Ledger heeft bevestigd dat er implants (hardware-extensies) zijn ontdekt in de hardware cryptowallets Ledger Nano X, die niet zijn verkocht via officieel aanbevolen leveranciers. De grootste impact was op kopers via de reseller CryptoBilis, die actief is in Maleisiƫ, Indonesiƫ en de Filipijnen. Het wordt verondersteld dat met behulp van het ontdekte implantaat fondsen zijn gestolen van 324 cryptowallets ter waarde van ongeveer 102 miljoen dollar.
Onderzoekers hebben drie varianten van implants bestudeerd die in apparaten waren ingebouwd, gekocht via Amazon Japan en Yahoo! Auctions van een Chinese verkoper die bestellingen vanuit Maleisiƫ verzond. De implants maakten gebruik van de microcontroller ST STM32G431KBU6 (ARM Cortex-M4, 128 KB Flash), een LTE-modem en eSIM, aangesloten op de SPI-bus om informatie over knopindrukken en gegevens weergegeven op het ingebouwde OLED-scherm te onderscheppen. De onderschepte informatie werd via het mobiele netwerk naar de aanvallers gestuurd en bevatte de geheime seedphrase die door de gebruiker werd ingevoerd bij het herstel of die werd gegenereerd bij de initialisatie van een nieuwe wallet.
In de eerste en tweede variant werd de accu vervangen voor het plaatsen van het extra bord, terwijl in de derde variant de originele accu werd behouden en de chip werd geplaatst in de groeven van de schuimrubberen afdichting onder het scherm. In de eerste variant was de modificatie onmiddellijk zichtbaar door de overvloed aan extra draden.
In de tweede variant werd een bord gebruikt dat via een flexibele kabel was verbonden, die aan de fabrieksuitgangen van het originele bord was gesoldeerd.
In de derde variant werd een speciaal ontworpen, niet-huishoudelijke, gemonteerde printplaat gebruikt, die massaal op bestelling was geproduceerd. Het enige zichtbare teken was de antennedraad, terwijl de implantaatplaat vlak boven de originele Ledger-plaat was geplaatst en visueel ermee vergloeide. De markering op de chips was weggeschuurd.
De invoering van de implants vond plaats in een van de fasen van de toeleveringsketen zonder de infrastructuur van Ledger te compromitteren. Aangezien de modificatie de originele Ledger-chip niet aangrijpt, verhindert de standaard authenticatiefunctie de identificatie van het implantaat.
Gebruikers die in de afgelopen drie maanden hardware crypto wallets hebben gekocht via het bedrijf CryptoBilis, wordt aangeraden om geen nieuwe apparaten te inicialiseren of fondsen over te maken naar een nieuwe wallet door een nieuwe seed-fase te genereren. Om dergelijke incidenten in de toekomst te voorkomen, is het bedrijf Ledger van plan om aanvullende beveiligingsmaatregelen tegen fysieke inmenging te implementeren. Het bedrijf CryptoBilis, dat in maart 2026 eigenaarschap heeft veranderd, heeft de verkoop van hardware crypto wallets stopgezet tot het onderzoek is afgerond.
Bron: opennet.ru
