Неизвестные лица тайно устанавливают LTE-модемы в новые криптовалютные кошельки. Покупатели потеряли более 100 миллионов долларов. Производитель Ledger мало что сообщает об этом.
Аппаратные кошельки для криптовалют намеренно работают в автономном режиме, чтобы снизить риск безопасности. Однако неизвестные лица модифицируют такие автономные кошельки французского производителя Ledger до того, как они попадают в продажу. Дополнительный чип перехватывает содержимое экрана, а LTE-модуль с eSIM передает информацию злоумышленнику, который таким образом получает контроль над криптовалютными активами, "защищенными" фразой восстановления (seed phrase), созданной кошельком. При этом защищенный элемент остается нетронутым. Масштаб проблемы оказывается больше, чем предполагалось изначально: она затрагивает более длительный период времени, больше устройств, больше стран и имеет более широкие последствия – Германия также пострадала.
Затронуто несколько моделей устройств Ledger, а не только Ledger Nano X. Поддельные устройства уже некоторое время находятся в продаже, и масштаб ущерба больше, чем предполагалось изначально. Кроме того, сфера деятельности злоумышленников шире: сейчас поддельные кошельки Ledger обнаружены в Сингапуре и Германии, распространяемые различными продавцами и поставляемые разными поставщиками.
На веб-сайте Ledger сложно найти какую-либо информацию по этому вопросу. Рекламные заявления, такие как "Хакеры не могут получить доступ к вашим ключам через интернет, поскольку они хранятся в автономном режиме", остаются неизменными. Только на странице https://support.ledger.com/article/15158192560157-zd можно найти абзац от 9 октября, в котором говорится о том, что Ledger "изучает сообщения о потерях средств у пользователей в Юго-Восточной Азии" и рекомендует клиентам, которые приобрели кошельки Ledger у компании Cryptobilis за последние 90 дней, не использовать эти устройства. Если они уже это сделали, им рекомендуется "рассмотреть возможность" переноса своих криптовалютных активов в другие кошельки.
Более 90 дней.
Фактически, зараженные устройства могли находиться в обороте и распространяться не только через Cryptobilis, а значительно дольше, чем 90 дней. Компания Bitquery проанализировала общедоступные данные из шести различных блокчейнов и оценила общий ущерб к 13 октября примерно в 102 миллиона долларов США, которые были украдены из 324 различных кошельков. Компания Tether заморозила USDT-стейблкоины на сумму десяти миллионов долларов США, а злоумышленник продолжает контролировать остальную часть средств. Ущерб оказался таким значительным, потому что крупные спекулянты чаще готовы нести расходы на аппаратные кошельки. Это, естественно, делает их пользователей более привлекательными целями для мошенников.
Согласно анализу компании Bitquery, у 40 процентов кошельков, которые считаются "пустыми" (не содержащими средств), первая транзакция была совершена более 90 дней назад, то есть эти кошельки существуют уже довольно давно. Значительная часть таких кошельков была активирована в июне, но есть даже около двух десятков кошельков, которые впервые стали активными в 2024 или 2025 году. Предупреждение компании Ledger о проблемах с устройствами, приобретенными у Cryptobilis за последние 90 дней, явно является недостаточным.
В мае американский специалист в области встроенных систем публично продемонстрировал устройство, подвергшееся манипуляциям. Это была ранняя, довольно грубая модификация, которая, однако, не была заметна снаружи. В других кошельках, которые были обнаружены позже, дополнительные компоненты изготовлены с использованием профессионального серийного производства. Существует несколько версий этой модификации, и очевидно, что преступление было тщательно спланировано заранее.
Два других открытия, сделанных компанией Bitquery, также подтверждают это: злоумышленник сначала, в конце сентября/начале октября, в течение двух недель проводил тестовые транзакции с небольшими суммами. А затем, основной взлом был, по крайней мере частично, автоматизирован. Например, он за три секунды активировал 25 чужих кошельков TRON для осуществления переводов. Всего за шесть секунд были переведены USDT на сумму, эквивалентную 29 миллионам долларов США.
Германия и Сингапур.
Немецкий пользователь сообщил в интернете, что еще в августе приобрел в магазине MediaMarkt Saturn аппаратный кошелек Ledger, который оказался поддельным. В понедельник он купил во втором филиале MediaMarkt Saturn аналогичное устройство, которое также оказалось модифицированным. На коротком видеоролике видно, как пользователь открывает новый, запечатанный аппаратный кошелек, внутри которого находятся подозрительные детали. По словам пользователя, поставщиком был австрийский дистрибьютор, а не компания Cryptobilis. В настоящее время компания MediaMarkt Saturn приостановила продажу аппаратных кошельков Ledger.
Два других человека сообщили о приобретении в Сингапуре модифицированных аппаратных кошельков Ledger Flex. Кошельки Ledger Flex больше, чем Ledger Nano X, и поэтому их легче взломать. Один из устройств был куплен в торговом центре, а другой – в автомате в аэропорту этого города-государства. Оператор автомата, как и компания Cryptobilis, является официальным дилером Ledger и также работает в других странах Азии.
Криптовалютный кошелек, извлеченный из автомата, имеет небольшую царапину, что заставило покупателя предположить, что его уже открывали ранее. Он отправил этот продукт французу Марку Карпелесу, который известен как основатель ныне несуществующей криптовалютной биржи Mt. Gox и был признан виновным по суду. Карпелес опубликовал видео, на котором видно, как он открывает устройство Ledger Flex и обнаруживает в нем аналогичный имплантат. Таким образом, предупреждение компании Ledger о дефектах в устройствах, приобретенных у Cryptobilis за последние 90 дней, является недостаточным, поскольку оно касается не только самих устройств, но и продавцов и дистрибьюторов.
Рекомендуемый редакционный контент.
С вашего разрешения на этой странице будет загружено видео с внешнего ресурса – YouTube (компания Google Ireland Limited).
Я согласен на то, чтобы мне отображался контент из внешних источников. Это может привести к передаче персональных данных на сторонние платформы (например, Google Ireland Limited). Подробную информацию об этом можно найти в нашей политике конфиденциальности.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале