Ledger попросила дистрибьюторов и продавцов своих цифровых кошельков в Индонезии, Сингапуре, Таиланде, Филиппинах, Вьетнаме, Малайзии и Гонконге приостановить продажу устройств и убрать их с полок, пока компания расследует случаи аппаратного вмешательства, связанные с атакой на цепочку поставок.
Решение было принято после того, как Ledger подтвердила, что некоторые устройства, проданные азиатским дистрибьютором CryptoBilis, были модифицированы таким образом, чтобы красть фразы восстановления, используемые для доступа к криптоактивам. По данным компании, пользователи сообщили о нескольких финансовых потерях, что побудило её начать расследование 9 октября.
Аппаратная имплантация обходит проверки безопасности
Подразделение безопасности Ledger Donjon раскрыло дополнительные подробности о компоненте, установленном внутри устройств, в значительной степени подтвердив ранее опубликованные отчёты Mark Karpelès и Tibane Labs. Компонент работает через микроконтроллер, который обнаруживает состоящую из 24 слов фразу восстановления и декодирует её во время настройки или восстановления кошелька, а затем отправляет её несанкционированной стороне через LTE-соединение с использованием активированной eSIM-карты.
Ledger пояснила, что имплантация представляет собой отдельный компонент, который не изменяет Secure Element или операционную систему Ledger и не меняет транзакции или подписи. Поэтому модифицированным устройствам удалось пройти автоматические проверки безопасности, выполняемые Ledger, что показывает: одной целостности программного обеспечения недостаточно для проверки аппаратного устройства, которое было взломано до того, как попало к пользователю.
Сообщения выходят за пределы CryptoBilis
Ledger заявила, что все подтверждённые на данный момент потери связаны с устройствами, проданными CryptoBilis, однако пользователи также сообщили о взломанных устройствах, приобретённых у других продавцов в Азии и Европе. Среди упомянутых случаев были устройства, купленные в магазине электроники Metapod в одном из аэропортов Сингапура, а также в сети MediaMarkt в Европе.
После этих сообщений MediaMarkt убрала продукцию со своих полок. Сеть получает устройства Ledger от дистрибьютора Aqipa GmbH. Ledger также расширила решение о приостановке продаж на всех своих дистрибьюторов в перечисленных азиатских странах и Гонконге до завершения расследований, связанных с безопасностью устройств.
В то же время Ledger подтвердила, что её инфраструктура, системы, сервисы и прямой канал продаж безопасны для использования, согласно материалу-источнику.
Почему эта новость важна?
Этот инцидент показывает, что цепочка поставок устройств представляет собой отдельную от операционной системы и внутренних компонентов безопасности точку доверия. Вмешательство произошло путём добавления отдельного компонента, который смог перехватить данные восстановления, не изменяя элементы, на которых основаны проверки Ledger, поэтому источник устройства, а также путь его хранения и обращения становятся важной частью модели защиты.
Trezor, основной конкурент на рынке аппаратных кошельков, предприняла аналогичный превентивный шаг: компания объявила о сокращении своей сети дистрибьюторов и ужесточении юридических требований и проверок, связанных с происхождением и хранением устройств, а также обращением с ними. Компания заявила, что не обнаружила свидетельств взлома своих устройств, но 1 января 2027 года прекратит партнёрство с некоторыми дистрибьюторами и отзовёт их разрешения на продажу.