Ledger, Endonezya, Singapur, Tayland, Filipinler, Vietnam, Malezya ve Hong Kong’daki dijital cüzdan distribütörlerinden ve satıcılarından cihazların satışını askıya almalarını ve ürünleri raflardan çekmelerini istedi. Şirket, tedarik zincirine yönelik bir saldırıyla bağlantılı donanım manipülasyonu vakalarını araştırıyor.
Karar, Ledger’ın Asyalı distribütör CryptoBilis tarafından satılan bazı cihazların, kripto varlıklara erişmek için kullanılan kurtarma ifadelerinin çalınmasına olanak verecek şekilde değiştirildiğini doğrulamasının ardından geldi. Şirkete göre kullanıcılar birden fazla finansal kayıp bildirdi ve bu durum şirketi 9 Ekim’de soruşturma başlatmaya yöneltti.
Güvenlik kontrollerini aşan donanım implantı
Ledger’ın güvenlik birimi Donjon, cihazların içine yerleştirilen bileşen hakkında ek ayrıntılar açıkladı ve Mark Karpelès ile Tibane Labs tarafından yayımlanan önceki raporları büyük ölçüde doğruladı. Bileşen, cüzdan kurulurken veya geri yüklenirken 24 kelimeden oluşan kurtarma ifadesini tespit edip kodunu çözen bir mikrodenetleyici aracılığıyla çalışıyor, ardından etkinleştirilmiş bir eSIM kullanarak LTE bağlantısı üzerinden yetkisiz bir tarafa gönderiyor.
Ledger, implantın ayrı bir bileşen olduğunu; Secure Element’i veya Ledger işletim sistemini değiştirmediğini, işlemleri ya da imzaları değiştirmediğini açıkladı. Bu nedenle modifiye edilmiş cihazlar, Ledger’ın gerçekleştirdiği otomatik güvenlik kontrollerini aşabildi. Bu durum, yazılım bütünlüğünün tek başına, kullanıcıya ulaşmadan önce kurcalanmış bir donanım cihazını doğrulamak için yeterli olmadığını gösteriyor.
CryptoBilis’i aşan bildirimler
Ledger, şimdiye kadar doğrulanan tüm kayıpların CryptoBilis tarafından satılan cihazlarla bağlantılı olduğunu, ancak kullanıcıların Asya ve Avrupa’da başka satıcılardan satın aldıkları ele geçirilmiş cihazlar hakkında da bildirimde bulunduğunu söyledi. Bildirimler arasında Singapur’daki havalimanlarından birinde bulunan Metapod teknoloji mağazasından ve Avrupa’daki MediaMarkt zincirinden satın alınan cihazlar da yer aldı.
Bu raporların ardından MediaMarkt ürünleri raflarından çekti. Zincir, Ledger cihazlarını Aqipa GmbH distribütöründen temin ediyor. Ledger ayrıca satışları durdurma kararını, cihazların güvenliğiyle ilgili soruşturmalar tamamlanana kadar adı geçen Asya ülkeleri ve Hong Kong’daki tüm distribütörlerini kapsayacak şekilde genişletti.
Buna karşılık Ledger, kaynak metinde belirtildiği üzere altyapısının, sistemlerinin, hizmetlerinin ve doğrudan satış kanalının kullanım açısından güvenli olduğunu doğruladı.
Bu haber neden önemli?
Olay, cihazların tedarik zincirinin işletim sisteminden ve dahili güvenlik bileşenlerinden bağımsız bir güven noktası olduğunu gösteriyor. Manipülasyon, Ledger’ın kontrollerinin dayandığı unsurları değiştirmeden kurtarma verilerini yakalayabilen ayrı bir bileşenin eklenmesiyle gerçekleşti. Bu da cihazın kaynağını, depolanma ve dolaşıma girme sürecini koruma modelinin temel bir parçası hâline getiriyor.
Donanım cüzdanları pazarındaki başlıca rakip Trezor da buna paralel bir ihtiyati adım attı. Şirket, distribütör ağını küçülteceğini ve cihazların kaynağı, depolanması ve kullanımıyla ilgili yasal gereklilikleri ve denetimleri sıkılaştıracağını açıkladı. Şirket, cihazlarının ele geçirildiğine dair bir kanıt bulamadığını, ancak bazı distribütörlerle olan ortaklıklarını 1 Ocak 2027’de sonlandıracağını ve satış yetkilerini geri çekeceğini söyledi.