, что где-то существует производственная линия, которая перехватывает кошельки Ledger и массово производит взломанные кошельки.
Ledger публикует инструкции, подробно описывающие, как пользователи могут проверить физическую целостность своих кошельков, включая фотографии каждого компонента для каждой модели кошелька, предлагаемой компанией, чтобы они могли внимательно осмотреть их на предмет дополнений. Аналогично, будущие пользователи должны загружать программное обеспечение только с официального URL-адреса веб-сайта Ledger — задача, усложненная множеством мошеннических сайтов с вредоносным программным обеспечением, выдающим себя за официальные.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
