Ledger, Bayisi CryptoBilis Üzerinden Satılan Cihazlarda 86 Milyon Dolarlık Bitcoin (BTC) Hırsızlığını Araştırıyor

Güncelleme 21:50 UTC: Karpelès, etkilenen alıcıları cihazlarını açıp devre kartlarının fotoğrafını çekmeye çağırdı; görüntülerin bir müdahale olup olmadığını ortaya çıkarabileceğini söyledi.

Ledger, onaylı bir satıcıyı durdurdu

Donanım cüzdanı üreticisi Ledger, Güneydoğu Asya'daki yetkili satıcılarından CryptoBilis üzerinden satılan cihazlarda ortaya çıkan ve kabaca 86 milyon dolar değerindeki kripto varlık hırsızlığına ilişkin soruşturma başlattı. Şirket, cuma günü destek hesabından yaptığı açıklamada, soruşturma sürerken CryptoBilis'ten tüm satış ve sevkiyatları durdurmasını istediğini duyurdu. Son 90 gün içinde satıcıdan cihaz alan müşterilerin kurulum yapmaması istendi; cihazını zaten etkinleştirmiş alıcılara ise varlıklarını, yeni oluşturulmuş bir kurtarma ifadesiyle birlikte yepyeni bir Ledger cihazına taşımaları önerildi. Ledger'ın açıklamasına göre olay satıcıya ve pazarına özgü görünüyor, doğrudan şirketten alınan cihazlara dair hiçbir ihbar gelmedi ve altyapısı, sistemleri ile hizmetleri sızmadı. Boşaltılan cüzdanlarda Bitcoin (BTC), Ethereum ve Tron bulunuyordu; zincir üstü araştırmacıların Bitcoin fiyatı ağırlıklı hesaplamaları birleşik kayıpları 86 milyon doların üzerine yerleştiriyor.

Changpeng Zhao da devreye girdi ve yeni donanım cüzdanı alanlara cihazları en az 14 gün bekletmelerini tavsiye etti. Ona göre taze alınan bir cihaz ya da yeni indirilen bir yazılım, sahibi güvenlik uyarılarını izlerken boş beklemeli; bu süre, bir parti tehlikeye düşmüşse araştırmacıların ilk hırsızlık işlemlerini yakalayıp işaretlemesi için zaman kazandırıyor. Ledger ise kaza anlatısını daralttı: saldırganların satıcının ara depolarında paketleri fiziksel olarak açtığını ve orijinal kurulum yönergelerini önceden hazırlanmış tohum kelimelik kartlarla değiştirdiğini, fabrika üretiminin, cihaz aygıt yazılımının ve Ledger Live uygulamasının ise dokunulmadan kaldığını söyledi. Zincir üstü araştırmacılar artık Bitcoin, Ethereum ve Tron üzerinden çıkan toplam tutarı 86,9 milyon dolar olarak hesaplıyor; büyük holderlar (uzun vadeli yatırımcılar) daha güvenli yol olarak doğrudan üreticiden sipariş vermeye başladı.

@Ledger_Support · X gönderisi

Destek hesabı.

X'te görüntüle

Araştırmacılar yüzlerce cüzdandan girişleri izliyor

Zincir üstü araştırmacıları, şirketten önce hareket etti. Takma adlı araştırmacı Specter, X'te boşaltılan cüzdan şikayetlerinin Ledger kullanıcılarınca X ve Reddit'e taşındığını yazdı; şüpheli hırsızlık adreslerini izlediğinde Bitcoin (BTC), Ethereum ve Tron üzerinde yüzlerce mağdur cüzdanından gelen depozitolar gördüğünü, toplamın 86 milyon doları aştığını ekledi. Meslektaşı tanuki42, 72 milyon doların üzerindeki kayıpla bağlantılı olduğu iddia edilen sekiz adres belirledi. Kripto güvenliği kuruluşu SEAL bu bulguları yayınladı ve varlıkları işaretli adreslere aktarılmış herkesin olay müdahale ekibiyle iletişime geçmesini istedi. Ledger bu tahminlerin hiçbirini doğrulamadı, bir neden ortaya koymadı ve cihazların kendilerine müdahale edilip edilmediğini açıklamadı. Bireysel vakaların tek bir mekanizmayı paylaşması da doğrulanmış değil; ne var ki şimdiye kadarki her ihbar tek bir ortak kanaldan, tek bir satıcıdan geçiyor.

