Wallet hardware Ledger manomessi nel Sud-Est asiatico, rubati 102 milioni di dollari

All’inizio di ottobre, alcuni clienti nel Sud-Est asiatico hanno scoperto che le criptovalute erano sparite dai wallet hardware Ledger che sembravano funzionare normalmente. I clienti avevano acquistato i dispositivi tramite CryptoBilis, rivenditore autorizzato attivo in Malaysia, Indonesia e Filippine. Ledger ha confermato la presenza di un impianto non autorizzato nel dispositivo di un cliente colpito il 10 ottobre. Tre giorni dopo, il team di sicurezza di Ledger ha spiegato che l’elettronica aggiunta copiava le 24 parole di recupero del wallet durante la configurazione e le trasmetteva tramite connessione mobile. Il chip protetto, il sistema operativo e le firme delle transazioni sono rimasti invariati. Bitquery stima che gli attaccanti abbiano rubato 102 milioni di dollari da 324 wallet su sei reti. Ledger non ha confermato tale totale né stabilito che ogni perdita coinvolgesse un dispositivo impiantato. I wallet hardware proteggono le chiavi private usate per autorizzare le transazioni, mentre le criptovalute restano sulle reti blockchain. Un wallet firma una transazione approvata senza fornire le chiavi private al computer collegato. Durante la configurazione, un wallet Ledger mostra 24 parole di recupero che possono ricreare il wallet e le sue chiavi se il dispositivo viene smarrito. Ai proprietari viene detto di annotare la frase di recupero, tenerla offline e non condividerla mai. Chiunque possieda la frase di recupero può ripristinare gli stessi account su un altro dispositivo senza essere bloccato dal PIN del wallet originale. Ledger ha affermato che un piccolo controller intercettava le informazioni inviate al display, ricostruiva la frase di recupero e la trasmetteva via LTE utilizzando una SIM incorporata. L’impianto non doveva compromettere il chip protetto né indurre il proprietario a inserire le parole di recupero su un sito falso. Un proprietario poteva completare la configurazione e approvare transazioni legittime mentre un attaccante manteneva un accesso equivalente ai fondi. Una passphrase aggiuntiva opzionale può proteggere gli account creati con quella passphrase, ma le sole parole di recupero sono sufficienti per gli account ordinari. Il Genuine Check di Ledger verifica che un dispositivo contenga un Secure Element autentico, il chip responsabile delle operazioni di sicurezza sensibili. Genuine Check può identificare un chip contraffatto ma non può ispezionare ogni componente né provare che nulla sia stato aggiunto dopo la produzione. La documentazione di sicurezza di Ledger avverte che le modifiche fisiche possono sfuggire al rilevamento quando il chip originale rimane intatto. Tibane Labs ha esaminato dispositivi Ledger Nano X modificati contenenti elettronica che monitorava i segnali tra il chip sicuro e lo schermo. Un esemplare più sofisticato nascondeva una scheda personalizzata sotto il display e manteneva la batteria originale, impedendo a un’ispezione superficiale di rivelare la modifica. Tali esemplari erano separati dall’indagine CryptoBilis e non dimostrano che siano stati coinvolti gli stessi dispositivi o attaccanti. Chip autentici, firme corrette e funzionamento normale non provano che un intero dispositivo sia esente da manomissioni. Ledger raccomanda di acquistare tramite venditori autorizzati, rendendo il caso CryptoBilis una questione di fiducia lungo la catena di distribuzione piuttosto che semplicemente di prodotti contraffatti. In un aggiornamento del 15 ottobre, Ledger ha affermato che gli attaccanti hanno acquistato dispositivi genuini nell’arco di diversi mesi, li hanno aperti, installato componenti personalizzati e li hanno restituiti alla distribuzione tramite rivenditori del Sud-Est asiatico. Ledger ha descritto l’incidente come un attacco al canale di distribuzione. Ledger ha detto che i campioni controllati nei magazzini e nei negozi non mostravano manomissioni. Ledger ha chiesto ai rivenditori e distributori autorizzati nel Sud-Est asiatico e a Hong Kong di sospendere le vendite. Ledger sta rafforzando i controlli sui prodotti resi e chiede ai venditori di tenere i dispositivi fuori dagli scaffali espositivi. MediaMarktSaturn, in Germania, ha sospeso le vendite Ledger dopo la segnalazione di un dispositivo manomesso. Trezor si è mossa per ridurre la rete di rivenditori del produttore rivale nonostante non abbia trovato prove che i prodotti Trezor fossero compromessi. Bitquery ha scoperto che 25 wallet Tron hanno firmato la stessa approvazione entro tre secondi, uno schema coerente con qualcuno che controllava già più account. I registri blockchain non possono identificare chi ha aperto le confezioni, installato componenti o restituito un dispositivo a un negozio; tali domande richiedono esami hardware e registri di distribuzione. Acquistare nuovo hardware e inserire le vecchie 24 parole di recupero ricrea lo stesso rischio perché la vecchia frase ripristina le stesse chiavi. Le risorse devono essere spostate su account generati da una nuova frase di recupero su un dispositivo fidato, utilizzando indirizzi e istruzioni verificati con attenzione. Ledger ha detto agli acquirenti CryptoBilis di non inizializzare dispositivi non usati e ha consigliato ai clienti che avevano già completato la configurazione di spostare i fondi su un nuovo firmatario con una nuova frase. I proprietari colpiti dovrebbero usare i canali di supporto ufficiali, preservare le prove potenzialmente rilevanti e non dare mai le parole di recupero a qualcuno che afferma di aiutare a recuperare il denaro. L’incidente mostra che la sicurezza dei wallet hardware si estende attraverso schermo, custodia, imballaggio e catena di distribuzione fino a quando compaiono per la prima volta le parole di recupero. L’autocustodia elimina la necessità di fidarsi di un exchange per detenere le chiavi private, ma i proprietari devono comunque fidarsi dell’hardware che crea e visualizza tali chiavi.