Ledger bevestigt verborgen hardware-implantaat in wallet getroffen gebruiker

Ledger bevestigt fysieke manipulatie terwijl onderzoek naar crypto-wallets wordt uitgebreid

Op zaterdag 10 oktober bevestigde Ledger dat het apparaat van een getroffen klant een ongeautoriseerde hardware-implantatie bevatte, een ontdekking die het vermoeden rond de recente incidenten waarbij wallets werden leeggehaald – in verband met de Zuidoost-Aziatische wederverkoper CryptoBilis – aanzienlijk versterkt. De bevestiging volgt op schattingen van verliezen die oplopen tot 93,4 miljoen dollar, hoewel Ledger deze cijfers niet onafhankelijk heeft geverifieerd.

Het bedrijf houdt ook vol dat zijn beveiligingsinfrastructuur intact is gebleven, waardoor onderzoekers voor een nogal merkwaardig probleem staan: een mogelijk gecompromitteerd apparaat dat er nog steeds authentiek uit zou kunnen zien. De verklaring van Ledger van zaterdag was de eerste bevestiging door het bedrijf van fysieke manipulatie waarbij de hardware-wallet van een getroffen klant betrokken was. De fabrikant maakte bekend dat „een van de apparaten van de getroffen gebruikers een ongeautoriseerd hardware-implantaat bevatte“, wat onderzoekers hun sterkste bewijs tot nu toe oplevert dat er kwaadaardige hardware in het spel is.

In het bericht op X legde het supportaccount van het bedrijf uit dat het „contact opneemt met getroffen gebruikers als onderdeel van het lopende onderzoek“, terwijl het iedereen met relevante informatie aanmoedigde om contact op te nemen via het beloningsprogramma. CryptoBilis heeft eveneens maatregelen genomen; Ledger meldde dat de wederverkoper „de verkoop van alle hardware-wallets heeft stopgezet totdat het onderzoek is afgerond“.

Deze bevestiging volgt op berichten van vrijdag over leeggehaalde wallets in Zuidoost-Azië, waar onderzoekers verdachte transacties met bitcoin, ether en stablecoins hebben getraceerd. Onafhankelijke schattingen lopen sterk uiteen: Yfarmx schat de vermoedelijke verliezen op 93,4 miljoen dollar verdeeld over 471 adressen, terwijl Bitquery uitgaat van ongeveer 92,9 miljoen dollar verdeeld over 311 unieke adressen.

Verborgen hardware roept vragen op over de veiligheid van wallets

De ontdekking geeft ook geloofwaardigheid aan onafhankelijke bevindingen die zijn gepubliceerd door Mark Karpelès, de voormalige CEO van Mt Gox, die een gemodificeerde Ledger Nano X documenteerde met daarin een verborgen printplaat, apparatuur voor mobiele communicatie en onderdelen die naar verluidt in staat zijn om herstelzinnen te onderscheppen.

De vermeende truc was bijzonder slim. In plaats van het beveiligingselement van de wallet aan te vallen, zou de apparatuur tijdens de installatie informatie hebben gemonitord die naar het scherm van het apparaat werd gestuurd, waardoor herstelzinnen mogelijk werden onderschept voordat ze via een mobiele verbinding werden verzonden.

Door die aanpak zou een verder authentiek apparaat conventionele verificatiecontroles kunnen doorstaan, terwijl de herstelzin van de eigenaar in het geheim wordt blootgelegd. Onderzoekers hebben echter niet vastgesteld dat elke getroffen wallet vergelijkbare apparatuur bevatte.

De fabrikant van hardware-wallets, Ledger, probeerde een onderscheid te maken tussen gemanipuleerde hardware en zijn onderliggende beveiligingssystemen, en verklaarde: „We hebben geen aanwijzingen dat de beveiligingsinfrastructuur, systemen of diensten van Ledger zijn gecompromitteerd.”

Het bericht van Ledger op X kreeg veel kritiek en sommigen waren niet bepaald tevreden over de manier waarop Ledger met de situatie omging. In het bericht op X vragen verschillende accounts: „Gaan jullie de slachtoffers terugbetalen?“ Anderen zeiden dat ze vinden dat Ledger verantwoordelijk is voor zijn uitbesteding. „Is dit niet jullie verantwoordelijkheid, aangezien zij officiële, door jullie geautoriseerde wederverkopers waren? Jullie dragen de verantwoordelijkheid om de slachtoffers schadeloos te stellen“, schreef een andere persoon op de X-thread van Ledger.

Ledger geeft nieuwe waarschuwing aan klanten van CryptoBilis

Nu het onderzoek in een stroomversnelling komt, herhaalde Ledger zijn advies aan klanten die apparaten via de wederverkoper hebben gekocht. Het bedrijf adviseerde de getroffen kopers om “niet te beginnen met de installatie als ze dat nog niet hebben gedaan.”

Aan klanten die hun wallets al hebben geïnitialiseerd, adviseerde Ledger om „te overwegen hun activa over te zetten naar een nieuwe Ledger-signaalapparaat (met een nieuwe seed)”. Dit onderscheid is belangrijk omdat een herstelzin die tijdens de installatie is vastgelegd, activa mogelijk nog lang nadat de gecompromitteerde hardware is losgekoppeld, bloot kan stellen.

Ledger bevestigde ook dat het „werkt aan verdere, verbeterde oplossingen tegen manipulatie“, wat suggereert dat fysieke aanpassingen waarmee bestaande controles kunnen worden omzeild, een acuut beveiligingsprobleem zijn geworden.

Het bedrijf bedankte SEAL 911 voor de hulp aan de onderzoekers en verklaarde mee te werken met de autoriteiten. Ondertussen waarschuwde Ledger klanten dat „Ledger nooit om je herstelzin van 24 woorden zal vragen“.

Ondanks alle ontwikkelingen blijven de grootste vragen onbeantwoord. Er is nu één gecompromitteerd apparaat bevestigd, maar het aantal extra implantaten, hun verband met de gemelde verliezen en de identiteit van de verantwoordelijken blijven onopgelost. Een apparaat dat was gebouwd om geheimen te bewaren, had blijkbaar een tweede paar oren, en onderzoekers zijn nog bezig vast te stellen hoeveel anderen er mogelijk hebben meegeluisterd.