Ne oldu?
Ledger, tedarik zincirine yapılan fiziksel müdahale sonucu kullanıcı cüzdanlarından 93 milyon dolar değerinde kripto para çalınan "Cryptobilis olayı"nın ardından satış politikalarını ve cihazların kurcalamaya karşı korunma yöntemlerini gözden geçirmeye başladı. Şirketin CTO'su Charles Guillemet, kurcalanmış cihazların incelenmek üzere Ledger desteğine gönderilmesi gerektiğini söyledi.
Saldırı nasıl işledi?
Olay ilk olarak 9 Ekim Cuma günü, Bitcoin, Ethereum ve Tron ağlarında yüzlerce cüzdanın aynı anda boşaltılmasıyla fark edildi. İnceleme, etkilenen cüzdanların neredeyse tamamının Malezya ve Güneydoğu Asya'da faaliyet gösteren yetkili üçüncü taraf satıcı CryptoBilis'ten alındığını ortaya koydu. Ledger, CryptoBilis'e satış ve sevkiyatı durdurma talimatı verdi.
10 Ekim'de yapılan açıklamaya göre, etkilenen bir cihazın içinde hücresel/LTE modüllü yetkisiz bir donanım eklentisi bulundu. Saldırganlar bu çipleri tedarik zincirinin bir noktasında yeni cihazlara elle yerleştirmişti. Kullanıcı kurulum sırasında 24 kelimelik kurtarma ifadesini ekranda oluştururken veya doğrularken, sahte çip ekran çıktısını ya da metni taşıyan veri hatlarını kaydediyor ve ifadeyi LTE üzerinden saldırganların sunucularına iletiyordu. Bu sayede özel anahtarlar kopyalanıp fonlar çalınabiliyordu.
Ledger'ın yanıtı
Ledger, kendi altyapısının, yazılım kodunun ve resmi mağazası üzerinden yapılan doğrudan satışların etkilenmediğini vurguluyor. Şirket, üçüncü taraf satıcılardan cüzdan alan kullanıcılara fonlarını yeni oluşturulmuş, güvenli bir kurtarma ifadesiyle korunan ayrı bir cüzdana taşımalarını öneriyor. Ayrıca distribütörlerden daha sıkı takip istiyor, yalnızca onaylı kanallardan tedarik edilmesini ve iade edilen ürünlerin yeniden stoklanmamasını şart koşuyor. Şirket, araştırmacıları ve diğer üreticileri bu uygulamaları birlikte değerlendirmeye davet ediyor.
