Ledger, Bayisi CryptoBilis Üzerinden Satılan Cihazlarda 86 Milyon Dolarlık Bitcoin (BTC) Hırsızlığını Araştırıyor

Ledger, onaylı bayisine durdura çağrısı yaptı

Donanım cüzdanı üreticisi Ledger, Güneydoğu Asya'daki onaylı bayilerinden biri olan CryptoBilis üzerinden satılan cihazlarda ortaya çıkan ve yaklaşık 86 milyon dolar değerindeki donanım cüzdanı hırsızlığına ilişkin soruşturma başlattığını açıkladı. Şirket, cuma günü destek hesabından yaptığı açıklamada, soruşturma sürerken CryptoBilis'ten tüm satışları ve Ledger ürünlerinin sevkiyatını durdurmasını istediğini duyurdu. Son 90 gün içinde bayiden cihaz satın alan müşterilere cihazlarını kurmamaları, kurulumu tamamlanmış olanlara ise varlıklarını yeni üretilmiş bir kurtarma ifadesi (recovery phrase) içeren yeni bir Ledger imzalayıcısına taşımaları söylendi. Açıklamada olayın bayiye ve onun pazarına özgü göründüğü, doğrudan şirketten alınan cihazlarla ilgili hiçbir şikayet gelmediği, Ledger'ın altyapısının ve sistemlerinin de ihlal edilmediği belirtildi. Boşaltılan cüzdanlarda Bitcoin (BTC), Ethereum ve Tron bulunuyordu; zincir üstü (on-chain) araştırmacıların Bitcoin fiyatı üzerinden yaptıkları hesaplamalar toplam kaybı 86 milyon doların üzerine koyuyor.

Araştırmacılar yüzlerce cüzdandan giriş tespit etti

Zincir üstü araştırmacıları şirketten hızlı davrandı. Takma adlı incelemeci Specter, X'te yaptığı paylaşımda, Ledger kullanıcılarının X ve Reddit üzerinden cüzdanlarının boşaltıldığına dair şikayetlerin yükseldiğini yazdı. Şüpheli hırsızlık adreslerine yapılan takipler, Bitcoin, Ethereum ve Tron ağlarında yüzlerce mağdur cüzdandan gelen para aktarımını ortaya çıkardı ve toplam 86 milyon doların üzerine ulaştı. Meslektaşı tanuki42 ise kayıpların 72 milyon dolarını aşan bölümüyle bağlantılandığı iddia edilen sekiz adres belirledi. Kripto güvenliği kuruluşu SEAL bulguları geniş kitlelere duyurdu ve fonları işaretlenen adreslere gönderilen herkesin olay müdahale ekibiyle iletişime geçmesini istedi. Ledger bu rakamların hiçbirini henüz doğrulamadı; olayın nedenini açıklamadı ve cihazların fiziksel olarak müdahale görmüş olup olmadığını söylemedi. Bireysel vakaların aynı mekanizmayı paylaşip paylaşmadığı da belirsiz; ancak şimdiye dek yapılan her bildirim tek bir ortak kanaldan, tek bir bayiden geçiyor.

CryptoBilis'in içinde ve tedarik zinciri kuramı

CryptoBilis, Kuala Lumpur merkezli ve Aralık 2020'de Arravind Prabu, Vimal Selvamany ile Dhivager Rathakrishnan tarafından Fetch International şirketi bünyesinde kurulmuş bir çevrim içi mağaza. Mağaza 2021'de Paris merkezli cüzdan üreticisinin onaylı bayisi olduğunu duyurdu; bugün Endonezya, Malezya ve Filipinler için yetkili satıcı olarak listeleniyor. Kendi sitesi kendisini, Ledger cihazlarının yanında Tangem, SafePal, OneKey ve Trezor ürünleri de taşıyan Güneydoğu Asya'nın güvenilir bir Web3 markası olarak tanıtıyor. Hırsızlıklara dair öne çıkan kuram tedarik zinciri saldırısı (supply-chain attack) olgusu: cihaza öyle bir müdahale yapılıyor ki, alıcı kutuyu açmadan önce içine programlanan kurtarma ifadesi saldırganın elinde bulunuyor; para cüzdana girdiği anda boşaltılabiliyor. Araştırmacılar bu yöntemi 2023'te belgelemişti: ana çipi değiştirilmiş, yazılımı kullanıcılara saldırganların bildiği 20 ifadeden birini dağıtacak biçimde kurcalanmış bir Trezor Model T vakasında saldırganlar cihazın boşalmasını yaklaşık bir ay beklemişti. Eski Mt. Gox yöneticisi Mark Karpelès de bayiden satılan bazı Ledger ünitelerine parola anahtarlarını çalmak için casus yazılım yerleştirildiği iddialarına dikkat çekti. Bunların hiçbiri güncel olay için doğrulanmış değil.

Donanım cüzdanı güvenliği için zor bir dönem

Olay, sektörün yakın tarihteki en ağır kayıplar dizisinin tam ortasına düştü. Temmuzda saldırganlar, Coinkite üretimi Coldcard cihazlarındaki bir donanım yazılımı hatasının üretilen tohum anahtarlarını fiilen tahmin edilebilir kılması sonucu kullanıcılarından 120 milyon dolara yakın Bitcoin (BTC) çalmıştı; Galaxy Research daha sonra birden fazla saldırganın kusurdan bağımsız biçimde yararlandığını söylemişti. Geçen ay Trezor, üçüncü taraf bir dağıtım ortağından sızan bilgilerle yaklaşık 81.000 müşterisinin verilerinin ele geçirildiğini açıkladı. Ledger'ın kendi defterinde de Ocak ayı olayı kayıtlı: ödeme ortağı Global-e müşteri verilerini sızdırmış ve bu veriler dolandırıcılar tarafından kimlik avı e-postalarında yeniden kullanılmıştı. Herkes mevcut olayı sıfır gün (zero-day) bir cihaz açığı çerçevesine oturtmuyor; güvenlik araştırmacısı Taylor Monahan, boşaltım raporlarını yayan bazı hesapların insanları paniğe yönelik hamlelere ittiğini uyararak, göç aramalarının kimlik avı sayfalarına, sahte reklam ve uygulamalara kapı araladığını söylüyor. Bu baskı, Mayısta kötü piyasa koşulları gerekçesiyle 4 milyar dolarlık planlanmış ABD halka arzından vazgeçen Ledger'ın üstüne daha da yükleniyor.

Çip değil, satış kanalı

Şimdiye kadarki verilerin okuması bize şunu gösteriyor: zayıf halka cihazın kendisinde değil, perakende kanalında. Doğrulanmış her bildirim CryptoBilis'ten alınan ünitelere işaret ediyor; doğrudan Ledger'dan satın alanlardan tek bir şikayet bile gelmedi. Bu yine de soğuk cüzdanın temel vaadine zarar veriyor, çünkü kurcalanmış bir cihaz mağaza rafındaki mühürlü bir kutudan dış görünüşle ayırt edilemiyor. Soruşturma bir mekanizma açıklayana kadar pratik adımlar aynı: yeni alınan cihazları kurmamak, etkinleştirilmiş cüzdanları yeni tohuma sahip bir imzalayıcıya taşımak ve yalnızca resmi kanallardan alışveriş yapmak; En İyi Kripto Borsaları karşılaştırmasında uygulanan titizlik burada da geçerli. Şu an 86 milyon doların üzerinde seyreden kayıp toplamı, mağdurlar ortaya çıktıkça artabilir.