9 октября взломали самый надёжный сейф в криптомире. Криптографическая система Ledger осталась нетронутой, и никто не нажимал на фишинговые ссылки — проблема возникла на более раннем этапе. Кто-то увидел вашу сид-фразу ещё до того, как устройство попало к вам в руки.
Сначала расскажу, что произошло. 9 октября блокчейн-детектив Specter заметил, что в X и Reddit один за другим появляются сообщения о кражах у пользователей Ledger. Проверка ончейн-следов показала, что более 300 кошельков были опустошены и средства с них собраны на нескольких блокчейнах — Bitcoin, Ethereum, Tron и других. Независимые исследователи оценили ущерб в 86–93 миллиона долларов. Позже Ledger дважды выступила с заявлениями и подтвердила: все проверенные случаи связаны с устройствами, приобретёнными у одного и того же дистрибьютора из Юго-Восточной Азии — CryptoBilis. А в одном из пострадавших устройств действительно обнаружили несанкционированное аппаратное устройство.
Как оно работало, выяснил бывший CEO Mt.Gox Марк Карпелес, разобрав совершенно новое устройство. Под накладкой экрана скрывался небольшой модуль: микроконтроллер, подключённый к линии передачи данных SPI экрана, LTE-модуль с eSIM и антенна. Когда вы включаете устройство и создаёте сид-фразу, слова по одному появляются на экране, чтобы вы их записали. Модуль подключается к линии передачи данных экрана, незаметно считывает все 24 слова, а затем отправляет их злоумышленникам через мобильную сеть. Дальше всё просто: злоумышленники используют сид-фразу, чтобы опустошить кошелёк.
Самое обидное — проверка подлинности Ledger проходила успешно. Защищённый элемент настоящий, сид-фраза настоящая, подпись настоящая. Защищённый элемент не позволяет извлечь приватный ключ, но не может помешать кому-то сфотографировать экран. Приватный ключ ни разу не покидал устройство, но сид-фразу скопировали за те несколько секунд, пока она отображалась на экране.
Ещё страшнее то, что устройство уже прошло три поколения доработок. В первом поколении всё было собрано вручную проводами, и даже батарею приходилось ставить меньшего размера. Во втором появились гибкие печатные платы. Последнее, третье поколение — самое пугающее: открываешь корпус — и видишь, что на месте и оригинальная батарея, и оригинальная материнская плата. Только у верхнего края корпуса добавилась тонкая чёрная антенна. Это не чья-то кустарная поделка, а организованная цепочка атак на поставки — с разработкой, итерациями и необходимыми ресурсами.
Что это значит для нас, розничных инвесторов? Объясню по пунктам. Первое: аппаратные кошельки нужно покупать только на официальном сайте. Даже если дистрибьютор выглядит вполне надёжным и предлагает скидку в несколько десятков юаней — не связывайтесь. В этот раз пострадали устройства, купленные у дистрибьюторов, а среди проданных напрямую с официального сайта заражённых не было. Второе: получив устройство, не спешите им пользоваться. Проверьте пломбы на упаковке, оцените вес, осмотрите корпус на предмет посторонних деталей. Если что-то кажется подозрительным, сразу свяжитесь с официальной службой поддержки. Честно говоря, антенна третьего поколения спрятана глубоко, и на ощупь её можно не обнаружить. Поэтому надёжнее всего придерживаться первого правила и покупать устройство только на официальном сайте. Рекомендация Ledger в этой ситуации: не инициализируйте неиспользованные устройства, а если уже пользуетесь устройством — создайте новую сид-фразу. Третье: Ledger никогда не позвонит и не напишет вам в личные сообщения с просьбой сообщить 24 слова. Кто бы их ни просил — это мошенник. После этой истории наверняка появятся фишинговые атаки от тех, кто выдаёт себя за официальную службу поддержки.
И ещё один эпизод с чёрным юмором. 16 октября Chainalysis сообщила, что один мошенник, занимавшийся обманом под видом заданий, хранил украденные деньги на таком же Ledger с внедрённым устройством. В итоге злоумышленники вытащили оттуда 60 биткоинов — примерно 4,9 миллиона долларов. Мошенника обокрали мошенники — в блокчейне никаких исключений не предусмотрено.
Моё мнение простое: аппаратный кошелёк может защитить от хакеров, но не от вашей жадности. Каждая сэкономленная при покупке кошелька копейка — это риск потерять всё своё состояние.
Где вы покупали аппаратный кошелёк — на официальном сайте или у дистрибьютора? Расскажите в комментариях, посмотрим, сколько нас таких, кто раньше ради удобства покупал у третьих лиц.
#硬件钱包 #Ledger #防骗 #АтакаНаЦепочкуПоставок
—— web3-новичок Сяокай
Отказ от ответственности: эта статья предназначена только для личного обучения и обмена опытом и не является инвестиционной рекомендацией. Рынок сопряжён с рисками, инвестируйте осмотрительно.
