Leveranskedjeattacken mot Ledger har fått tillverkaren av kryptoplånböcker att uppmana distributörer och återförsäljare i Sydostasien och Hongkong att stoppa försäljningen. Företaget vill också att säljarna tar bort enheterna från butikshyllorna medan det utreder hårdvarumanipulationen.
Utredare har hittat modifierade plånböcker med implantat som fångar upp återställningsfraser och överför dem via en LTE-anslutning. Dessa fraser kan ge angripare tillgång till kryptovalutan som skyddas av en drabbad plånbok.
Utredning kopplar bekräftade förluster till enheter från CryptoBilis
Ledger inledde en utredning den 9 oktober efter att flera användare rapporterat förluster av kryptovaluta. Företaget bekräftade därefter manipulation av vissa enheter som sålts av den sydostasiatiska återförsäljaren CryptoBilis.
Företaget tillverkar hårdvaruplånböcker som lagrar privata nycklar som används för att godkänna kryptovalutatransaktioner. Implantaten riktar sig dock mot återställningsfrasen i stället för att ändra plånbokens process för transaktionssignering.
Enligt Ledger gäller alla bekräftade förluster av tillgångar enheter som köpts från CryptoBilis. Rapporter om andra återförsäljare har trots detta ökat oron kring distributionskedjan.
Hårdvaruimplantat skickar återställningsfraser via LTE
Ledgers säkerhetsteam Donjon förklarade att implantatet innehåller en mikrokontroller som kan upptäcka och avkoda plånbokens återställningsfras på 24 ord.
Denna fras gör det möjligt för ägaren att återställa åtkomsten till sin plånbok. Följaktligen kan även den som kommer över frasen få kontroll över de tillhörande tillgångarna.
Efter att ha fångat upp frasen överför implantatet den via LTE med hjälp av ett förkonfigurerat eSIM.
Det är viktigt att notera att den skadliga hårdvaran fungerar som en separat komponent. Den modifierar inte Ledgers Secure Element eller operativsystem och ändrar inte heller transaktioner eller signaturer.
Därför kan Ledgers befintliga självkontroller av integritet inte upptäcka denna typ av implantat. En enhet kan alltså klara dessa kontroller trots att den innehåller extra hårdvara som är utformad för att stjäla återställningsfrasen.
Rapporter omfattar fler än den ursprungligen identifierade återförsäljaren
Användare har också rapporterat modifierade plånböcker som köpts från andra säljare i Asien och Europa.
Dessa rapporter omfattar köp från en Metapod-teknikbutik på en flygplats i Singapore och via MediaMarkt i Europa. Rapporter om komprometterade enheter skiljer sig dock från Ledgers bekräftade uppgifter om kryptovalutaförluster.
MediaMarkt, som köper in Ledger-produkter via distributören Aqipa GmbH, har tagit bort enheterna från butikshyllorna efter rapporterna.
Samtidigt har Ledger utökat sitt försäljningsstopp till att omfatta fler än den återförsäljare som ursprungligen kopplades till utredningen.
Leveranskedjeattack mot Ledger leder till regionalt försäljningsstopp
Det bredare stoppet omfattar distributörer i Indonesien, Singapore, Thailand, Filippinerna, Vietnam, Malaysia och Hongkong.
Ledger har uppmanat säljarna att stoppa försäljningen tills utredningarna om enheternas säkerhet har avslutats. Åtgärden syftar till att förhindra ytterligare distribution medan företaget granskar den drabbade leveranskedjan.
Samtidigt uppger Ledger att företagets infrastruktur, system, tjänster och direkta försäljningskanal fortfarande är säkra att använda.
Denna försäkran gäller företagets egen verksamhet. Den pågående utredningen fokuserar på fysisk manipulation av enheter som sålts genom tredjepartskanaler.
Trezor skärper kontrollen av sitt återförsäljarnätverk
Separat har tillverkaren av hårdvaruplånböcker Trezor meddelat planer på att minska sitt återförsäljarnätverk som en försiktighetsåtgärd mot leveranskedjeattacker.
Företaget uppger att det inte har hittat några bevis för komprometterade Trezor-enheter. Trots detta planerar det att skärpa kraven på samarbetspartner och öka granskningen av hur återförsäljare anskaffar, lagrar och hanterar plånböcker.
Förändringarna omfattar ett uppdaterat juridiskt ramverk och närmare övervakning av kvarvarande samarbetspartner.
I brev till berörda återförsäljare uppgav Trezor att deras samarbeten kommer att avslutas den 1 januari 2027. Deras tillstånd att sälja Trezor-enheter upphör samma datum.
0 svar till ”Ledger stoppar försäljningen av hårdvaruplånböcker i Sydostasien efter manipulation av enheter”