Ledger, CryptoBilis Üzerinden Satılan Cihazlarda Donanım İmplantı Doğruladı: Şüpheli Kayıp 93,2 Milyon Dolar

Güncelleme 03:07 UTC: Avrupa'daki iddialar 12 Ekim'de bir adım daha ileri gitti: Johannes, farklı bir MediaMarkt şubesinden ikinci bir Nano X satın aldığını, 2 dakika 31 saniyelik bir kutu açılış videosu çektiğini ve Almanca basılı ambalajın içinde, ek kablolar, bir LTE modülü ve bir anten de dahil olmak üzere ilk…

Cihazların İçindeki İmplant Resmen Doğrulandı

Ledger, 11 Ekim Pazar günü ilk kez resmi bir açıklamayla, etkilenen bir kullanıcının donanım cüzdanında “yetkisiz donanım implantı” bulunduğunu doğruladı. Bu, Güneydoğu Asya'daki hırsızlık vakasında şirketin fiziksel müdahaleyi ilk kez kabul ettiği an olarak kayda geçti. Şirketin destek ekibinin açıklamasında, bulgunun Malezya, Endonezya ve Filipinler için yetkili perakende ortağı CryptoBilis üzerinden satın alınan cihazların incelenmesi sırasında ortaya çıktığı belirtildi. Ledger kendi altyapısının, sistemlerinin ve hizmetlerinin ihlal edildiğine dair hiçbir kanıt olmadığını vurguluyor; olay bir sunucu, aygıt yazılımı ya da Secure Element çipine uzaktan saldırı değil, tedarik zinciri ve fiziksel cihaz seviyesinde bir güvenlik ihlali olarak çerçeveleniyor. Güvenlik araştırmacıları Tibane Labs'ın yaptığı sökme çalışması mekanizmayı açıklıyor: saldırganlar Secure Element'e dokunmak yerine, çiple OLED ekran arasındaki veri hatlarına bağlanan minicik bir baskı devre yerleştirmiş. Kullanıcı yeni bir cihazı ilk kez kurduğunda Ledger 24 kelimelik kurtarma ifadesini ekranda gösteriyor; implant ekrana giden piksel verisini okuyor, kelimeleri tanıyor ve kendi LTE modülü, SIM kartı ve anteni üzerinden dışarıya aktarıyor. İfade eline geçen saldırgan, kurbanın cihazına bir daha dokunmadan cüzdanı ve özel anahtarını başka bir cihazda yeniden inşa edebiliyor. İmplant Secure Element'e ve aygıt yazılımına dokunmadığı için Ledger'ın Özgünlük Denetimi cihazı hâlâ orijinal olarak raporluyor; bu, sahte bir klon ya da kodun çatallanmasından (fork) tamamen farklı bir arıza tipi. Tibane Labs implantın en az üç kuşağını belgelemiş durumda: orijinal pili küçültmeyi gerektiren elle lehimlenmiş prototiplerden, fabrika test noktalarına birebir oturan, hücresel çipli, eSIM'li ve üzeri bile zımparayla silinmiş, boya uyumlu bileşenli esnek baskı devrelere uzanan bir çizgi. Araştırmacılara göre bu işçilik, olayın arkasında tek başına çalışan bir hobi envoyu değil, finanse edilmiş bir operasyon olduğuna işaret ediyor.

Eski Mt. Gox CEO'su Mark Karpelès'in Malezya'dan satın alınmış mühürlü bir Nano X'i açarak casus donanımı bizzat tespit etmesinin ardından, sahipler arasında terazide tartıma dayalı yeni bir kontrol yöntemi dolaşıma girdi. Karpelès'in cihazında, ekranın arkasındaki baskı devreye yer açmak için pilin daha kısa bir modelle değiştirilmiş olduğu ve kalan ağırlık farkının kabaca bir gram olduğunu hesapladı; eşit kapasiteli pillerin kütle bakımından farklılaşabileceğini belirterek bunun normal fabrika toleransı içinde kaldığını söyledi. Bu fark, birer gram adımlarla okuyan mutfak terazisinin çözünürlüğünün altında kaldığı için temiz bir ölçüm iki yönde de pek bir şey kanıtlamıyor; hassas mikro teraziler yalnızca referans ağırlıkla kalibre edildiklerinde işe yarıyor ve devreyi doğrudan incelemenin tek yolu kasayı açmak olmaya devam ediyor. Karpelès, 11 Ekim tarihli bir X paylaşımında farkın fabrika değişkenleri nedeniyle "yaklaşık 1 g" değiştiğini belirtti.