Сначала расскажу, что произошло. 9 октября блокчейн-детектив Specter заметил, что в X и Reddit один за другим появляются сообщения о кражах у пользователей Ledger. Проверка ончейн-следов показала, что более 300 кошельков были опустошены и средства с них собраны на нескольких блокчейнах — Bitcoin, Ethereum, Tron и других. Независимые исследователи оценили ущерб в 86–93 миллиона долларов. Позже Ledger дважды выступила с заявлениями и подтвердила: все проверенные случаи связаны с устройствами, приобретёнными у одного и того же дистрибьютора из Юго-Восточной Азии — CryptoBilis. А в одном из пострадавших устройств действительно обнаружили несанкционированное аппаратное устройство.
Как оно работало, выяснил бывший CEO Mt.Gox Марк Карпелес, разобрав совершенно новое устройство. Под накладкой экрана скрывался небольшой модуль: микроконтроллер, подключённый к линии передачи данных SPI экрана, LTE-модуль с eSIM и антенна. Когда вы включаете устройство и создаёте сид-фразу, слова по одному появляются на экране, чтобы вы их записали. Модуль подключается к линии передачи данных экрана, незаметно считывает все 24 слова, а затем отправляет их злоумышленникам через мобильную сеть. Дальше всё просто: злоумышленники используют сид-фразу, чтобы опустошить кошелёк.
Самое обидное — проверка подлинности Ledger проходила успешно. Защищённый элемент настоящий, сид-фраза настоящая, подпись настоящая. Защищённый элемент не позволяет извлечь приватный ключ, но не может помешать кому-то сфотографировать экран. Приватный ключ ни разу не покидал устройство, но сид-фразу скопировали за те несколько секунд, пока она отображалась на экране.
Ещё страшнее то, что устройство уже прошло три поколения доработок. В первом поколении всё было собрано вручную проводами, и даже батарею приходилось ставить меньшего размера. Во втором появились гибкие печатные платы. Последнее, третье поколение — самое пугающее: открываешь корпус — и видишь, что на месте и оригинальная батарея, и оригинальная материнская плата. Только у верхнего края корпуса добавилась тонкая чёрная антенна. Это не чья-то кустарная поделка, а организованная цепочка атак на поставки — с разработкой, итерациями и необходимыми ресурсами.
Что это значит для нас, розничных инвесторов? Объясню по пунктам. Первое: аппаратные кошельки нужно покупать только на официальном сайте. Даже если дистрибьютор выглядит вполне надёжным и предлагает скидку в несколько десятков юаней — не связывайтесь. В этот раз пострадали устройства, купленные у дистрибьюторов, а среди проданных напрямую с официального сайта заражённых не было. Второе: получив устройство, не спешите им пользоваться. Проверьте пломбы на упаковке, оцените вес, осмотрите корпус на предмет посторонних деталей. Если что-то кажется подозрительным, сразу свяжитесь с официальной службой поддержки. Честно говоря, антенна третьего поколения спрятана глубоко, и на ощупь её можно не обнаружить. Поэтому надёжнее всего придерживаться первого правила и покупать устройство только на официальном сайте. Рекомендация Ledger в этой ситуации: не инициализируйте неиспользованные устройства, а если уже пользуетесь устройством — создайте новую сид-фразу. Третье: Ledger никогда не позвонит и не напишет вам в личные сообщения с просьбой сообщить 24 слова. Кто бы их ни просил — это мошенник. После этой истории наверняка появятся фишинговые атаки от тех, кто выдаёт себя за официальную службу поддержки.
И ещё один эпизод с чёрным юмором. 16 октября Chainalysis сообщила, что один мошенник, занимавшийся обманом под видом заданий, хранил украденные деньги на таком же Ledger с внедрённым устройством. В итоге злоумышленники вытащили оттуда 60 биткоинов — примерно 4,9 миллиона долларов. Мошенника обокрали мошенники — в блокчейне никаких исключений не предусмотрено.
Моё мнение простое: аппаратный кошелёк может защитить от хакеров, но не от вашей жадности. Каждая сэкономленная при покупке кошелька копейка — это риск потерять всё своё состояние.
Где вы покупали аппаратный кошелёк — на официальном сайте или у дистрибьютора? Расскажите в комментариях, посмотрим, сколько нас таких, кто раньше ради удобства покупал у третьих лиц.
#硬件钱包 #Ledger #防骗 #АтакаНаЦепочкуПоставок
—— web3-новичок Сяокай
Отказ от ответственности: эта статья предназначена только для личного обучения и обмена опытом и не является инвестиционной рекомендацией. Рынок сопряжён с рисками, инвестируйте осмотрительно.