Ledger подтвердил: аппаратная «закладка» в кошельках крала криптовалюту

Компания Ledger подтвердила, что некоторые её устройства, распространявшиеся через ресейлера CryptoBilis из Юго-Восточной Азии, были заражены аппаратной «закладкой», опустошавшей криптокошельки пользователей.

CryptoBilis — крупный малайзийский продавец аппаратных кошельков, работающий по всему региону. После жалоб покупателей на пропажу средств Ledger 9 октября начала расследование и потребовала от ресейлера прекратить продажи и отгрузку своих устройств. Уже на следующий день производитель подтвердил факт вмешательства в «железо» как минимум на одном устройстве, оговорившись, что точный способ и время внедрения пока неясны.

«Ledger может подтвердить, что в устройстве одного из пострадавших пользователей находилась несанкционированная аппаратная закладка», — заявили в компании, добавив, что связывается с жертвами и сотрудничает с правоохранительными органами. Пользователям, купившим кошелёк у этого ресейлера, рекомендовано не начинать настройку, а тем, кто уже настроил устройство, — перевести активы на новый Ledger с новой seed-фразой. Позже компания сообщила, что все подтверждённые случаи кражи связаны именно с CryptoBilis, а объём пострадавших устройств назвала «ограниченным».

Что нашли исследователи

МарК Карпелес, в прошлом глава печально известной биржи Mt. Gox, показал фотографию закладки внутри Ledger X и назвал её «серьёзной эволюцией» прежних версий с паяными вручную проводами. По его словам, чип прятался за экраном, перехватывал изображение дисплея и нажатия кнопок, вычислял seed-фразу и передавал её злоумышленнику по LTE через встроенную eSIM. Единственной явной уликой служил антенный кабель.

Студия Tibane Labs подтвердила находку и описала сразу два варианта закладки. В одном устройстве место под схему освободили, заменив штатную батарею на меньшую; под ней обнаружился микроконтроллер ST STM32G431KBU6, крошечная eSIM в корпусе 2×2 мм и экранированный LTE-модуль. Второй, более совершенный вариант работал от штатной батареи и помещался под OLED-дисплеем на месте демпферной прокладки; маркировку с чипов в нём стёрли, чтобы скрыть номиналы. Исследователи подчеркнули, что речь идёт о спроектированной гибкой плате заводского изготовления, а не о кустарной одноразовой поделке.

Доверие под вопросом

Ledger предупреждает, что фирменная проверка подлинности Genuine Check не способна выявить закладку, если оригинальный защищённый элемент остался нетронутым. Компания призывает не покупать устройства у неавторизованных продавцов и напоминает дистрибьюторам не выставлять на повторную продажу возвращённый товар. Признаков, что скомпрометированные кошельки отгружали другие ресейлеры, нет, однако доверие сообщества к сети перепродаж подорвано — звучат призывы её вовсе распустить.

Источник: Bleeping Computer