Открити импланти за кражба на криптовалути от хардуерните криптокошелци Ledger Nano X

Компания Ledger потвърди информацията за откритите импланти (хардуерни надстройки), внедрени в хардуерните криптокошници Ledger Nano X, продавани не през официално препоръчани доставчици. Основната ударена част са купувачите чрез реселера CryptoBilis, работещ в Малайзия, Индонезия и Филипините. Предполага се, че с помощта на открития имплант са откраднати средства от 324 криптокошника на стойност около 102 милиона долара.

Изследователите изучиха три варианта на импланти, вградени в устройства, които бяха закупени чрез Amazon Japan и Yahoo! Auctions от китайски продавач, изпращащ поръчки от Малайзия. В имплантите беше използван микроконтролер ST STM32G431KBU6 (ARM Cortex‑M4, 128 KB Flash), LTE модем и eSIM, свързани към шина SPI за прихващане на информация за натисканията на бутоните и данните, показвани на вградения OLED екран. Прихванатата информация се изпращаше на злодеите чрез мобилна мрежа и съдържаше тайната сид фраза, въвеждана от потребителя при възстановяване или генерирана при инициализация на новия кошник.

В първия и втория вариант, за монтиране в корпуса на допълнителната платка, беше заменена батерията, а в третия вариант оригиналната батерия остана, а чипът беше поставен в прорези на пенопластовата прокладка под екрана. В първия вариант модификацията може веднага да се забележи по изобилието от допълнителни проводници.

Във втория вариант беше използвана платка, свързваща се чрез гъвкав шлейф, запоен към заводските изводи на оригиналната платка.

В третия вариант беше използвана не самоделна, а специално проектирана накладна печатна платка, произведена масово по поръчка. Единственото видимо доказателство остана само проводникът на антената, а самата платка на импланта беше разположена плътно над оригиналната платка Ledger и визуално се сливаше с нея. Маркировката на микросхемите беше изтъркана.

Подмяната на имплантите беше извършена на един от етапите на веригата на доставки без компрометиране на инфраструктурата на компанията Ledger. Тъй като модификацията не засяга оригиналния чип Ledger, стандартната функция за проверка на автентичността не позволява откриването на наличието на имплант.

На потребителите, които през последните три месеца са купували хардуерни криптокошелци чрез компанията CryptoBilis, се препоръчва да не инициализират нови устройства или да прехвърлят средства на нов портфейл, генерирайки отново seed фраза. За да предотврати подобни инциденти в бъдеще, компанията Ledger възнамерява да въведе допълнителни мерки за защита от физическа намеса. Компанията CryptoBilis, която през март 2026 г. смени собственика си, прекрати продажбите на хардуерни криптокошелци до завършване на разследването.

Източник: opennet.ru