Ledger подтвердила, что некоторые из ее устройств были скомпрометированы аппаратным имплантом, который задействовался для кражи криптовалюты с кошельков пользователей.

Утрата средств пользователей фиксировалась на кошельках, приобретенных через CryptoBilis, крупного малазийского розничного продавца аппаратных кошельков, работающего в Юго-Восточной Азии.

Некоторые из исследователей обнаружили имплантат в Ledger X еще 16 сентября, отмечая при этом, что модифицированные устройства доступны почти за половину цены оригинального оборудования.

9 октября Ledger заявила о начале расследования после многочисленных сообщений пользователей кошельков, связанных с кражей криптовалюты, потребовав от CryptoBilis в незамедлительном порядке прекратить продажу и поставку устройств Ledger.

На следующий день компания подтвердила факт вмешательства в работу оборудования как минимум одного устройства, хотя до сих пор неясно, как именно и когда это произошло.

Разработчик криптокошелька также отметил, что сотрудничает с силовыми структурами для установления личности преступника и привлечения его к ответственности.

Совсем недавно Ledger выкатила очередное уведомление, вновь и окончательно подтверждая, что все сообщения пользователей о неожиданном выводе средств связаны с устройствами, проданными через CryptoBilis, но характеризуя инцидент как «ограниченный».

При этом компания не раскрыла тип устройств, скомпрометированных в результате этой атаки на цепочку поставок, однако в глобально паутине уже появились сообщения о шпионском импланте в устройства Ledger X, который полностью сливается с легитимным оборудованием.

В Karpeles Lab Inc. даже показали фотографию этого имплантата в Ledger X, отметив «значительный прогресс» по сравнению с предыдущими версиями, в которых провода припаивались вручную. Имплантат был скрыт за экраном, но его антенный кабель все же указывал на наличие проблемы.

Вредоносное оборудование перехватывало изображение с экрана устройства и нажатия кнопок для идентификации исходной фразы, а затем передавало ее злоумышленнику через LTE-соединение с использованием eSIM.

Пока CryptoBilis официально не фигурирует в качестве поставщика вредоносного LedgerX, упоминается, что устройство приобреталось не через рекомендованные Ledger каналы, а у «известной платформы через китайского продавца (из Малайзии)».

В Tibane Labs также подтверждают выводы Karpeles, добавляя о реализации сразу двух версии импланта для Ledger X.

Один в устройстве Ledger, купленном на Amazon Japan у «китайского продавца, доставленного из Малайзии», а другой - на аукционе Yahoo! Auctions в Японии.

В их отчете отмечается, что злоумышленник создал место для вредоносной схемы, заменив оригинальную батарею на меньшую по размеру, которая питает как имплант, так и Ledger X. Под батареей и антенной находится микроконтроллер ST STM32G431KBU6 (Arm Cortex‑M4, 128 КБ флэш-памяти, UFQFPN‑32).

Для обеспечения связи атакующий использовал «крошечную» eSIM, 8-контактный модуль размером всего 2×2 мм, расположенный рядом с микроконтроллером, и экранированный модуль LTE, передающий данные.

Во втором изученном кошельке исследователи обнаружили, что маркировка как на микроконтроллере (MCU), так и на eSIM-карте была стерта, чтобы скрыть номера компонентов.

Второй вариант, который, по всей видимости, идентичен описанному Karpeles, более совершенен. Он работал от оригинальной батареи и помещался в пространство, обычно занимаемое поролоновой прокладкой под OLED-дисплеем.

В обоих случаях отличительной чертой был провод антенны, который во втором случае проходил вдоль верхнего края имплантата.

Исследователи предупредили, что в упомянутом образце использовалась «разработанная, панельная гибкая печатная плата, заказанная у специализированной компании в серийном исполнении».

Ledger советует пользователям избегать неавторизованных селлеров и полагаться на «проверку подлинности» устройства. Но она не позволяет обнаружить импланты, если исходный защищенный элемент устройства остается неповрежденным.