Шпионский чип в кошельке Ledger, который прошел проверку безопасности

Исследователи из Tibane Labs недавно обнаружили пугающую аппаратную модификацию: несанкционированные компоненты, спрятанные внутри нескольких подозрительных устройств Ledger Nano X. Это открытие разрушает иллюзию офлайн-безопасности, выявляя сложную физическую атаку, которая обошла основные механизмы защиты кошелька.

Злоумышленники заменили оригинальный аккумулятор на меньший по размеру, освободив место для крошечного, но мощного шпионского модуля. Этот имплант состоял из:

• Микроконтроллера
• eSIM размером 2x2 миллиметра
• Экранированного модуля LTE
• Самодельной внутренней антенны

Этот сотовый шпион внутри кошелька Ledger предположительно отслеживал активность дисплея и кнопок во время процесса первоначальной настройки. Наблюдая за этими действиями, имплант мог восстановить фразу восстановления пользователя — 24 слова, управляющие их криптовалютой. После получения данных встроенное оборудование LTE передавало эту конфиденциальную информацию напрямую злоумышленникам, полностью обходя необходимость подключения к компьютеру или интернету.

Процесс аттестации «Genuine Check» от Ledger не обеспечил защиты от этих физически скомпрометированных устройств. Эта важная программная проверка, предназначенная для обеспечения целостности устройства, проверяет только чип Secure Element. Она подтверждает, что криптографическое ядро кошелька не затронуто, но такая узкая направленность создает критическую слепую зону для внешних аппаратных модификаций.

Аутентичный и криптографически неповрежденный чип безопасности может сосуществовать с вредоносным дополнением. Таким образом, прохождение программной проверки Ledger не является доказательством того, что устройство не подвергалось вмешательству. Исследователи из Tibane Labs, включая бывшего генерального директора Mt. Gox Марка Карпелеса, сообщили об обнаружении импланта, разработанного для обхода именно этой проверки, подчеркнув, что ярлык «невзламываемый» относится только к той части, которая проверяется.

Имплант — микроконтроллер, eSIM размером 2x2 мм и модуль LTE — предположительно подключался напрямую к шине Serial Peripheral Interface (SPI) кошелька. Это позволило ему отслеживать вывод на дисплей и нажатия кнопок, перехватывая seed phrase пользователя во время настройки. Затем данные передавались через LTE, полностью обходя защиту кошелька с воздушным зазором и любую программную аттестацию.

Эти выводы, приписываемые Tibane Labs и последующим отчетам, подчеркивают сложную атаку на цепочку поставок. Скомпрометированные устройства Ledger Nano X, отслеженные до реселлера CryptoBilis, прошли проверку подлинности Ledger, потому что их Secure Elements были настоящими. Проблема заключалась не в изъяне криптографии Ledger, а в физической целостности самих устройств, что доказывает: даже надежные программные проверки не всегда могут учесть аппаратное вмешательство.

Слабым звеном в цепочке поставок Ledger Nano X, по-видимому, является конкретный реселлер, а не взлом на заводе. Исследователи отследили скомпрометированные устройства до CryptoBilis, малайзийского дистрибьютора, и обнаружили их в продаже на таких платформах, как Amazon Japan и Yahoo! Auctions. Это указывает на целенаправленное вмешательство на уровне посредника, а не на системный взлом производственных мощностей Ledger.

Хотя некоторые подозревают, что в объявлениях кошельки предлагались почти за полцены, одна лишь цена не может окончательно подтвердить, что устройство скомпрометировано. Однако покупка у неавторизованных или сторонних продавцов неизменно усложняет проверку происхождения продукта, создавая возможности для вмешательства в цепочку поставок. Этот инцидент подчеркивает критическую важность проверки легитимности продавца.

Сообщаемый финансовый ущерб значителен, хотя оценки разнятся, а к атрибуции следует подходить с осторожностью. Компания по анализу блокчейна Bitquery оценила предполагаемые убытки примерно в 93 миллиона долларов США для 315 кошельков. Эти цифры, приведенные в различных отчетах, подчеркивают серьезные последствия такой сложной аппаратной атаки. Для получения дополнительной информации см. Ledger Finds Unauthorized Hardware Implant in CryptoBilis-Sold Wallet Amid Fund Theft Reports.

Итак, вы купили Ledger Nano X, но обнаружили, что он пришел от подозрительного реселлера, такого как CryptoBilis, или через объявление на «сером» рынке, например, на Amazon Japan или Yahoo! Auctions. Во-первых, не инициализируйте его. Не вводите существующую фразу восстановления. Немедленно свяжитесь с официальной поддержкой Ledger и следуйте их инструкциям для скомпрометированных устройств.

Если вы уже ввели свою фразу восстановления на устройстве, которое теперь вызывает подозрения, действуйте быстро. Сгенерируйте новую seed-фразу на проверенном, неповрежденном аппаратном кошельке. Немедленно переведите все активы на новые адреса, контролируемые этой новой безопасной seed-фразой. Важно: ни при каких обстоятельствах не сообщайте свою seed-фразу сотрудникам службы поддержки или кому-либо еще — это мастер-ключ к вашим средствам.

Этот инцидент преподает суровые уроки. Всегда покупайте аппаратные кошельки напрямую у производителя или через официально проверенных, авторизованных розничных продавцов. Рассматривайте «Genuine Check» устройства как один из уровней аутентификации, а не как абсолютную гарантию физической целостности.

В конечном счете, ваша цифровая безопасность зависит не только от криптографии, но и от физического происхождения и устойчивости вашего оборудования к несанкционированному вмешательству. Бдительность на протяжении всей цепочки поставок остается первостепенной задачей; настоящая атака часто кроется не внутри Secure Element, а незаметно вокруг него.

Что, как сообщается, было найдено внутри некоторых кошельков Ledger?

Исследователи сообщили об обнаружении неавторизованных компонентов в некоторых устройствах Ledger Nano X, включая микроконтроллер и оборудование для сотовой связи. В отчетах описываются модифицированные устройства, проданные реселлерами, а не подтвержденное нарушение производственной линии Ledger.

Как имплантат мог украсть фразу восстановления?

Согласно отчету, имплантат отслеживал активность дисплея и кнопок во время настройки, чтобы вычислить фразу восстановления, а затем использовал сотовую связь для передачи данных.

Обнаруживает ли Genuine Check от Ledger любую физическую модификацию?

Нет. Проверка подтверждает подлинность Secure Element, но подлинный, нетронутый чип не доказывает, что другие части устройства не были изменены.

Что мне делать, если я купил подозрительный Ledger?

Не настраивайте его. Если вы уже ввели на нем фразу восстановления, переместите активы на адреса, контролируемые свежесгенерированной seed-фразой на проверенном устройстве.