„Ledger“ piniginės implantas atskleidžia „Guine Check“ ribas

Ledger patvirtino neteisėtą aparatinės įrangos implantą vieno paveikto kliento piniginėje, nes nepriklausomi tyrėjai apskaičiavo 93,2 mln. USD įtariamų kriptovaliutų vagysčių.

Spalio 10 d. pranešime aparatinės įrangos piniginės gamintojas teigė, kad atradimas buvo susijęs su įrenginiu, priklausančiu vienam iš paveiktų vartotojų. Ji pridūrė, kad CryptoBilis, įgaliotasis perpardavėjas, veikiantis Pietryčių Azijoje, sustabdė visų aparatinės įrangos piniginės atsargų pardavimą, kol bus baigtas tyrimas.

Tyrimas prasidėjo po to, kai klientai pranešė praradę kriptovaliutą, įsigiję Ledger įrenginius iš perpardavėjo. Ledger nepasakė, kiek prietaisų buvo modifikuota, ir nenustatė, kad implantas sukėlė visus praneštus nuostolius.

Ledger teigė nerado jokių požymių, kad jo saugumo infrastruktūra, sistemos ar paslaugos būtų pažeistos.

Kodėl implantuota piniginė gali išlaikyti Ledger autentišką patikrinimą

Buvęs Mt. Gox vykdomasis direktorius Markas Karpelèsas nagrinėjo įtartinus Ledger Nano X įrenginius per Tibane Labs, kuri užfiksavo tris Ledger Nano X implantų kartas, skirtas perimti atkūrimo frazes. Jo ataskaitoje apjungiamas Joe Grando ankstesnio implanto nugriovimas su dviem Tibano mėginiais, kuriuos ištyrė rugsėjį.

Remiantis tyrimu, implantai veikia stebint elektroninius signalus, siunčiamus tarp piniginės saugaus elemento ir jo ekrano.

Pradinės sąrankos metu Ledger įrenginys generuoja 24 žodžių atkūrimo frazę, kuri leidžia jo savininkui atkurti prieigą prie kriptovaliutų atsargų. Nors žodžiai kilę iš saugios lusto, jie turi pereiti per įrenginio ekrano grandinę, kad būtų rodomi ekrane.

„Tibane Labs“ nustatė, kad modifikuotuose įrenginiuose buvo papildomų mikrovaldiklių, galinčių nuskaityti ekrano duomenis, atkurti atkūrimo žodžius ir perduoti juos korinio ryšio modemais su SIM komponentais.

Todėl užpuolikai galėjo gauti kredencialus, reikalingus aukos piniginei atkurti nuotoliniu būdu, nepavogdami fizinio įrenginio ar nepažeisdami saugios Ledger lusto.

Ankstesnėse versijose buvo naudojami matomi laidai ir mažesnės atsarginės baterijos, kad tilptų papildoma elektronika. Rugsėjo mėn. ištirtoje pažangesnėje versijoje buvo po ekranu paslėpta tinkinta plokštė su LTE modemu, antena ir komponentais su pašalintais identifikavimo ženklais.

Ši versija išsaugojo originalią bateriją ir galėjo atrodyti normali net atidarius jo korpusą.

„Ledger“ saugos dokumentuose teigiama, kad „Genuine Check“ patikrina saugaus elemento autentiškumą, bet negali aptikti neteisėtų fizinių pakeitimų, pvz., šnipinėjimo implantų, jei tas elementas lieka nepažeistas.

Du Tibane egzemplioriai buvo įsigyti per Japonijos prekyvietes, o ne iš CryptoBilis. Jos ataskaitoje nenustatytas dizainas, naudojamas su perpardavėju susijusioms vagystėms, o Ledgeris viešai neaprašė rasto implanto.

„Tibane Labs“ perspėjo, kad atkūrimo frazė, rodoma pažeistame įrenginyje, turėtų būti traktuojama kaip atskleista. Pakeitus įrenginį pakartotinai naudojant šią frazę, užpuolikas galėtų pasiekti piniginę; lėšos turi persikelti į piniginę su nauja fraze, sugeneruota patikimame įrenginyje.

Tyrėjai skelbia atskirus nuostolių įvertinimus, viršijančius 90 mln

„Galaxy Digital“ tyrimų vadovas Alexas Thornas spalio 9 d. pranešė apie 91 mln. USD per 477 „Bitcoin“, „Ethereum“ susijusių tinklų ir „Tron“ adresus.

Pagal jo analizę Tronui buvo priskirta 64,5 mln. USD iš įtariamų vagysčių, įskaitant maždaug 64,3 mln. USD.

Bitcoin sudarė dar 17,7 milijono dolerių, ty maždaug 213 BTC, o Ethereum ir susiję tinklai – 8,8 milijono dolerių.

Atskiras „blockchain“ analizės įmonės „Bitquery“ tyrimas, atnaujintas spalio 11 d., apskaičiavo maždaug 93,2 mln. USD įtariamų vagysčių iš 315 piniginių šešiose blokų grandinėse. Dviejuose įvertinimuose naudojami skirtingi adresų rinkiniai ir metodai; nei skaičiuojamas sugadintų įrenginių skaičius.

„Bitquery“ taip pat nustatė operacijų modelius, leidžiančius manyti, kad užpuolikai sugebėjo valdyti kelias pinigines prieš atlikdami suderintą išėmimo operaciją spalio 9 d.

Jos analizė parodė, kad 25 „Tron“ piniginės tą patį patvirtinimą pasirašė per tris sekundes, todėl per akimirką buvo galima atsiimti maždaug 29 mln. USD USD.

Įmonė taip pat nustatė nedideles bandomąsias operacijas, atliktas maždaug dvi savaites iki didesnių vagysčių, o tai rodo, kad pasiruošimas prasidėjo gerokai anksčiau, nei vartotojai pranešė apie trūkstamus lėšas.

Spalio 11 d. atnaujinime „Bitquery“ apskaičiavo, kad „Tether“ užšaldė maždaug 10 mln. USD pavogtų USDT. Ji taip pat nustatė 5,35 mln. USD USDC, kurią emitentas „Circle“ galėjo įšaldyti po to, kai lėšos buvo perkeltos per „Tornado Cash“ ir „Zcash“.

„CryptoQuant“ analitikas „Darkfost“ pasiūlė ištirti kitus regioninius perpardavėjus dėl galimo poveikio tiekimo grandinėje, tačiau pripažino, kad susirūpinimas buvo spekuliatyvus ir nepagrįstas patvirtintais įrodymais.

Ledger teigė, kad susisiekia su paveiktais vartotojais, derina veiksmus su valdžios institucijomis ir kuria patobulintą apsaugą nuo klastojimo.

Ji patarė klientams, įsigijusiems įrenginius iš CryptoBilis, neinicializuoti nenaudojamų piniginių. Tie, kurie jau baigė sąranką, turėtų apsvarstyti galimybę perkelti savo turtą į patikimą įrenginį naudodami naujai sugeneruotą atkūrimo frazę.