coindesk.com
Verdeckte Hardware, die in einigen Ledger-Krypto-Wallet-Geräten installiert wurde, welche vom südostasiatischen Wiederverkäufer CryptoBilis verkauft wurden, las die 24-Wort-Wiederherstellungsphrasen der Nutzer direkt vom Bildschirm des Geräts aus und sendete diese über ein Mobilfunknetz an einen Angreifer, so Ledger sagte am Dienstag in einem Ermittlungsupdate auf X.
Ledger gab an, dass der Spionagechip sich im Gehäuse des Geräts befand. Wenn ein Nutzer den Signierer einrichtete und der Bildschirm die Wiederherstellungsphrase anzeigte, erkannte und decodierte der Mikrocontroller des Implantats die Wörter und übermittelte sie dann über LTE, eine von Mobiltelefonen verwendete Datenübertragungstechnologie, unter Nutzung einer eSIM.
Die Wiederherstellungsphrase ist der Hauptschlüssel zu einer Krypto-Wallet. Jeder, der sie besitzt, kann die Wallet an einem anderen Ort wiederherstellen und die Gelder übertragen, ohne das physische Ledger-Gerät zu benötigen oder Transaktionen darauf zu ändern.
Der Bericht stellt die erste öffentliche Erklärung des Mechanismus hinter den mit CryptoBilis in Verbindung stehenden Diebstählen dar. Ledger erklärte, dass das Implantat das Secure Element des Geräts, den Chip, der zum Schutz privater Schlüssel entwickelt wurde, sowie das Betriebssystem nicht verändert hat. Es wurden auch keine Transaktionen oder Signaturen manipuliert. Der Vorfall war ein physischer Angriff auf die Lieferkette und kein Einbruch in Ledgers Software oder interne Systeme.
Ledger erklärte, es habe bestätigte, dass bei einem betroffenen Unterzeichner ein unautorisierter Implantat festgestellt wurde und dass jeder bestätigte Verlust im Vorfall vom 9. Oktober ein Gerät betraf, das von CryptBilis verkauft wurde. Es wurde erklärt, dass kein Diebstahl im Zusammenhang mit einem anderswo erworbenen Signer bestätigt worden sei und dass Berichte über Implantate in anderen Geräten und Standorten geprüft würden.
Das französische Unternehmen hat weder die Gesamtzahl der Betroffenen noch den gestohlenen Wert bestätigt. Onchain-Forscher hingegen, schätzte die Verluste auf bis zu 93,2 Millionen US-Dollar über mehr als 300 Wallets hinweg, wobei Tether 10 Millionen US-Dollar seines an den Dollar gebundenen Stablecoins USDT einfriert, die mit dem Diebstahl in Verbindung stehen.
CryptoBilis hat den Verkauf von Ledger-Signern eingestellt, so Ledger. Das Unternehmen riet Kunden, die eines über den Wiederverkäufer erworben haben, dieses nicht zu initialisieren. Kunden, die das Gerät bereits verwendet haben, sollten ihre Vermögenswerte auf ein neues Gerät mit einer neu generierten Wiederherstellungsphrase übertragen, so die Mitteilung.
