Ledger: Etkilenen kullanıcı cüzdanlarında gizli donanım implantı var

Kripto Cüzdan Soruşturması Genişlerken Ledger Fiziksel Müdahaleyi Doğruladı

10 Ekim Cumartesi günü Ledger, etkilenen bir müşterinin cihazında yetkisiz bir donanım implantı bulunduğunu doğruladı. Bu keşif, Güneydoğu Asya'daki satıcı CryptoBilis ile bağlantılı son cüzdan boşaltma olayına dair şüpheleri önemli ölçüde güçlendirdi. Bu doğrulama, kayıpların 93,4 milyon dolara ulaştığına dair tahminlerin ardından geldi; ancak Ledger bu rakamları bağımsız olarak doğrulamadı.

Şirket ayrıca güvenlik altyapısının sağlam kaldığını savunuyor; bu da soruşturmacıları oldukça tuhaf bir sorunla karşı karşıya bırakıyor: hala orijinal gibi görünebilen, potansiyel olarak güvenliği ihlal edilmiş bir cihaz. Ledger’ın Cumartesi günü yaptığı açıklama, etkilenen bir müşterinin donanım cüzdanında fiziksel müdahale olduğu konusunda şirketin ilk doğrulaması oldu. Üretici, “etkilenen kullanıcılardan birinin cihazında yetkisiz bir donanım implantı bulunduğunu” duyurdu; bu da araştırmacılara, kötü niyetli bir donanımın devreye girdiğine dair şimdiye kadarki en güçlü kanıtı sağladı.

X platformundaki gönderide, şirketin destek hesabı “devam eden soruşturma kapsamında etkilenen kullanıcılarla iletişime geçildiğini” açıklarken, ilgili bilgilere sahip olan herkesi ödül programına başvurmaya teşvik etti. CryptoBilis de harekete geçti; Ledger, bayinin “soruşturma sonuçlanana kadar tüm donanım cüzdan stoklarının satışını durdurduğunu” bildirdi.

Bu doğrulama, Cuma günü Güneydoğu Asya’da cüzdanların boşaltıldığına dair haberlerin ardından geldi; soruşturmacılar bu bölgede bitcoin, ether ve stabilcoin’lerle ilgili şüpheli işlemleri tespit etmişti. Bağımsız tahminler arasında önemli farklılıklar görülürken, Yfarmx 471 adreste şüpheli kayıpların 93,4 milyon dolar olduğunu belirtirken, Bitquery ise 311 farklı adreste yaklaşık 92,9 milyon dolarlık bir kayıp olduğunu tahmin etti.

Gizli Donanım, Cüzdan Güvenliği Konusunda Sorular Doğuruyor

Bu keşif, eski Mt Gox CEO’su Mark Karpelès tarafından yayınlanan bağımsız bulgulara da güvenilirlik katıyor. Karpelès, gizli bir devre kartı, hücresel iletişim ekipmanı ve kurtarma cümlelerini ele geçirebileceği iddia edilen bileşenler içeren, modifiye edilmiş bir Ledger Nano X’i belgelemişti.

İddia edilen hile özellikle zekiceydi. Cihazın güvenli elemanına saldırmak yerine, ekipmanın kurulum sırasında cihazın ekranına gelen bilgileri izlediği ve kurtarma kelimelerini hücresel bağlantı üzerinden iletmeden önce ele geçirdiği bildirildi.

Bu yaklaşım, normalde orijinal olan bir cihazın geleneksel doğrulama kontrollerinden geçmesine izin verirken, sahibinin kurtarma ifadesini gizlice ifşa etmesine yol açabilirdi. Ancak araştırmacılar, etkilenen her cüzdanın benzer ekipman içerdiğini kesin olarak tespit edemedi.

Donanım cüzdanı üreticisi Ledger, tahrif edilmiş donanım ile temel güvenlik sistemleri arasında bir ayrım yapmaya çalışarak, “Ledger’ın güvenlik altyapısı, sistemleri veya hizmetlerinin tehlikeye atıldığına dair hiçbir gösterge yok” dedi.

Ledger’ın X’teki paylaşımı büyük eleştiri topladı ve bazı kullanıcılar Ledger’ın durumu ele alış biçiminden pek memnun kalmadı. X’teki paylaşımda, “Mağdurlara para iadesi yapacak mısınız?” diye soran birkaç hesap yer alıyor. Diğerleri ise Ledger’ın dış kaynak kullanımından sorumlu olduğunu düşündüklerini belirtti. “Onlar sizin resmi yetkili satıcılarınız olduğuna göre bu sizin sorumluluğunuz değil mi? Mağdurlara tazminat ödeme sorumluluğu size aittir,” diye yazan bir başka kişi, Ledger’ın X başlığına yorum yaptı.

Ledger, CryptoBilis Müşterilerine Yeni Bir Uyarı Yayımladı

Soruşturma hız kazanırken, Ledger, bu satıcı aracılığıyla cihaz satın alan müşterilere yönelik tavsiyesini yineledi. Şirket, etkilenen alıcılara “henüz kurulum yapmadıysanız, kurulum işlemine başlamamanızı” tavsiye etti.

Cüzdanlarını zaten kurmuş olan müşterilere ise Ledger, “varlıklarını yeni bir Ledger imzalayıcısına (yeni bir tohum ile) aktarmayı düşünmelerini” tavsiye etti. Bu ayrım önemlidir, çünkü kurulum sırasında kaydedilen kurtarma ifadesi, güvenliği ihlal edilmiş donanımın bağlantısı kesildikten çok sonra bile varlıkları riske atabilir.

Ledger ayrıca “daha gelişmiş, kurcalamaya karşı koruma çözümleri üzerinde çalıştığını” doğruladı; bu da mevcut kontrolleri atlatabilecek fiziksel değişikliklerin acil bir güvenlik sorunu haline geldiğini gösteriyor.

Şirket, soruşturmacılara yardım ettiği için SEAL 911’e teşekkür etti ve yetkililerle işbirliği içinde olduğunu belirtti. Öte yandan Ledger, müşterileri “Ledger asla 24 kelimelik kurtarma ifadenizi sormayacaktır” diye uyardı.

Tüm bu gelişmelere rağmen, en büyük sorular hâlâ cevapsız kalıyor. Bir cihazın ele geçirildiği artık kesinleşti, ancak diğer implantların sayısı, bildirilen kayıplarla olan bağlantıları ve sorumluların kimliği hâlâ belirsizliğini koruyor. Sırları saklamak için üretilmiş bir cihazda görünüşe göre ikinci bir dinleme cihazı vardı ve soruşturmacılar hâlâ kaç kişinin daha dinlemiş olabileceğini belirlemeye çalışıyor.