Karpelès, etkilenen alıcıları cihazlarını açıp devre kartlarının fotoğrafını çekmeye çağırdı; görüntülerin bir müdahale olup olmadığını ortaya çıkarabileceğini söyledi. CZ ise eldeki bilgilere ilişkin ön bir okuma sundu: tek bir satıcıyı içeren bir tedarik zinciri saldırısından şüphelendiğini, az sayıda müşterinin sahte ya da değiştirilmiş üniteler almış olabileceğini belirtti. Bu iki çağrı, Ledger'ın olaya dair kendi anlatısının, kayıp tutarı ve mekanizma dahil, resmi hiçbir açıklamayla doğrulanmamış kaldığı bir sırada geldi.

@SpecterAnalyst · X gönderisi

X'te yazdı.

X'te görüntüle

CryptoBilis'in içi ve tedarik zinciri teorisi

CryptoBilis, Kuala Lumpur merkezli, Arravind Prabu, Vimal Selvamany ve Dhivager Rathakrishnan'ın Fetch International şirketi bünyesinde Aralık 2020'de kurduğu bir online mağaza. Mağaza 2021'de Paris merkezli cüzdan üreticisinin yetkili satıcısı olduğunu duyurdu; Endonezya, Malezya ve Filipinler için yetkili satıcı olarak listeleniyor. Kendi sitesi, kendini Ledger cihazlarının yanında Tangem cüzdanları, SafePal, OneKey ve Trezor da taşıyan, Güneydoğu Asya'da güvenilir bir Web3 markası olarak pazarlıyor. Hırsızlıkların önde gelen teorisi bir tedarik zinciri saldırısı: cihaz, alıcı kutuyu açmadan önce saldırganın halihazırda bildiği bir kurtarma ifadesi programlanacak şekilde manipüle ediliyor; para cüzdana girdiği anda boşaltılabiliyor. Araştırmacılar bu yöntemi 2023'te belgelendi: ana çipi değiştirilmiş, yazılımı kullanıcılara saldırganların bildiği 20 ifadeden birini veren bozuk bir Trezor Model T söz konusuydu; saldırganlar yaklaşık bir ay bekledikten sonra cihazı boşalttı. Eski Mt. Gox patronu Mark Karpelès de satıcı üzerinden satılan Ledger cihazlarına passkey (anahtar kimlik bilgisi) çalmak için casus yazılım yerleştirildiği iddialarına işaret etti. Bu mekanizmaların hiçbiri mevcut vaka için doğrulanmış değil.

Donanım cüzdanı güvenliği için zor bir dönem

Olay, sektörün yakın bellekteki en yıkıcı serisinin içine denk geliyor. Temmuz'da hackerlar Coinkite üretimi cihazlardaki bir aygıt yazılımı hatasının hatalı tohum üretimi üretmesinin ardından Coldcard kullanıcılarından yaklaşık 120 milyon dolarlık Bitcoin (BTC) çaldı; Galaxy Research daha sonra birkaç saldırganın bu açıktan bağımsız yararlandığını söyledi. Geçen ay Trezor, yaklaşık 81.000 müşterinin bilgilerinin üçüncü taraf bir lojistik ortağı üzerinden sızdığını açıkladı. Ledger'ın kendisi de Ocak'ta ödeme altyapısı ortağı Global-e'nin müşteri verilerini sızdırmış, dolandırıcılar bu verileri kimlik avı e-postalarında kullanmıştı. Herkes mevcut vakayı sıfır gün cihaz açığı olarak okumuyor: güvenlik araştırmacısı Taylor Monahan, boşaltma ihbarlarını yayan hesapların insanları panik hareketlerine ittiğini ve göç aramalarının kimlik avı sayıları, sahte reklamlar ve sahte uygulamalar için alan açtığını uyarmıştı. Bu baskı, Mayıs'ta kötü piyasa koşulları gerekçesiyle 4 milyar dolarlık planlanan ABD halka arzından vazgeçen Ledger'ın üstüne biniyor.

Çip değil, kanal

Şimdiye kadarki kanıtlara baktığımızda zayıf halkanın cihazda değil perakende kanalında durduğunu görüyoruz: doğrulanmış her ihbar CryptoBilis üzerinden alınan cihazlara işaret ederken, doğrudan Ledger'dan alanlardan tek bir ihbar bile gelmedi. Bu, soğuk cüzdanın temel vaadini de zedeliyor; çünkü müdahale edilmiş bir cihaz, mağaza rafında mühürlü bir cihazla aynı görünüyor. Soruşturma bir mekanizma açıklayana dek pratik adımlar değişmiyor: yeni alınan cihazları kurmayın, etkinleştirilmiş cüzdanları taze bir tohumla yeni bir imzalayıcıya taşıyın ve yalnızca resmi kanallardan satın alın; en iyi kripto borsalarını kıyaslamada uyguladığınız titizliği burada da uygulayın. Şu an 86 milyon doların üzerinde olan kayıp toplamı, yeni mağdurlar öne çıktıkça yükselmeye devam edebilir.