Ledger, 93 milyon dolarlık cüzdan boşaltmasını CryptoBilis bayisinin cihazlarına bağladı

Gizmodo, Protos, Decrypt ve Bitquery'nin aktardığı blokzincir analizlerine göre, Güneydoğu Asya'da Ledger donanım cüzdanlarını CryptoBilis adlı bayiden satın alan yüzlerce kullanıcının cüzdanı 9 Ekim'de eşgüdümlü biçimde boşaltıldı; kaybın 72 ile 93 milyon dolar arasında olduğu tahmin ediliyor. Ledger, kayıpların Endonezya, Malezya ve Filipinler için bayi olarak listelediği CryptoBilis üzerinden satılan cihazlarla sınırlı olduğunu düşündüğünü açıkladı ve bayiden tüm satış ve sevkiyatları durdurmasını istedi. Crypto Briefing'in aktardığına göre Ledger, 10 Ekim'de CryptoBilis'in sattığı en az bir cihazda saldırganlara kullanıcının kurtarma ifadesine erişim sağlayan yetkisiz bir donanım implantı bulunduğunu doğruladı.

Neler oldu?

Protos ve Decrypt'in haberine göre boşaltmaları ilk fark edenler, Ethereum, TRON ve Bitcoin ağlarında yüzlerce mağdur cüzdandan gelen transferleri izleyen zincir üstü araştırmacılar Specter ve Tanuki42 oldu. Specter kaybı 86 milyon doların üzerinde hesapladı. Gizmodo'nun aktardığı Arkham verileri ise 9 Ekim öğleden sonra işaretlenen adreslerde yaklaşık 71,5 milyon dolar bulunduğunu gösteriyordu.

Bitquery, en son 11 Ekim'de güncellediği analizinde 315 cüzdandan toplam 93,2 milyon dolar çekildiğini hesapladı. Şirkete göre bunun 70,5 milyon doları TRON'dan, 16,8 milyon doları Bitcoin'den, kalanı ise Ethereum, BNB Chain, Polygon ve Solana'dan geldi. Bitquery'nin zaman çizelgesine göre 9 Ekim'de UTC 04:59'da 30 TRON cüzdanına yeni bir anahtar eklenerek sahipleri dışarıda bırakıldı, ardından saniyeler içinde yaklaşık 29 milyon dolar çekildi; UTC 05:54'te ise 111 Bitcoin cüzdanı tek blokta boşaltıldı. Şirket, saldırganın 25 Eylül ile 7 Ekim arasında deneme işlemleri yaptığını belirtti.

Ledger kayıp tutarını ve kaç cihazın etkilendiğini doğrulamadı. Gizmodo'nun aktardığına göre şirket, kendi güvenlik altyapısının, sistemlerinin veya hizmetlerinin ele geçirildiğine dair bir işaret olmadığını söyledi.

Teknik detaylar

Şüphelenilen neden bir yazılım açığı değil, tedarik zincirinde fiziksel kurcalama. Gizmodo'ya göre Ledger'ın açıklamasından önce Mt. Gox'un eski CEO'su Mark Karpelès, Malezya'dan aldığını söylediği bir Ledger cihazının fotoğraflarını paylaştı ve cihazda LTE modülü ile veri eSIM'i bulunan gizli ikinci bir kart olduğunu öne sürdü. Karpelès cihazın CryptoBilis'ten alındığını söylemedi; iddia bağımsız olarak doğrulanmış değil. Crypto Briefing, Ledger'ın açıklamasında implantın nasıl çalıştığına dair ayrıntı bulunmadığını ve şirketin bayilere iade edilen ürünlerin asla yeniden satışa konmaması gerektiğini hatırlattığını yazdı.

Protos'un aktardığına göre güvenlik araştırmacısı Taylor Monahan, ortada bir sıfır gün açığı görünmediğini belirterek, fonlarını panikle taşımaya çalışan kullanıcıların oltalama, sahte Google reklamları ve sahte uygulamalarla hedef alınabileceği uyarısında bulundu.

Kimler etkileniyor?

Etkilenen grup, yaklaşık son üç ayda CryptoBilis'ten Ledger cihazı alan müşteriler. Protos ve Gizmodo, CryptoBilis'in Trezor, OneKey, Tangem ve SafePal cüzdanları da sattığına dikkat çekti; ancak bu markalarla ilgili doğrulanmış bir boşaltma vakası yok. Bitquery'ye göre Tether 37 adresi engelledi ve toplamın küçük bir kısmı olan yaklaşık 10 milyon dolarlık USDT dondurulmuş durumda. Bitcoin gibi ağlardaki varlıkları dondurabilecek merkezi bir taraf bulunmuyor.

Ne yapmalı?

Ledger, son 90 gün içinde CryptoBilis'ten cihaz alanların kullanılmamış cihazları kurmamasını, cihazı kullanmaya başlamış olanların ise varlıklarını yeni kurtarma ifadesiyle kurulmuş yeni bir Ledger cihazına taşımasını tavsiye etti. Üçüncü taraflardan donanım cüzdanı alan herkesin cihazın kaynağını doğrulaması, cihazı doğrudan üreticiden ya da doğrulanmış bir bayiden alması ve cüzdan yazılımını yalnızca resmi kaynaklardan indirmesi önerilir.