Ledger, Pazar günü yayımladığı 72 saatlik güncellemede etkilenen cihaz sayısının "sınırlı" olduğunu bildirdi; şirketin ilgili makamlarla çalıştığını, etkilenen kullanıcılara ulaştığını ve yetkili satıcı ile distribütörlere ürünleri yalnızca resmi kanallardan tedarik etmeleri ile iade edilen ürünleri asla yeniden stoklamamaları gerektiğini hatırlattığını söyledi. Şirket ayrıca dolandırıcıların olayı istismar edebileceği uyarısında bulunarak hiçbir koşulda arama yapmayacağını, doğrudan mesaj göndermeyeceğini ve 24 kelimelik kurtarma ifadesini asla istemeyeceğini belirtti. Ayrı olarak, Johannes adlı bir X kullanıcısı Avrupa'daki perakende mağazalarından satın alınmış iki kurcalanmış cihaz bulduğunu iddia etti; her ikisinde de ek kablolar ve bir LTE modülü içeren birebir aynı değişiklikler bulunduğunu söyleyerek ürün geri çağrısı talep etti. İkinci cihazı inceleme için Ledger'a göndereceğini belirten kullanıcının iddiaları henüz doğrulanmadı; Ledger'ın güncellemesi ise şimdiye kadar doğrulanan tüm vakaların CryptoBilis cihazlarına ilişkin olduğunu vurguluyor.

Korku, hafta sonu Avrupa'da yeni kurcalama iddialarıyla Güneydoğu Asya'nın ötesine yayıldı. Avrupa'daki mağazalardan satın alınmış iki değiştirilmiş cihazı zaten bildiren X kullanıcısı Johannes, daha sonra Ledger'ın resmi Alman bayisi MediaMarkt'tan doğrudan satın aldığı bir cihazı kutusundan çıkararak ek kablolar taşıyan ve casus donanımın daha eski bir sürümü olarak nitelendirdiği bir implant bulduğunu, bu cihazdan şimdiye kadar hiç fon boşaltılmadığını da ekledi. Bir başka kullanıcı, Filipinler'deki bayi LazMall'dan satın alınmış bir cüzdanın içini paylaştı; Karpelès bunun "elle sarılmış bobin anten" tarzı bir implant taşıdığını tespit etti ve CryptoBilis'ten satın alınmış kurcalanmış bir Ledger Stax da ayrı olarak ortaya çıktı. Dikkat aynı zamanda CryptoBilis'in kendisine döndü: eski CEO Arravind Prabu, X'te şirketin bu yılın başlarında satın alındığını ve tüm operasyonlardan çekildiğini söyledi.

Avrupa'daki iddialar 12 Ekim'de bir adım daha ileri gitti: Johannes, farklı bir MediaMarkt şubesinden ikinci bir Nano X satın aldığını, 2 dakika 31 saniyelik bir kutu açılış videosu çektiğini ve Almanca basılı ambalajın içinde, ek kablolar, bir LTE modülü ve bir anten de dahil olmak üzere ilk cihazıyla birebir aynı değişiklikler bulduğunu söyledi. Bir mağaza çalışanı kendisine cihazın müşteri iadesi olmadığını, iade edilen Ledger'ların üreticiye geri gittiğini söyledi; mağaza bilgisayarında gösterilen kayıtlar ise kaynağı, Avusturya merkezli tüketici elektroniği distribütörü Aqipa GmbH olarak işaret ediyor. Johannes ayrıca Ledger baş teknoloji sorumlusu (CTO) Charles Guillemet'in gerçek bir cihazda ek kabloların bulunmaması gerektiğini söylediği özel bir mesaj paylaştı; ancak ekran görüntüsü tek taraflı ve doğrulanmamış durumda. İlk cihazın Karpelès'e gönderileceği belirtildi; Ledger ise şimdiye kadar CryptoBilis dışında hiçbir vakayı doğrulamadı.

