Ledger-hardwarewallets doelwit van geavanceerde manipulatiecampagne met 90 miljoen dollar aan verliezen

Maleisische retailer CryptoBilis onder vuur omdat verborgen implantaten de beveiliging omzeilen op aan klanten verkochte cold storage-apparaten

Een cryptoretailer in Kuala Lumpur staat centraal in een groeiend onderzoek naar gecompromitteerde hardwarewallets van Ledger SAS. Borden bij de winkel op 10 oktober meldden dat fysieke winkels tijdelijk gesloten zijn tot nader order.

Het incident draait om CryptoBilis, een wederverkoper van apparaten die digitale activa offline moeten houden. Klanten begonnen vanaf 9 oktober geld te missen en blockchain-analisten schatten de totale verliezen nu op meer dan 90 miljoen dollar.

Ledger bevestigt betrokkenheid van georganiseerde misdaadgroep

Het in Parijs gevestigde Ledger SAS verklaarde donderdag dat een zeer georganiseerde criminele groep verborgen hardware had geïnstalleerd in sommige van zijn producten. Het bedrijf had het probleem aanvankelijk in verband gebracht met CryptoBilis, maar onderzoekt nu vergelijkbare meldingen over wallets die elders zijn gekocht.

Deze zaak benadrukt de aanhoudende risico’s van cryptobewaarhulpmiddelen die ooit als zeer veilig werden beschouwd. De afgelopen maanden zijn er meerdere incidenten geweest waarbij zelfs offline apparaten werden gekraakt, soms al voordat eigenaren ze uit de verpakking haalden.

Dit toont aan dat cryptobewaring een operationeel risico is, niet alleen een cryptografisch risico. De echte beveiliging hangt af van het hele proces.

— Esme Pau, hoofd kapitaalmarkten en beleid bij CertiK, Verklaring over het Ledger-incident

Hoe de verborgen implantaten werken

Onderzoekers op sociale media hebben het mechanisme achter de implantaten in detail beschreven. De toegevoegde hardware onderschept de wachtwoorden die op Ledger-schermen worden weergegeven en stuurt ze via mobiele netwerken naar de aanvallers, waardoor toegang tot tegoeden op andere apparaten mogelijk wordt.

Hoewel Ledger-apparaten een beveiligingschip bevatten, omzeilen de implantaten dit en blijven ze onopgemerkt tijdens routinecontroles tot het geld verdwijnt.

Bescherming tegen één type aanval elimineert de andere niet.

— Aneirin Flynn, chief executive officer van FailSafe, Reactie op kwetsbaarheden van cold wallets

Eerdere incidenten met cold wallets zorgen voor zorgen in de sector

De situatie rond Ledger volgt op andere tegenslagen voor makers van cold wallets dit jaar. Een softwareprobleem bij Coinkite Inc. maakte diefstal van ongeveer 130 miljoen dollar aan bitcoin mogelijk, terwijl Trezor een datalek via een verzendpartner opliep waarbij gegevens van ongeveer 67.000 klanten werden blootgelegd.

Mensen kopen hardwarewallets om hun blootstelling aan online diefstal te verminderen, maar ze blijven afhankelijk van de software, diensten en mensen die betrokken zijn bij het beheer van hun activa.

— Aneirin Flynn, chief executive officer van FailSafe, Bredere commentaar op risico’s van hardwarewallets

Klantrapporten over gemanipuleerde apparaten komen naar buiten

Ben Yorke, een professional in de cryptosector gevestigd in Kuala Lumpur, kocht een Ledger Flex bij een Metapod-winkel op Singapore’s Changi Airport. Hij zag tekenen van manipulatie voordat hij het apparaat installeerde en stuurde het op voor analyse.

Mark Karpelès, crypto-onderzoeker en voormalig Mt. Gox-bestuurder die nu Tibane Labs leidt, onderzocht het apparaat. Hij identificeerde een aangepaste connector gekoppeld aan het display plus een mobiele chip en simkaart.

Dit is niet iemand in een garage die implantaten op een Ledger plaatst. Dit is het soort schaal dat je in spionagefilms ziet.

— Mark Karpelès, crypto-onderzoeker en oprichter van Tibane Labs, Interview met Bloomberg

Ledger SAS zei dat het samenwerkt met de lokale politie en meer details zal vrijgeven naarmate het onderzoek vordert. CryptoBilis heeft niet gereageerd op verzoeken om commentaar.