Ledger, 102 Milyon Dolarlık Cüzdan Soygununun Ardından Güneydoğu Asya ve Hong Kong'da Satışları Durdurdu

Güneydoğu Asya'da Satış Tamamen Durduruldu

Ledger, Endonezya, Singapur, Tayland, Filipinler, Vietnam, Malezya ve Hong Kong'daki distribütörlerine ve satıcılarına, donanım cüzdanlarının satışını derhal durdurma, araştırma tamamlanana kadar da cihazları fiziksel raflardan ve çevrim içi mağazalardan çekme talimatı verdi. Bu emir, daha önce yalnızca CryptoBilis adlı distribütörü kapsayan satış durdurma kararını genişletiyor. Şirketin hâlâ tedarik zincirinin hangi halkasında cihazlara müdahale edildiğini tespit edemediği biliniyor. Ledger bölgesel askıyı önleyici nitelikte görüyor: bugüne kadar şirket içi sistemlerine, yazılımına, aygıt yazılımına (firmware) ya da doğrudan yürütülen resmi satış kanallarına yönelik bir sızma belirtisi bulunmadığını belirtiyor.

Şirketin doğruladığı nokta, ele geçirilmiş cihazların nasıl çalıştığı. Yetkisiz devre kartları, cihazın gövdesi ve ekranın altına gizlenmiş. Alıcı bir cihazı ilk kez kurduğunda ve ekranda 24 kelimelik Ledger recovery key görüntülendiğinde, implantın içindeki bir mikrodenetleyici ekrandaki metni okuyor ve önceden yapılandırılmış bir eSIM ile donatılmış LTE modülü üzerinden dışarı aktarıyor. Kurtarma anahtarını ele geçiren saldırganlar, cüzdanı kendi kontrollerindeki donanımda yeniden inşa edebiliyor; kurbanın cihazına ikinci kez dokunmak ya da kimseyi bir işlem imzalamaya ikna etmek gerekmiyor. İmplant, Secure Element çipini, Ledger'ın işletim sistemini ya da işlem imzalama sürecini aşamıyor; bu yüzden kurcalanmış cihazlar Genuine Check doğrulamasından geçebiliyor. Söz konusu test güvenlik çipinin özgünlüğünü kanıtlıyor ama çipin çevresine eklenen devreyi görmüyor. Zarar büyüyor: zincir üstü analitik firması Bitquery'nin 13 Ekim itibarıyla bildirdiği rakama göre, Tron, Bitcoin, Ethereum, Solana, BNB Chain ve Polygon ağlarında toplam 324 cüzdandan yaklaşık 102 milyon dolar çekildi; bu tutar, önceki 86 milyon ile 93 milyon dolar arasındaki tahminlerin üzerine çıktı. Tether, 20 adres üzerinde yaklaşık 10 milyon dolar değerinde USDT dondurdu; kabaca 84 milyon dolar zincir üstünde takip edilebilir durumda. Saldırganlar yaklaşık 6.840 ETH'yi Tornado Cash adlı bir crypto mixer üzerinden taşıdı, diğer fonları Zcash ve THORChain gibi bir atomic swap servisine yönlendirdi; bu adımlar izleme ve geri kazanma çabasını güçleştiriyor. Ledger mağdur sayısını ya da nihai toplamı doğrulamamış durumda; 102 milyon dolar bağımsız bir zincir üstü tahmini olarak duruyor.

İzin 9 Ekim'de başlayan bir takiple geldi: o tarihte çalılan fonların, CryptoBilis üzerinden satın alınan cihazlarla oluşturulan cüzdanlara bağlandığı bildirildi. Ardından gelen günlerde, Avrupa pazarları dahil başka bölgelerdeki kullanıcılar, sıradan perakende kanallarından satın aldıkları cihazların da kurcalanmış olabileceğini aktardı. Ledger, Salı günü X üzerinde yayımladığı güncellemede soruşturmanın sürdüğünü, amacın cihazların kimlerin elinden geçtiğini ve değişikliğin tedarik zincirinin hangi aşamasında yapıldığını belirlemek olduğunu söyledi. Satış durdurma emri, adı geçen yedi pazardaki satıcıları kapsıyor ve CryptoBilis'e satış ile sevkiyatı bırakma yönündeki önceki talebin ötesine geçiyor. Şirket, altyapısının, iç sistemlerinin, servislerinin ya da resmi doğrudan satış kanallarının ihlal edildiğine dair kanıt bulunmadığını, şimdiye kadar doğrulanan olayların Güneydoğu Asya ile sınırlı kaldığını ve diğer bölgelerde satın alınan cihazlar arasında hırsızlıkla bağ kurulamadığını açıklıyor. Soru işaretleri de sürüyor: tam bulgular paylaşılmadı, kaç cihazın etkilendiği doğrulanmadı, sorunun üretimde, dağıtımda mı yoksa perakendede mi olduğu belirtilmedi. Tüketici şikâyetleri baskıyı artırıyor. Zincir üstü araştırmacı 0xQuit, kurcalanmış cihazların CryptoBilis dışındaki kanallarda da ortaya çıkmış olabileceğini öne sürdü ve sahipleri cihazlarını incelemeye çağırdı; Ledger bu görüşü doğrulamadı ve mühürlü bir cihazı sökmek resmi bir tespit yöntemi değil. Bir kullanıcı, Haziran sonunda Singapur Changi Havalimanı'ndaki bir mağazadan Ledger Flex satın aldığını, kutusunu mühürlü tuttuğunu ama içeride eksiksiz bir anten, pil, eSIM ve LTE modülü bulduğunu aktardı. Singapur merkezli bir avukat, büyük bir yerel elektronik perakendecisinden alındığı ileri sürülen bir cihaza atıf yaparak şirketten standart destek talebi biçiminden daha net ve hızlı tüketici rehberliği istediğini kamuoyunda paylaştı. Ortak bir tazminat planı henüz duyurulmadı.

@Ledger · X gönderisi

Güncellemede.

X'te görüntüle

Neden Tek Bir Parti Değil, Bütün Bir Bölge

Değerlendirmemiz şöyle: tek bir distribütörden yedi pazara geçiş, Ledger'ın kurcalama noktasını hâlâ bulamadığını gösteriyor. Sorunlu bir parti tespit edebilen bir şirket o partiyi geri çağırır, bir bölgenin tamamını değil. Daha derin sorun Genuine Check'in kör noktası: güvenlik çipinin kriptografik doğrulaması, çevresine eklenen devreyi göremiyor; bu yüzden fiziksel inceleme tüketici tarafında güvenilir tek sınama yöntemi olarak kalıyor. Mühürsüz sahipleri cihazlarını açmamalı. Kurulum yapmış kullanıcılar varlıklarını, orijinal 24 kelimeyi geri yüklemek yerine yeni oluşturulmuş bir anahtarla temiz bir cihaza taşımalı. Bu anahtarı telefon ya da özel mesaj yoluyla isteyen herkes dolandırıcılık girişiminde bulunuyor; Ledger bu yolla asla anahtar istemediğini söylüyor. Yeni bir cihaz kuracak okuyucular, Ledger donanım cüzdanıyla Cardano (ADA) stake etme rehberimize de başvurabilir.