Ledger, Malezyalı distribütör CryptoBilis aracılığıyla satılan cüzdan cihazlarından birinde yetkisiz bir donanım implantı bulunduğunu doğruladı. Bu gelişme, Güneydoğu Asya’da faaliyet gösteren distribütör aracılığıyla satın aldıkları cihazlardan kripto varlıklarının kaybolduğunu bildiren kullanıcıların ardından yaşandı.
Ledger soruşturmaya 9 Ekim 2026’da başladı ve CryptoBilis’ten cihazlarının satışını ve sevkiyatını durdurmasını istedi. Şirket ertesi gün en az bir cihazda donanım kurcalaması bulunduğunu kabul etti. Daha sonra yaptığı güncellemede, incelediği tüm beklenmedik çekim bildirimlerinin CryptoBilis aracılığıyla satılan cihazlarla bağlantılı olduğunu belirtti ve vakaların kapsamını “sınırlı” olarak nitelendirdi. Şirket, cihazların ne zaman veya nerede modifiye edildiğini hâlâ açıklamıyor.
İmplant nasıl çalıştı?
Araştırmacıların raporlarına göre, Ledger X modeline atfedilen etkilenen cihazların kasasının içinde gizlenmiş kötü amaçlı bir devre bulunuyordu. Mark Karpelès ve Tibane Labs tarafından yapılan analize göre implant, kurtarma ifadesini tespit etmek amacıyla ekrandaki çıktıları ve düğme basışlarını yakalayacak, ardından bunları eSIM kullanarak LTE bağlantısı üzerinden saldırgana gönderecek şekilde tasarlanmıştı.
Tibane Labs araştırmacıları implantın iki sürümünü tespit etti. Örneklerden birinde, ST STM32G431KBU6 mikrodenetleyicisi, LTE modülü ve yaklaşık 2×2 milimetre boyutunda bir eSIM çipi içeren devreye yer açmak için orijinal pil daha küçük bir pille değiştirilmişti. İkinci sürüm ise OLED ekranın altındaki alanı kullandı ve orijinal pille çalıştı. Her iki örnekte de modifikasyonun fiziksel işareti olarak cihazın üst kısmı boyunca anten kabloları görülürken, kimliklerini gizlemek amacıyla örneklerden birindeki bazı bileşenlerin üzerindeki numaralar kazınmıştı.
Bu haber neden önemli?
Olay, yalnızca dahili güvenlik bileşenlerinin bütünlüğüne güvenmenin sınırlarını ortaya koyuyor. İmplantın doğrudan Secure Element’i kırması gerekmeyebilir; kullanıcıya gösterilenleri ve düğmeler aracılığıyla girdiği verileri izleyip ardından verileri bağımsız bir iletişim kanalı üzerinden dışarı çıkarabilir. Ledger, Genuine Check mekanizmasının cihazın orijinalliğini doğrulayabildiğini, ancak orijinal Secure Element sağlam kaldığı sürece donanım eklemelerini tespit edemediğini söylüyor.
Ledger, CryptoBilis’ten cihaz satın almış ve henüz kuruluma başlamamış kişilere cihazı çalıştırmamalarını önerdi. Kurulumu tamamlamış olanlar ise yeni bir kurtarma ifadesi kullanarak varlıklarını yeni bir imzalama cihazına aktarmayı değerlendirmeli. Bu öneri yalnızca şüpheli cihazları ele almakla kalmıyor, aynı zamanda kurtarma ifadesinin ele geçirilmiş olabileceğini de varsayıyor.
Henüz ne netleşmedi?
Ledger, etkilenen cihaz modellerini resmî olarak açıklamadı ve modifikasyonu gerçekleştiren tarafı ya da bunun tedarik zincirinin hangi aşamasında yapıldığını belirlemedi. Araştırmacıların analiz ettiği örnekler, Çin’le bağlantılı satıcılardan satın alınan ve Malezya’dan gönderilen cihazlara işaret ediyor; ancak bu durum tek başına belirli bir satıcının sorumluluğunu kanıtlamıyor. Mevcut bilgilere göre diğer distribütörlerin olaya karıştığına dair bir gösterge bulunmuyor.
Ledger, yetkili kanallardan satın alma yapılmasını öneriyor ve distribütörlerinden iade edilen ürünleri yeniden stoklamamalarını istiyor. Olay, yazılım doğrulama mekanizmaları ve orijinal cihaz sağlam görünse bile tedarik zincirinin bütünlüğünün fiziksel cüzdanların güvenliğinin temel bir parçası olmaya devam ettiğini gösteriyor.