Taylor Monahan, Yeni Ledger Kayıp Bildirimlerini Panik Kaynaklı Dolandırıcılıklara Bağladı

Panik Dolandırıcılıkları, Cihaz Boşaltmaları Değil

Güvenlik araştırmacısı Taylor Monahan, son günlerde kendisine ulaşan Ledger kaynaklı kayıp bildirimlerinin büyük bölümünün, CryptoBilis skandalının merkezindeki takılmış bileşenlerden değil, panik halindeki cihaz sahiplerini hedefleyen dolandırıcılıklardan geldiğini söylüyor. Ortak sunduğu Uneasy Money podcastinin 14 Ekim Çarşamba günü yayımlanan bölümünde konuşan Monahan, kendisine ulaşan vakaların, CryptoBilis üzerinden satılan cüzdanlarda bulunan hücresel bileşenin yol açtığı Ledger boşaltmaları olmadığını belirtti. Monahan bir hafta boyunca olay bildirimlerini topladı, doğrudan Ledger ile birlikte çalıştı ve başka bir donanım cüzdanı üreticisi olan Trezor'dan da destek gördü; ancak vaka sayısını açıklamadı. Dikkate değer şey, listediği saldırı yollarının çeşitliliği: kullanıcılar Ledger Live'ı kurmak için arama yaptığında karşına çıkan sahte Google reklamları, taklit uygulamalar, kimlik avı siteleri, sahipleri korkutmak için yazılmış e-postalar ve doğrudan kurbanları arayan telefon görüşmeleri. Ledger Live, şirketin hesapları yönetmek için sunduğu yardımcı uygulama olduğu için arama sonuçları da reklam dolandırıcılıklarının yinelenen hedefi haline geliyor. Monahan'a göre bu yolların her biri, insanlar panik yaptığı için orijinal hırsızlığın üzerine yeni kayıplar ekliyor; bu da FOMO ile alım yapmanın korku kaynaklı aynadaki karşılığı. Tavsiyesi net: panik yapmayın. Bu yolların hiçbiri cihaza fiziksel erişim gerektirmiyor ve tam da bu yönüyle onları çip yerleştirme vakasından ayırıyor. İncelediği bildirimlerdeki etkilenen cihazların Haziran ile Ekim başı arasında satın alındığını da ekledi. Monahan kendi Ledger ve Trezor donanımlarını kullanmaya devam ediyor, bundan sonra bu tür cihazları nereden aldığına daha çok dikkat etmeyi planlıyor ve varlıklarını birden çok cihaz, konum ve kâğıt yedek arasında dağıtarak tek bir arızanın her şeyi silmesini engelliyor. Ortak sunucu Austin Griffith ise alternatif olarak çoklu imza (multisig) düzenlemelerine işaret etti; bu düzende bir donanım cüzdanı, gerekli imzacıların yalnızca biri konumunda ve sızdığında ya da kaybolduğunda değiştirilebiliyor.

102 Milyon Dolarlık CryptoBilis İmplant Bilançosu

Bununla birlikte, altta yatan olayın kendisi hâlâ tam olarak ölçülmüş değil. Ledger, 13 Ekim Salı günü yaptığı açıklamada, CryptoBilis cüzdanlarının içine gizlenmiş yetkisiz bir bileşenin cihaz ekranında görüntülenen 24 kelimelik Ledger Recovery Key'i okuduğunu ve bu anahtarı hücresel bağlantı üzerinden dışarıya ilettiğini duyurdu. Kurtarma ifadesi bir cüzdanın tam ana anahtarıdır: bu 24 kelimeyi elinde bulunduran herkes hesapları yeniden oluşturabilir ve içindeki her varlığı hareket ettirebilir. Şirket, doğrulanmış her kaybın CryptoBilis üzerinden satılan bir cihaza, yani birinci taraf mağazasına değil, dayandığını belirtti; toplam zarar büyüklüğünü ya da yetkisiz parçayı taşıyan ünite sayısını ise açıklamadı. Zincir üstü veriler, Bitquery'nin sayımına göre 324 cüzdanıdan 102,0 milyon dolar çalındığını gösteriyor; bu, araştırmacıların tuttuğu bir kayıt, Ledger'in doğruladığı bir toplam değil. Taklit girişimler de şimdiden dolaşımda. Blok zincir güvenlik firması SlowMist, 16 Ekim Cuma günü Ledger aygıt yazılımı güncellemesi görünen ve olayı yem olarak kullanan bir kimlik avı kampanyasına karşı uyarıda bulundu; bu uyarı, Monahan'ın anlattığı vakalardan ayrı duruyor ve iki taraf arasında bir bağlantı henüz duyurulmuş değil. SlowMist'in uyarısı, Ledger'in destek paylaşımından iki gün sonra geldi. Eylül ayında Zscaler ThreatLabz, sahte Google reklamları çalıştırarak Ledger kullanıcılarını kurtarma ifadelerini toplayan sahte bir sayfaya yönlendiren ayrı bir operasyon belgelemişti; burada da Monahan'ın vakalarıyla bir bağlantı bildirilmedi. Ledger destek ekibi sınırı 14 Ekim Çarşamba günü X'te yaptığı paylaşımla çizdi: şirket asla müşterileri aramayacak, doğrudan mesaj göndermeyecek ya da 24 kelimelik ifadeyi istemeyecek.

Tek Açık, İki Kayıp Katmanı

İki kayıt yan yana okunduğunda, iki katmanlı bir kayıp olayı ortaya çıkıyor: implantlı cihazlardan gelen doğrudan boşaltmalar ve ardından ilk dalganın yarattığı korkudan beslenen ikinci bir hırsızlık dalgası. Birincil kayıtta hâlâ şirket tarafından doğrulanmış bir toplam yok; 102 milyon dolarlık rakam Bitquery'nin sayımı ve Ledger yalnızca doğrulanmış her kaybın CryptoBilis alımına dayandığını teyit etti. Ledger'in değerlendirmesi tamamlanana kadar pratik savunmalar değişmiyor: kurtarma ifadesi isteyen her telefon aramasını, mesajı ve reklamı bir saldırı olarak görüp uzak durun, donanımı yalnızca birinci taraf kanallarından satın alın ve tek bir imzacının ele geçirilmesinin ölümcül olmaması için çoklu imza ya da Tangem Mobil Cüzdan gibi ek bir cihaz düşünün. Kaçınılması gereken kripto dolandırıcılıkları üzerine rehberimiz bu kırmızı bayrakları tek tek inceliyor.