Что показало расследование скомпрометированных устройств кошелька Ledger
Ранее в этом месяце криптоиндустрию потрясла крупная кража активов с целого ряда аппаратных кошельков Ledger; по оценкам блокчейн-аналитиков, ущерб составил от $86 до $93 млн. Холодные аппаратные кошельки всегда имели репутацию самых безопасных для хранения активов, однако, подобные кейсы заставляют задуматься, что ничего на 100% безопасного — нет.
Хотя сама технология остается надежной, и производитель подтвердил отсутствие уязвимости в системе Ledger, возможность такого резкого взлома заставила его расследовать ситуацию централизовано. Компания получила несколько зараженных устройств от пользователей и смогла обнаружить точную схему, использованную мошенниками.
Рассказываем подробнее, что случилось.
Детали инцидента с Ledger
Все началось с того, что 9 октября злоумышленники за 47 минут вывели средства более чем с 300 криптокошельков в пяти сетях, и все случаи произошли с участием аппаратных кошельков Ledger, купленных у малайзийского реселлера CryptoBilis.
Продавец реализует устройства по всей Юго-Восточной Азии и является официальным реселлером, однако, уже на следующий день Ledger подтвердила, что как минимум в одном из них купленных там устройств, стоял посторонний чип. Подозрения сразу же пали на самого продавца, но уже через пару дней европейский пользователь из Германии приобрел аналогично скомпрометированное устройство в магазине MediaMarkt, которое поступило туда от другой компании — австрийской Aqipa. Это навело на мысль внедрения в целые цепочки поставок.
В истории отметился и Tether, который успел заморозить около $10 млн в USDT на адресах злоумышленников, остальное разошлось через мосты и миксеры.
Несмотря на сомнения, производитель подтвердил, что сам Ledger не был взломан: защищенный чип и прошивка вообще не были затронуты.
Вместо этого, мошенники разместили внутри устройств неавторизованные импланты и именно так получили доступ к ключам. Преступная группа скупала настоящие устройства, вскрывала их и прятала под экраном отдельную плату с микроконтроллером, eSIM и LTE-модулем, а затем возвращала кошельки в продажу через мелких посредников. Когда владелец настраивал новое устройство, плата считывала с экрана и нажатий кнопок seed-фразу и отправляла ее злоумышленникам по мобильной сети. Те, в свою очередь, имея ключ к активам, сразу же переводили их на свои кошельки.
При этом, снаружи такой кошелек ничем не отличался от оригинала, встроенная проверка подлинности также проходила успешно, поскольку заводской чип оставался нетронутым, и заметить подмену можно было, только вскрыв корпус. Рядовые пользователи редко нарушают целостность устройств, поэтому заметить модификации фактически невозможно при обычном использовании.
Что показало расследование
Основной удар пришелся на покупателей CryptoBilis, именно они стали целью краж. Компания Ledger назвала это крупнейшим расследованием в своей истории и заявила, что группа потратила миллионы на подготовку, логистику и отмывание средств.
В результате, сейчас продажи кошельков приостановлены в шести странах Юго-Восточной Азии и в Гонконге, а авторизованным продавцам запретили выставлять устройства на витрины и перепродавать возвраты. Интересный факт, что по данным Chainalysis, одним из крупнейших пострадавших оказался мошенник, который потерял около $4,8 млн, заработанных на фейковых «онлайн-подработках».
При этом, и обычные пользователи тоже потеряли существенные суммы, вернуть которые практически невозможно. Ledger рекомендует не активировать устройства, купленные у CryptoBilis, а также перевести активы с уже активированных на другие. Компенсации потерь в таких случаях не предусмотрены, что является одним из главных недостатков некастодиального хранения средств.
В итоге, крипта продолжает сочетать в себе скорость, в некоторой степени анонимность и слабую защищенность пользователя. Покупатели полагались на известного провайдера кошельков с хорошей репутацией, а оказались жертвами крупнейшей атаки. Винить при этом можно только преступную группировку, но кто именно ответственный до сих пор неизвестно и понесут ли они какое-то наказание также.