@Ledger_Support · X gönderisi

Şirketin destek ekibinin açıklamasında.

X'te görüntüle

Bitquery Tahminini 93,2 Milyon Dolara Yükseltti

Zincir üstü (on-chain) analiz şirketi Bitquery, olayla bağlantılı adresleri yeniden takip etti ve şüpheli ele geçen miktarı yaklaşık 93,2 milyon dolara yükseltti. Bu tutar, Bitcoin, Ethereum, Tron, BNB Chain ve Polygon'ın da aralarında bulunduğu altı blok zincirindeki 315 cüzdana dağılmış durumda; en büyük pay Tron varlıklarına ait. Okuyucunun bilmesi gereken nokta şu: bu rakam üçüncü taraf bir zincir üstü atıflaması; Ledger ne 315 cüzdan sayısını ne de toplam miktarı doğruladı. Bitquery'nin izlemesi, çalınan varlıkların Tornado Cash, Zcash ve borsa kanalları üzerinden aktığını gösteriyor; son güncellemede 1.736 ETH bu akışlara itilmiş durumda. Bunun yanında yaklaşık 5,35 milyon dolarlık USDC, Circle'ın hâlâ dondurma yetkisi olan adreslerde bekliyor. Tether ise hamleyi şimdiden yaptı ve şüpheli hırsızlıkla bağlantılı adreslerdeki yaklaşık 10 milyon dolarlık USDT'yi dondurdu; bu bir kaldıraç, taşınan BTC ve ETH sahiplerinin elinde bulunmuyor. Artan rakamların baskısıyla CryptoBilis, Ledger ürünlerine koyduğu ilk askıyı aşarak soruşturma neticelenene kadar elindeki donanım cüzdanı stokunun tamamının satışını durdurdu; şirketin dağıtım hattının tam kapsamlı incelemesi için kolluk kuvvetleriyle ve Ledger'ın güvenlik ekibiyle çalışıyor. Bayi bu kadar önemli çünkü anonim bir internet satıcısı değil, kayıtlı bir satış kanalıydı; bu da soruşturmayı Ledger'ın küresel ürün hattı yerine tek bir perakende hattına sıkıştırıyor. Ledger'a göre bugüne kadar doğrulanan her varlık sızdırma vakası CryptoBilis üzerinden satılan cihazlara dayanıyor; şirketin kendi doğrudan satış kanalında benzer bir sorun ortaya çıkmadı. Son aylarda bayiden cihaz alan müşterilere tavsiye nett: hâlâ bandı kapalı olan bir cihazı başlatmayın; zaten fon varsa güvenilir, yeni bir cihaza ve tamamen yeni bir kurtarma ifadesine taşıyın, çünkü ele geçirilmiş bir ekranda bir kez gösterilen ifadenin sızdığını varsaymak gerekir.

Doğrudan Kanallarda Kayıp Yok

Bizim okumamız, bu olayın aynı anda iki varsayımı değiştirdiği yönünde. Birincisi, hava boşluklu bir donanım cüzdanı ancak satıldığı dağıtım hattı kadar güvenilir: ihlal fabrika ile müşteri arasında, ismi belli bir yetkili bayide gerçekleşti; bu noktada yerel bir bayiden almak, üreticiden gelen ve mühür kontrolü yapılan sevkiyattan daha güvenli bir varsayılan olmaktan çıkıyor. İkincisi, kurtarma seçenekleri varlık sınıflarına göre ayrışıyor: Tether ve Circle toplamda 15 milyon doların üzerindeki bir tutarı dondurabilirken, hareket ettirilmiş BTC ve ETH fiilen gitmiş sayılıyor; merkezi stablecoin'ler ile yerel varlıklar arasındaki bu yapısal fark olayda net biçimde görülüyor. Ledger'ın sunucularının ele geçirildiği iddiası şimdiye kadar kanıta dayanmıyor, bu yüzden olayı tüm şirketi kapsayan bir FUD olarak okumak hedefi şaşırtır; doğrulanan arıza tek bir bayi hattı ve pratik çıkarım da şu: doğrudan sipariş verin, mühürleri kontrol edin ve gölgesi bile varsa kurtarma ifadenizi değiştirin.