MediaMarkt Saturn, Almanya'daki implant ihbarının ardından Ledger donanım cüzdanı satışlarını durdurdu

MediaMarkt Saturn, Ledger cihazlarını raflardan çekti

Avrupa'nın büyük elektronik perakendecilerinden MediaMarkt Saturn, Ledger donanım cüzdanı satışını faaliyet gösterdiği tüm pazarlarda durdurdu. Şirket, cihazları hem fiziksel mağazalardan hem de çevrim içi platformlardan aynı anda kaldırdı. Ledger, konuyu 13 Ekim'de yayımladığı açıklamayla doğruladı ve perakendecinin, Almanya'da bir müşterinin satın aldığı cihazın içinde implant bulduğunu bildirmesinin ardından şirketin onayıyla harekete geçtiğini belirtti. Şirket sözcüsü, Ledger'ın önlem olarak tüm ülke bazlı satış listelerinden çıkarıldığını söyledi.

@Ledger · X gönderisi

13 Ekim'de yayımladığı açıklamayla.

X'te görüntüle

Almanya'daki ihbar, Johannes adıyla paylaşım yapan bir kullanıcıdan geldi. Kullanıcı, 12 Ekim Pazartesi günü farklı MediaMarkt mağazalarından satın aldığı iki Ledger cüzdanının her birinde izinsiz bir kablo ve bir hücresel iletişim modülü bulunduğunu bildirdi. Ledger, Almanya'daki olayda fon kaybına dair herhangi bir ihbar almadığını ve altyapısının, sistemlerinin ya da hizmetlerinin ele geçirilmesine ilişkin hiçbir belirti bulamadığını açıkladı. Şirketin destek ekibi müşteri ihbarlarını incelerken, Donjon güvenlik araştırma ekibi, firmanın donanım ve yazılım testlerinden sorumlu iç birimi, soruşturma kapsamında teslim edilen cihazları inceleyecek. Açıkta kalan sorular da yok değil: Ledger satışların ne zaman yeniden başlayabileceğini, kaç cihazın inceleme gerektirebileceğini, hangi modelin etkilendiğini ya da değişikliğin nasıl yapıldığını henüz açıklamadı. Şirket, Almanya'daki olayın diğer şüpheli müdahale iddialarıyla bağlantılı olup olmadığını da doğrulamadı. Açıklamada çevrim içi dolaşan doğrulanmamış iddialara karşı dikkat çekilirken, cihazından endişelenen herkesin resmi destek hattına başvurması önerildi. Ledger, dolandırıcıların bu durumu istismar edip cüzdan sahiplerinden 24 kelimelik kurtarma ifadelerini isteyebileceği uyarısını yineledi; personelinin asla müşterileri aramayacağını ya da bu kelimeleri istemeyeceğini belirtti ve soruşturma ilerledikçe yeni bilgiler yayımlayacağını söyledi.

CryptoBilis'teki implant

Almanya'daki ihbar, Ledger'ın Güneydoğu Asya'daki bir satıcısı olan CryptoBilis üzerinden satılan cihazlar için açtığı daha geniş kapsamlı tedarik zinciri soruşturmasının yanında duruyor. CryptoBilis müşterilerinden gelen kripto kaybı şikâyetleri şirkete 9 Ekim Cuma günü ulaşmaya başladı; Ledger 10 Ekim Cumartesi günü etkilenen bir cihazın içinde implantın varlığını doğruladı. Şirketin 13 Ekim'de yayımladığı teknik bulgular, izinsiz bir bileşenin cihaz kurulumu sırasında ekranda gösterilen kelimeleri okuyup bunları bir LTE hücresel bağlantıyla dışarı gönderdiğini anlatıyor. İmplant, ayrı bir mikro denetleyiciyi bir eSIM ile eşleştirerek Ledger kurtarma anahtarını ele geçiriyor; Secure Element'e, işletim sistemine ya da işlem imzalarına hiç dokunmuyor, yani cihaz üzerinde yapılan ödemeler asla değiştirilmiyor. Zincir üstü analiz şirketi Bitquery, 12 Ekim'de yayımladığı bir analizde 324 cüzdan boyunca yaklaşık 102 milyon dolar şüpheli kayıp tahmin etti. Ledger bu rakamı, mağdur sayısını ya da her şüpheli işlemin modifiye edilmiş bir cihazdan gelip gelmediğini doğrulamadı. Şirketin şimdiye kadar doğruladığı şey şu: bugüne kadar kontrol ettiği her fon kaybı, CryptoBilis üzerinden satın alınan cihazlara dayanıyor; başka kanallardan gelen imzalayıcılarla ilgili doğrulanmış bir hırsızlık yok. Ledger, kapatılmamış CryptoBilis cihazına sahip müşterilere bunları kurmamaları yönünde talimat verdi. Olası etkilenmiş bir cüzdan kullanan herkesin fonlarını, tamamen yeni kelimelerle kurulan yeni bir cihaza taşıması gerektiği vurgulandı; mevcut bir ifadenin geri yüklenmesi, orijinal ifade bir kez sızdıktan sonra hiçbir koruma sağlamıyor. Soruşturma artık CryptoBilis'in ötesine, diğer satış kanallarına uzanıyor. 13 Ekim'de Mt. Gox'un eski genel müdürü Mark Karpeles, Singapur havalimanından satın aldığı bir Ledger Flex'in içinde casus cihaz bulduğunu söyledi; Ledger bu iddiaya doğrudan yanıt vermek yerine soru soranları CryptoBilis güncellemelerine yönlendirdi. Güvenlik araştırmacıları ayrıca 11 Ekim Pazar günü Google arama sonuçlarında sahte Ledger siteleri tespit etti; ancak Ledger bu kimlik avı kampanyalarının iki soruşturmayla da bağlantılı olmadığını bildirdi.

Soğuk depolama varsayımı sınava giriyor

İki olayı birleştiren şey perakende kanalı, Ledger'ın kendi sistemleri değil. Her iki olay da Ledger altyapısına bir sızmayı içermiyor; ama her ikisi de üçüncü bir taraf üzerinden satın alınan bir soğuk cüzdanın, alıcının inceleyemeyeceği bir risk taşıdığını gösteriyor. Tasarım, özel anahtarın asla mühürlü cihazdan çıkmayacağı varsayımına dayanıyor; kurcalanmış bir cihaz bu varsayımı tam satış noktasında kırıyor. Donjon'un bulguları, CryptoBilis implantının işlem imzalarını değiştirmeden çalıştığını doğruladı; bakiyeler fonlar hareket edene kadar normal görünüyordu. MediaMarkt Saturn'deki ortak satış durdurma kararı, Almanya'da herhangi bir fon kaybı doğrulanmadan önce alındı; bu da şirketin çözülmemiş sorunun perakende kanalının bütünlüğü olduğunu değerlendirdiğini gösteriyor. Şirket, soruşturma ilerledikçe bulguları yayımlamayı taahhüt etti.