Хакеры внедрили бэкдоры в криптокошельки Ledger, проданные через официальных реселлеров
Who Is Planting Backdoors in Ledger Crypto Wallets?
В кошельках Ledger, купленных у авторизованных продавцов в Юго-Восточной Азии и Европе, обнаружены аппаратные импланты, которые перехватывают seed-фразы и передают их злоумышленникам. В результате скоординированной кражи пострадали около 315 аккаунтов, потеряно примерно $102 млн в Bitcoin, Ethereum и Tron. Импланты эволюционировали от кустарных проводов до гибких плат, что указывает на целенаправленную атаку на цепочку поставок.
«Это указывает на широкомасштабную проблему, а не на изолированный инцидент, потенциально затрагивающий запасы Ledger в магазинах MediaMarkt и Saturn по всей Европе».
- acstapleton
Глядя на изображения здесь, команда Ledger вообще не предприняла никаких попыток обеспечить безопасность. Они используют MCU (ST MCU с ядром Cortex M4), у которого нет никаких значимых функций безопасности (то есть нет secure boot, нет разделения между доверенным и пользовательским режимами работы — функции, которые поддерживает более новое ядро Cortex M33 и реализуют новые компоненты ST). Таким образом, невозможно гарантировать, что программное обеспечение, работающее на этом устройстве, не было изменено.
Также нет физического обнаружения вскрытия. Нет датчиков вскрытия корпуса, нет пломбы, которая ломается при открытии и предотвращает работу. Как уже упоминали другие, самой элементарной мерой предосторожности было бы склеить всё вместе, чего они тоже не сделали.
Доверять Ledger защиту чего-либо секретного было бы очень плохой идеей.
- lxgr
Грустно видеть столько людей, seemingly с нулевым опытом в аппаратной безопасности, которые спокойно выносят экспертное суждение об этой атаке, по-видимому, даже не изучив модель безопасности атакуемой платформы (она публична и, на мой взгляд, стоит прочтения [1]) или саму изощрённость атаки.
Ошибка Ledger здесь заключалась исключительно в предположении, что разместить аппаратуру, способную на дальнюю (или даже глобальную, в данном случае) связь, в крошечном корпусе их устройства невозможно. Я не из их отрасли, но, честно говоря, до этой недели я бы предположил то же самое.
[1] https://www.ledger.com/ledger-nano-x-bluetooth-security-mode...
- Trustable8
Я только что вскрыл ledger, это до смешного легко сделать. Почему бы им не сделать это герметичным блоком и не склеить, чтобы открыть без повреждений было невозможно? А почему бы не залить всю печатную плату клеем? Вся плата покрыта тестовыми площадками, которые позволяют очень легко припаять туда что-то подозрительное.
- thecybertracker
Давайте начнём с очень простого хеша. Вес устройства с точностью до миллиграмма. И предположим, что если вес не совпадает, то в него вмешались.
- sorenjan
Разве нельзя отследить, кто купил eSIM, куда отправляются данные и кому принадлежат кошельки, на которые переводится украденная криптовалюта?
- tristor
Отсутствие безопасности на этих устройствах шокирует, как человека, работавшего в сфере аппаратной безопасности, но, полагаю, не должно удивлять, что это, как и всё остальное, связанное с криптой, является неким изощрённым мошенничеством, совершённым неэкспертами и злоумышленниками.
- ricardobeat
Идея аппаратного кошелька с самого начала казалась мне неправильной.
Почему вы должны доверять какому-то случайному железу, единственная цель которого — хранить ваши деньги, что делает его очевидной мишенью, больше, чем компьютер общего назначения, который вы полностью контролируете?
- tamimio
Эти атаки легко осуществимы, потому что многие люди предполагают, что новое оборудование в пузырчатой плёнке безопасно и не было изменено. Есть много историй о том, как спецслужбы устанавливают жучки в оборудование после того, как вы его заказали, особенно онлайн, и нет, это не какие-то теории заговора, они активно это делают, включая Европу, так что всегда покупайте устройство случайным образом в каком-нибудь местном магазине и забирайте сразу, или покупайте б/у, а ещё лучше, если у вас есть познания в электронике, проверьте его сами.