Niepokój wokół sprzętowych portfeli kryptowalutowych rośnie. Ledger wstrzymuje sprzedaż w części Azji, a Trezor ogranicza sieć autoryzowanych sprzedawców. Powód? Ujawniona operacja, w której przestępcy instalowali w oryginalnych urządzeniach ukryte moduły kradnące frazy odzyskiwania.

Sprzedaż wstrzymana w Azji Południowo-Wschodniej i Hongkongu

13 października Ledger zwrócił się do partnerów handlowych w Indonezji, Singapurze, Tajlandii, na Filipinach, w Wietnamie, Malezji oraz Hongkongu o czasowe wstrzymanie sprzedaży i zdjęcie urządzeń z półek. To rozszerzenie wcześniejszych działań wobec dystrybutora CryptoBilis, którego sprzęt powiązano z doniesieniami o kradzieżach kryptowalut nagłośnionymi 9 października.

Firma podkreśla, że potwierdzone incydenty dotyczą Azji Południowo-Wschodniej. Nie potwierdzono żadnej kradzieży środków powiązanej z portfelem kupionym poza regionem. Ledger zapewnia też, że nie wykryto naruszenia infrastruktury, systemów, usług ani bezpośredniego kanału sprzedaży; śledztwo ma ustalić, na którym etapie dystrybucji doszło do ingerencji.

Trezor ogranicza liczbę autoryzowanych sprzedawców

Trezor 13 października ogłosił działania prewencyjne. Firma zmniejszy liczbę autoryzowanych dystrybutorów, by skuteczniej kontrolować partnerów. Danny Sanders, dyrektor handlowy, przekazał, że wybrani partnerzy zostali powiadomieni o zakończeniu współpracy; ich autoryzacja wygaśnie 1 stycznia 2027 roku, a dostawy do tych podmiotów wstrzymano już 13 października.

Trezor zapewnia, że nie ma dowodów na naruszenie bezpieczeństwa jego urządzeń. Na X napisał:

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with.

Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step.

Decyzja ma charakter zapobiegawczy, a nie potwierdzenie podobnego ataku na sprzęt Trezora. W związku z aferą współpracę z dystrybutorem CryptoBilis zakończyły także Trezor i OneKey.

Jak działał atak?

Według ustaleń Ledgera zorganizowana grupa przestępcza przez wiele miesięcy przygotowywała operację. Napastnicy kupowali oryginalne portfele, otwierali obudowy i instalowali w nich specjalnie zaprojektowane komponenty elektroniczne. Ich zadaniem było przechwycenie 24-wyrazowych fraz odzyskiwania podczas pierwszej konfiguracji urządzenia. Zmodyfikowane portfele wracały następnie do sprzedaży za pośrednictwem dystrybutorów w Azji Południowo-Wschodniej i Hongkongu, a przechwycone frazy mogły trafiać do atakujących za pomocą łączności LTE. W skoordynowanej operacji przestępcy opróżnili portfele ofiar.

Zbudowali też infrastrukturę do zbierania fraz, wyprowadzania i prania skradzionych środków. Według producenta przygotowanie ataku kosztowało ich miliony dolarów. Firma podkreśla, że atak wymierzony był w kanał dystrybucji; urządzenia zostały zmodyfikowane po opuszczeniu infrastruktury kontrolowanej przez producenta. Nie wykryto luki w układzie scalonym, systemie operacyjnym ani na serwerach.

Straty: szacunki analityków i stanowisko Ledgera

Skala strat pozostaje przedmiotem dochodzenia. Niezależni analitycy blockchain szacują, że użytkownicy mogli stracić od 72 mln do 86 mln USD. Jeden z badaczy, występujący jako Specter, informował, że wyśledził wpływy z setek portfeli ofiar na Ethereum, TRON i Bitcoin i mówił o stratach przekraczających 86 mln USD. Ledger nie potwierdził ani liczby poszkodowanych, ani ostatecznej wartości utraconych kryptowalut.

Ledger Atom: nowy portfel z ochroną przed ingerencją

15 października Ledger zaprezentował nowy portfel Atom. Urządzenie przypomina smartfon i łączy codzienne aplikacje z izolacją kluczy prywatnych. Atom wykorzystuje dwa środowiska: Android Open Source Project do obsługi aplikacji oraz Ledger OS na osobnym układzie scalonym do przechowywania kluczy i autoryzacji operacji. Przy wrażliwych czynnościach ekran przechodzi w specjalny tryb bezpieczeństwa.

Producent obiecuje wykrywanie fizycznej ingerencji nawet wtedy, gdy urządzenie jest wyłączone, a także obsługę kryptografii postkwantowej, szyfrowaną komunikację i zatwierdzanie operacji inicjowanych przez agentów sztucznej inteligencji.

Atom można rezerwować w przedsprzedaży za zwrotny depozyt 100 USD. Specjalna cena wynosi 849 USD, a dostawy planowane są na 2027 rok, wstępnie na drugi kwartał. Produkt jest jednak w fazie rozwoju, więc ostateczna specyfikacja, dostępność funkcji i cena mogą się zmienić. Firma zastrzega, że zabezpieczenia Atoma nie powstały wyłącznie w odpowiedzi na ostatni incydent.

Nowe zasady dystrybucji

Ledger zaostrzył też reguły dla autoryzowanych sprzedawców. Urządzenia nie mogą być wystawiane na ogólnodostępnych półkach; mają pozostawać na zapleczu i trafiać do klienta dopiero podczas zakupu. Firma przypomniała o zakazie ponownej sprzedaży zwróconych portfeli, nawet jeśli wyglądają na fabrycznie zapakowane. Sprzedawcy mają natychmiast zgłaszać skargi dotyczące nietypowego wyglądu lub działania urządzeń.

Ledger przeprowadził kontrole na innych rynkach; kupował portfele m.in. w Niemczech i otwierał je w laboratorium bezpieczeństwa Ledger Donjon. W żadnym ze sprawdzonych urządzeń nie wykryto ingerencji. Europejska sieć MediaMarktSaturn wycofała produkty Ledger ze sklepów stacjonarnych i internetu jako środek ostrożności.

Producent współpracuje z organami ścigania i ekspertami ds. cyberbezpieczeństwa, w tym z organizacją SEAL 911. Zapowiedział publikację bardziej szczegółowych ustaleń technicznych na późniejszym etapie i dalsze prace nad zabezpieczeniami sprzętowymi utrudniającymi podobne ataki.