Singapur Polisi: Kurcalanmış Ledger Cüzdanları 3,5 Milyon S$ Kayba Yol Açtı

Kurcalanmış Cihazlarda 3,5 Milyon S$ Kayıp

Singapur'da kripto para kullanıcıları, yerel satıcılardan satın aldıkları kurcalanmış Ledger donanım cüzdanları nedeniyle yaklaşık 3,5 milyon S$ (yaklaşık 2,7 milyon dolar) kaybetti. Singapur Polisi, Çarşamba günü yayımladığı resmî uyarıda, 10 Eylül'den bu yana en az iki olay kaydettiklerini açıkladı. İlk incelemeler, bazı etkilenen cihazların içinde kullanıcının kurtarma ifadesini ya da özel anahtarı, yani blok zincirdeki fonlara erişimi nihai olarak belirleyen kimlik bilgisini yakalayabilen yetkisiz donanım bileşenleri bulunduğunu ortaya koydu. Kurtarma ifadesi, kurulum sırasında oluşturulan tipik olarak 12 ya da 24 kelimelik bir liste olup cüzdanın tamamına ait ana yedek işlevi görüyor. Polis, etkilenen cihazların hassas bilgileri toplayıp yetkisiz transferlere imza atacak şekilde fiziksel olarak modifiye edildiğini belirtti. Saldırgan ifadenin tamamını ele geçirdiğinde cüzdanı başka bir cihazda yeniden oluşturabiliyor ve bakiyeyi sahibinin onumu olmadan çekebiliyor. Donanım cüzdanının temel vaadi, anahtarları internete bağlı bir sıcak cüzdan kurulumunun erişemeyeceği biçimde çevrimdışı tutmaktır; fiziksel bir takılan parça ise korumayı kapalı paketin içinden devre dışı bırakıyor. Polis, Ledger ile temas hâlinde olduğunu, şirketin etkilenen olayları incelerken polis soruşturmasının da sürdüğünü bildirdi. Açıklanan 3,5 milyon S$ yalnızca Singapur'da bildirilen olayları kapsıyor. Bu tutar, zincir üstü analistlerin tehlikeye girmiş cüzdanlara bağlı kayıpları 86 milyon doların üzerinde tahmin ettiği önceki bölgesel hesaptan ayrı duruyor; Ledger bu toplamı da etkilenen kullanıcı sayısını da doğrulayamadığını söylemişti. Şirket kendi sistemlerinin ve doğrudan satış kanallarının doğrulanmış olaylarda payı olmadığı görüşünde, polis ise modifikasyonların dağıtım zincirinin hangi halkasında yapıldığını açıklamadı.

Karpelès'in Paylaşımı Havalimanı Satışını Ortaya Çıkardı

Olay, 9 Ekim'de görünür hale geldi: Endonezya, Malezya ve Filipinler'de faaliyet gösteren yetkili Ledger satıcısı CryptoBilis üzerinden satılan cihazlarla ilgili çalınan fon şikâyetleri birikmeye başlamıştı. Kısa süre sonra eski Mt. Gox CEO'su Mark Karpelès, bir paylaşımında Singapur havalimanından satın aldığı Ledger Flex cihazının içinde casus implant bulunduğunu söyledi. Başka bir kullanıcı da teknoloji perakendecisi Challenger'dan aldığı cihazın kurcalanmış olduğunu öne sürdü ve Ledger'ın kendisine daha sonra yedek bir cihaz gönderdiğini belirtti. Polis dosyasındaki cihazlar Changi Havalimanı'ndaki bir Metapod mağazasına ve VivoCity'deki bir Challenger şubesine kadar izlendi. Ledger, 10 Ekim'de etkilenen bir cüzdanda yetkisiz donanım implantını doğruladı ve aynı satıcıdan satın alınan cihazlarla ilgili diğer ihbarları incelemeye başladı. Şirketin Donjon güvenlik ekibi, bileşenin kurulum sırasında ekranda gösterilen 24 kelimelik kurtarma ifadesini yakalayarak saldırgana LTE hücresel bağlantı üzerinden iletebildiğini tespit etti. İmplant, anahtarları korumak için tasarlanan Secure Element çipinden bağımsız çalışıyor ve cüzdanın işletim sisteminde hiçbir değişiklik gerektirmiyordu. Ledger, 13 Ekim'de Singapur, Malezya, Endonezya, Tayland, Filipinler, Vietnam ve Hong Kong'daki satıcı ve distribütörlerinden inceleme tamamlanana kadar satış ve sevkiyatı durdurmasını istedi. Son 90 gün içinde CryptoBilis'ten cihaz alan müşterilere kullanılmayan cüzdanları kurulumdan geçirmemeleri, aktif kullananlara ise fonlarını yeni oluşturulmuş bir ifadeyle başka bir cüzdana taşımaları tavsiye edildi. Etkiler bölgenin ötesine sıçradı: Alman elektronik perakendecisi MediaMarktSaturn, bir müşterinin cihaz içinde yetkisiz bir bileşen bildirmesinin ardından 13 Ekim'de mağazalarında ve çevrimiçi kanallarında Ledger satışını durdurdu; o olayda fon kaybı yaşanmadı.

İki rapor birlikte okunduğunda tablo netleşiyor: ihlal, Ledger'ın üretim hatlarında veya altyapısında değil, dağıtım katmanında yaşamış. Polis uyarısı Singapur'daki perakende kanalındaki somut kayıpları belgelerken, 86 milyon doları aşan önceki analist tahmini doğrulanmış bir rakam olmasa dahi gerçek kapsamın daha geniş olabileceğine işaret ediyor. Sorun tek üreticiye de indirgenemiyor: Rakip üretici Keystone, 26 Ekim'de bir kimlik doğrulama anahtarı ihlali açıkladı; olay 25.964 müşterinin verisini ifşa etti ve 18.835 cihazın imhasını gerektirdi, ancak kurtarma ifadelerinin ve özel anahtarların güvende kaldığı belirtildi. Donanım cüzdanlarını çevreleyen haftalar süren FUD dalgası artık belgelenmiş bir polis dosyasına ve adı konmuş bir şirket yanıtına dayanıyor. Bölgesel kanal yeniden açılana kadar alıcıların doğrudan satış kanallarını tercih etmesi ve herhangi bir cihazı kurulumdan geçirmeden önce donanım cüzdanı güvenlik tehditlerini gözden geçirmesi akla yakın görünüyor.