Ledger: имплант в кошельках CryptoBilis передавал сид-фразы по LTE

Вот последние новости с рынков цифровых активов: Аппаратный имплант, найденный в криптокошельке одного из пострадавших клиентов реселлера CryptoBilis, перехватывал фразу восстановления и передавал ее злоумышленникам через мобильную сеть LTE. Об этом говорится в обновлении Ledger по итогам анализа команды безопасности. По данным исследователей, имплант представлял собой отдельный компонент, который находился внутри корпуса кошелька и считывал информацию с экрана.

Во время первоначальной настройки устройство отображало 24 слова сид-фразы, необходимые для восстановления доступа к активам. Когда он распознавал эти экраны, встроенный микроконтроллер декодировал слова. Затем данные уходили злоумышленникам по LTE через заранее подготовленную eSIM.

Динамика рынка

С сид-фразой атакующий мог восстановить кошелек на другом устройстве и вывести средства без физического доступа к оригиналу. При этом модуль не изменял защищенный чип Secure Element и операционную систему Ledger, а также не влиял на транзакции и подписи, заявили разработчики. Ранее компания заявила, что ее инфраструктура, системы и сервисы не были скомпрометированы.

Наличие импланта Ledger подтвердила 10 октября. Пока все подтвержденные случаи потери средств связаны с устройствами, проданными через CryptoBilis. Однако компания также изучает сообщения об имплантах в устройствах, купленных в других местах.

В частности, пользователь X под ником Johannes заявил, что нашел посторонние кабели и модули сотовой связи в двух устройствах. Он купил их в разных магазинах европейской сети MediaMarkt. UPDATE: I can confirm that the Ledger supply chain is compromised in Europe as well.

Влияние на рынки

@Ledger should initiate an immediate product recall to protect users. I just purchased a second device from a different Mediamarkt location today, recorded the unboxing process, and discovered spyware once again (video linked in the second tweet). The device was compromised in the exact same manner, featuring identical modifications (such as additional cables and an LTE module).

This indicates its a widespread issue rather than an isolated incident, potentially affecting Ledger inventory across MediaMarkt and Saturn stores throughout Europe (comprising over 1,000 stores across 11 countries). My initial hypothesis was that these devices were returns that looked unopened to the employees and were just sold again as new however, a MediaMarkt employee confirmed that the device I purchased was not a return, and that returned Ledgers are sent directly back to the manufacturer rather than resold. Store records show the inventory originated from Aqipa GmbH.

While Ledger’s CTO was unsure if Aqipa serves as the direct distributor between Ledger and MediaMarkt, it appears to be the case. Given that Aqipa distributes across Europe, any physical retail store receiving stock through them may be at risk. I sent the first ledger to mark and the second one is going to ledger now, so that they can analyse it.

Криптовалютные рынки внимательно следят за этим событием, а инвесторы оценивают его возможное влияние на цены.