Взлом Ledger (не подтвержден). Под подозрением цепочка поставок
Ончейн-аналитик Specter отследил транзакции с сотен кошельков в сетях Bitcoin, Ethereum и TRON - суммарный отток оценивается выше $86M (ранее аналитик tanuki42 оценивал его в $72M). Ledger связывает сообщения о потерях с покупателями реселлера CryptoBilis из Юго-Восточной Азии (индонезийско-малайзийский магазин). Ledger официально подтвердила расследование и попросила от CryptoBilis временно приостановить продажи и поставки, до завершения расследования.
🟢 Механика краж не раскрыта, взлом самих устройств Ledger не подтвержден, а связь всех $86M с CryptoBilis не установлена. В сети обсуждают версии с заранее подготовленной seed-фразой или вскрытым устройством, но пока это только версии.
🟢 Если версия подтвердится, это будет второй удар по цепочке поставок Ledger. В декабре 2023 года атакующие через фишинг получили npm-аккаунт бывшего сотрудника и подложили вредоносный код в Ledger Connect Kit: тогда пострадал софт, сейчас под подозрением физический канал продаж. Статус "официального реселлера" может оказаться не гарантией, а вектором: именно это доверие использовали атакующие.
🟢 Спор об альтернативах идет с лета. ZachXBT в своем канале называл все аппаратные кошельки непригодными для подписи и хранения и советовал вместо них отдельный iPhone, который используется только как кошелек. Роман Шторм тогда ответил, что согласился бы, если бы мобильные кошельки поддерживали пасс-фразу BIP39. В аппаратных она есть у всех, а среди мобильных ее почти нет: MetaMask ее просят с 2021 года, у Rabby она есть только на десктопе.
Пасс-фраза превращает те же 24 слова в другой кошелек, и тот, кто нашел или заранее знает seed-фразу, увидит пустой адрес. Если версия с подготовленной seed-фразой подтвердится, деньги от атакующего отделила бы именно она, при условии что прошивка не подменена. Цена ошибки тоже реальная: забыли пасс-фразу - денег нет.
Этот инцидент не доказывает, что аппаратные кошельки плохи как класс - он показывает, что реселлер не эквивалент производителя.
Кошелек покупается только напрямую у Ledger. Покупателям CryptoBilis за последние 90 дней Ledger советует не активировать устройство, а уже работающее заменить новым с новой seed-фразой. Мы бы поступили так же с устройством от любого реселлера.
➡️Crouton.digital | О нас⬅️