Фахівці компанії Chainalysis виявили цікавий поворот у справі про масове викрадення коштів із гаманців Ledger: один із найбільших постраждалих сам виявився шахраєм. Оператор так званого «таск-скаму» тримав на трьох пристроях понад 60 BTC, що еквівалентно приблизно $4,8 млн, а зловмисники спорожнили їх 9 жовтня разом із сотнями інших гаманців, куплених через реселера CryptoBilis у регіоні Південно-Східної Азії.

Як шахрай зберігав вкрадені гроші у «надійному» гаманці

Суть «таск-скаму» доволі примітивна: людей залучають до накрутки продажів і відгуків на справжні товари. На старті їм платять, а потім раптово демонструють «негативний баланс» і змушують вносити власні кошти нібито для отримання виплати. У Chainalysis розповіли, що 22 вересня оператор схеми перевів здобуток на три адреси Ledger, а вже 9 жовтня всі три гаманці одним переказом спорожнили на адресу, яка раніше фігурувала в інших епізодах крадіжок.

Одним із найбільших постраждалих від крадіжки в Ledger став сам скамер

Chainalysis

У компанії не розкрили, де саме шахрай придбав свої пристрої. Також залишається невідомим, чи існує зв'язок між організаторами таск-скаму та тими, хто зрештою обчистив їхні гаманці.

Що насправді сталося з Ledger

На початку жовтня дослідник блокчейну під ніком Specter повідомив про виведення понад $86 млн із сотень гаманців у мережах Bitcoin, Ethereum і TRON. У відповідь Ledger звернувся до реселера CryptoBilis, який працює в Малайзії, Індонезії та на Філіппінах, із проханням зупинити продажі й відправлення товару. Покупцям, які придбали пристрої за останні 90 днів, порадили утриматись від їх налаштування.

https://x.com/chainalysis/status/2110748973971468382?ref_src=twsrc%5Etfw

Оцінки збитків у різних джерел відрізняються: цифри коливаються від $72 млн до $93,2 млн. За даними Bitquery, постраждали 311 гаманців у п'яти мережах. Specter підрахував, що найбільше втрат припало на мережу TRON — близько 70,5 млн, тоді як Bitcoin втратив 16,8 млн, а Ethereum — $3,7 млн. Компанія Tether заморозила $10 млн у USDT. Сам Ledger офіційно не підтвердив жодну з цих сум.

Шпигунський чип усередині корпусу

13 жовтня в Ledger розкрили технічні деталі атаки. Шпигунський імплант розміщувався всередині корпусу пристрою, а його мікроконтролер зчитував слова seed-фрази в момент їхньої появи на екрані під час налаштування, після чого передавав дані через LTE за допомогою eSIM. При цьому Secure Element, операційна система та сам процес підписання транзакцій залишались незміненими. Ідеться про фізичну атаку на ланцюг постачання, а не про злом програмного забезпечення.

Ми не маємо жодних ознак того, що безпека, системи чи сервіси Ledger були скомпрометовані

Ledger

Seed-фраза фактично виконує роль майстер-ключа: будь-хто, хто її знає, здатен відновити гаманець на іншому пристрої та вивести з нього кошти, навіть не маючи фізичного доступу до оригінального апарата.

Чи обмежується проблема лише одним реселером

https://x.com/MagicalTux/status/2109916873689280900?ref_src=twsrc%5Etfw

Колишній керівник біржі Mt. Gox Марк Карпелес заявив, що виявив подібний імплант у моделі Ledger Flex, яку придбав в аеропорту Сінгапуру. Мережа магазинів MediaMarkt Saturn своєю чергою призупинила продаж пристроїв після того, як клієнт із Німеччини повідомив про виявлений «шпигунський» чип. Водночас Ledger наполягає, що всі підтверджені випадки збитків пов'язані саме з CryptoBilis, а повідомлення про крадіжку з пристрою, придбаного через інший канал, компанія не перевіряла.

Генеральний директор Ledger Паскаль Готьє пообіцяв з'ясувати, «хто втрутився в ці пристрої і на якому етапі ланцюга постачання». Технічний директор компанії Шарль Гійєме додав, що зараз триває перегляд контролю за реселерами та посилення захисту від фізичного втручання в продукцію.

Рекомендації від Ledger

https://x.com/Ledger/status/2109896739985453358?ref_src=twsrc%5Etfw

Це вже другий за останні два місяці випадок компрометації апаратних гаманців: раніше подібна історія сталась із Coldcard, де причиною стала помилка в генераторі випадкових чисел. Цього разу загроза приховувалась у вигляді чипа, вбудованого безпосередньо в пристрій.

Покупцям CryptoBilis, які придбали пристрій протягом останніх 90 днів, краще не налаштовувати його взагалі. Тим, хто вже активно користується таким гаманцем, варто якнайшвидше перенести кошти на новий пристрій із новою seed-фразою. Якщо гаманець надійшов із вже надрукованою наперед фразою, його слід одразу вважати небезпечним.