За восемью миллионами проданных устройств скрывается чип, который сам отправляет SMS, — кто-то вшил его в аппаратный кошелёк 🦖
🚨 行情变了群里说
Во вторник команда исследователей безопасности Ledger Donjon подтвердила: в некоторых устройствах для подписи транзакций, проданных через дистрибьютора CryptoBilis в Юго-Восточной Азии, обнаружили несанкционированный аппаратный модуль. Он следил за экраном устройства и в тот миг, когда появлялась сид-фраза, считывал все 24 слова, а затем в реальном времени отправлял данные по LTE через встроенную eSIM ⚠️
Самое безумное в этой схеме — она не затрагивает ни защищённый чип, ни систему, ни подпись транзакций. В ваших руках устройство выглядит совершенно исправным, а средства уже кто-то успел увести.
Вот цифры: модуль — отдельный компонент с независимым питанием, который считывает данные только с экрана. Пока официально подтверждено, что пострадало одно устройство. Криптодетектив Specter отследил предполагаемую сумму кражи — более 86 миллионов долларов. Другое издание о безопасности оценивает её уже в 103 миллиона долларов. Средства затронули три блокчейна: Ethereum, Tron и Bitcoin. А сама Ledger заявляет, что за десять лет продала более восьми миллионов аппаратных кошельков 📉
Хронология короткая: в пятницу, 9 октября, пользователь сообщил о пропаже средств. В субботу компания подтвердила, что одно устройство действительно было модифицировано. И только во вторник раскрыла схему атаки. Теперь европейская сеть MediaMarkt уже сняла продукцию Ledger с продажи, дистрибьютор CryptoBilis полностью прекратил продажи, а Trezor и OneKey поспешили дистанцироваться от него.
Мой вывод: это не взлом программного обеспечения, а брешь в цепочке поставок. Главный аргумент в пользу аппаратных кошельков — приватные ключи никогда не подключаются к сети. Но если устройство вскрыли ещё до того, как оно попало к вам, слова «никогда не подключаются к сети» превращаются в пустой звук. И это, в свою очередь, объясняет, почему всё больше организаций предпочитают доверять хранение средств кастодианам. Вы можете надёжно хранить приватные ключи, но не факт, что сможете проконтролировать каждый этап доставки.
За чем стоит следить: специалисты по этичному взлому уже отметили, что тщательные проверки на вскрытие на этапе производства и чёткая ответственность за каждый этап поставки значительно повысят стоимость таких атак. Так что беспокоиться стоит не об одной конкретной компании, а обо всех каналах поставки аппаратных устройств, где нет сквозной ответственности.
Обсудим в комментариях: вы всё ещё готовы вслух прочитать свою сид-фразу с экрана аппаратного кошелька?
Каждый день рассказываю о главных новостях в сфере криптобезопасности — не просто о том, что произошло, но и о логике происходящего и открывающихся возможностях 👀🚀
🚨 行情变了群里说
Во вторник команда исследователей безопасности Ledger Donjon подтвердила: в некоторых устройствах для подписи транзакций, проданных через дистрибьютора CryptoBilis в Юго-Восточной Азии, обнаружили несанкционированный аппаратный модуль. Он следил за экраном устройства и в тот миг, когда появлялась сид-фраза, считывал все 24 слова, а затем в реальном времени отправлял данные по LTE через встроенную eSIM ⚠️
Самое безумное в этой схеме — она не затрагивает ни защищённый чип, ни систему, ни подпись транзакций. В ваших руках устройство выглядит совершенно исправным, а средства уже кто-то успел увести.
Вот цифры: модуль — отдельный компонент с независимым питанием, который считывает данные только с экрана. Пока официально подтверждено, что пострадало одно устройство. Криптодетектив Specter отследил предполагаемую сумму кражи — более 86 миллионов долларов. Другое издание о безопасности оценивает её уже в 103 миллиона долларов. Средства затронули три блокчейна: Ethereum, Tron и Bitcoin. А сама Ledger заявляет, что за десять лет продала более восьми миллионов аппаратных кошельков 📉
Хронология короткая: в пятницу, 9 октября, пользователь сообщил о пропаже средств. В субботу компания подтвердила, что одно устройство действительно было модифицировано. И только во вторник раскрыла схему атаки. Теперь европейская сеть MediaMarkt уже сняла продукцию Ledger с продажи, дистрибьютор CryptoBilis полностью прекратил продажи, а Trezor и OneKey поспешили дистанцироваться от него.
Мой вывод: это не взлом программного обеспечения, а брешь в цепочке поставок. Главный аргумент в пользу аппаратных кошельков — приватные ключи никогда не подключаются к сети. Но если устройство вскрыли ещё до того, как оно попало к вам, слова «никогда не подключаются к сети» превращаются в пустой звук. И это, в свою очередь, объясняет, почему всё больше организаций предпочитают доверять хранение средств кастодианам. Вы можете надёжно хранить приватные ключи, но не факт, что сможете проконтролировать каждый этап доставки.
За чем стоит следить: специалисты по этичному взлому уже отметили, что тщательные проверки на вскрытие на этапе производства и чёткая ответственность за каждый этап поставки значительно повысят стоимость таких атак. Так что беспокоиться стоит не об одной конкретной компании, а обо всех каналах поставки аппаратных устройств, где нет сквозной ответственности.
Обсудим в комментариях: вы всё ещё готовы вслух прочитать свою сид-фразу с экрана аппаратного кошелька?
Каждый день рассказываю о главных новостях в сфере криптобезопасности — не просто о том, что произошло, но и о логике происходящего и открывающихся возможностях 👀🚀