Чтобы воровать seed-фразы, хакеры, возможно, купили целого продавца Ledger

Ledger подтвердил атаку на цепочку поставок: в кошельки Nano X и Flex перед продажей ставили плату с LTE-модемом и eSIM. Она читает экран в момент, когда устройство показывает 24 слова при первой настройке, и отправляет их злоумышленникам по сотовой сети. Чип безопасности и прошивка не тронуты, поэтому проверка подлинности проходит, упаковка и плёнка выглядят нетронутыми, а владелец ничего не замечает. Дальше остаётся ждать, пока на кошелёк придут деньги: по данным Bitquery, 9 октября опустошили более 320 кошельков примерно на $100 млн.

Все подтверждённые кражи связаны с CryptoBilis (Азия) и Aqipa GmbH (Европа), авторизованными реселлерами. По версии одной из версий, злоумышленники купили CryptoBilis как бизнес и спрятали сделку за NDA, получив законный канал к покупателям. Ledger и CryptoBilis эту версию не подтверждали. Что касается атаки на Aqipa GmbH, данных пока нет.

Европа тоже под вопросом: такие же импланты нашли в двух Nano X из разных магазинов MediaMarkt, и сеть сняла Ledger с продажи во всех странах. Среди пострадавших бывший глава Mt. Gox Марк Карпелес, он же записал видео, как вскрыть устройство и проверить самому.