Шпионский чип в аппаратном кошельке: как украли 80 миллионов долларов
CZ только что поделился предупреждением о безопасности, и у меня от прочитанного мороз пробежал по коже:
Малайзийского официального авторизованного дистрибьютора Ledger, который годами занимался этим бизнесом, выкупили хакеры. Они встраивали в кошельки крошечные шпионские чипы, заново упаковывали устройства и отправляли их покупателям. Приватные ключи пользователей утекали с первого же дня, хотя те считали, что получили «совершенно новый оригинальный» товар. Сумма ущерба превысила 80 миллионов долларов. Но и это не всё: хакеры вынудили дистрибьютора подписать соглашение о неразглашении, поэтому правда всплыла лишь спустя долгое время.
Разберём цепочку атаки:
1. Точка входа — не взломанная биржа и не фишинговая ссылка, а цепочка поставок: подделкой оказалось само купленное вами устройство
2. Чип передавал приватные ключи уже в момент генерации сид-фразы. Всё, что вы потом переводили на кошелёк, фактически доставалось злоумышленникам
3. Упаковка, термоусадочная плёнка и защитные наклейки были как у оригинала — обычный человек не отличил бы подделку на глаз
Проверьте три вещи — прямо сейчас:
1. Где вы купили аппаратный кошелёк? Если не на официальном сайте, а у стороннего дистрибьютора или на площадке для продажи подержанных товаров, риск максимальный
2. У Ledger есть официальная проверка подлинности устройства (Genuine Check в Ledger Live). Если ещё не запускали — сделайте это как можно скорее
3. Не храните все крупные активы на одном устройстве. Распределите их по разным местам. Совет старый, но в случае беды только он и поможет
Мой вывод: самое страшное здесь не 80 миллионов долларов, а то, что этот случай разрушает веру в формулу «аппаратный кошелёк = абсолютная безопасность». Холодный кошелёк защищает от сетевых атак, но не от вмешательства до того, как устройство покинет завод. Впредь аппаратные кошельки я буду покупать только напрямую у производителя — пусть даже дороже.
#安全 $BTC
CZ только что поделился предупреждением о безопасности, и у меня от прочитанного мороз пробежал по коже:
Малайзийского официального авторизованного дистрибьютора Ledger, который годами занимался этим бизнесом, выкупили хакеры. Они встраивали в кошельки крошечные шпионские чипы, заново упаковывали устройства и отправляли их покупателям. Приватные ключи пользователей утекали с первого же дня, хотя те считали, что получили «совершенно новый оригинальный» товар. Сумма ущерба превысила 80 миллионов долларов. Но и это не всё: хакеры вынудили дистрибьютора подписать соглашение о неразглашении, поэтому правда всплыла лишь спустя долгое время.
Разберём цепочку атаки:
1. Точка входа — не взломанная биржа и не фишинговая ссылка, а цепочка поставок: подделкой оказалось само купленное вами устройство
2. Чип передавал приватные ключи уже в момент генерации сид-фразы. Всё, что вы потом переводили на кошелёк, фактически доставалось злоумышленникам
3. Упаковка, термоусадочная плёнка и защитные наклейки были как у оригинала — обычный человек не отличил бы подделку на глаз
Проверьте три вещи — прямо сейчас:
1. Где вы купили аппаратный кошелёк? Если не на официальном сайте, а у стороннего дистрибьютора или на площадке для продажи подержанных товаров, риск максимальный
2. У Ledger есть официальная проверка подлинности устройства (Genuine Check в Ledger Live). Если ещё не запускали — сделайте это как можно скорее
3. Не храните все крупные активы на одном устройстве. Распределите их по разным местам. Совет старый, но в случае беды только он и поможет
Мой вывод: самое страшное здесь не 80 миллионов долларов, а то, что этот случай разрушает веру в формулу «аппаратный кошелёк = абсолютная безопасность». Холодный кошелёк защищает от сетевых атак, но не от вмешательства до того, как устройство покинет завод. Впредь аппаратные кошельки я буду покупать только напрямую у производителя — пусть даже дороже.
#安全 $BTC