Ledger cüzdanlarına gizli çip yerleştirildi, kurtarma kelimeleri kurulum sırasında çalındı

Kripto para donanım cüzdanı üreticisi Ledger, bazı cihazlarına satış zincirinde gizli bir donanım implantı yerleştirildiğini doğruladı. Şirketin 13 Ekim’deki açıklamasına göre implant, cihazın ekranında gösterilen bilgileri okuyabiliyor. Kullanıcı cihazı ilk kez kurarken ekranda beliren 24 kelimelik kurtarma ifadesini algılıyor ve cihazın içine gizlenmiş bir eSIM üzerinden mobil ağla saldırganlara gönderiyor. Saldırganlar bu ifadeyle cüzdanı kendi cihazlarında yeniden oluşturup içindeki varlıkları boşaltıyor. Fonların boşaltıldığı ilk vakalar 9 Ekim’de görüldü.

Ledger’a göre doğrulanan hırsızlıkların hepsi Güneydoğu Asya’daki CryptoBilis adlı satıcı üzerinden satılan cihazlarla ilgili. Şirket etkilenen cihaz sayısının sınırlı olduğunu düşünüyor ve toplam kayıp hakkında spekülasyon yapılmaması çağrısında bulundu. Haberlerdeki tahminler kaybın 93 milyon dolara kadar çıkabileceğini gösteriyor. Ledger; Endonezya, Singapur, Tayland, Filipinler, Vietnam, Malezya ve Hong Kong’daki satıcılarından satışları durdurmalarını istedi. Almanya’da bir Mediamarkt mağazasından alınan bir cihazda da benzer bir durum incelendi, ancak orada para kaybı bildirilmedi. MediaMarkt Saturn de Ledger cihazlarının satışını durdurdu.

İşin en endişe verici yanı, implantın cihazın güvenlik çipine (Secure Element) dokunmaması. Bu yüzden değiştirilmiş cihazlar orijinallik kontrollerinden geçebiliyor. Ledger’ın güvenlik araştırma ekibi Donjon, cihazların dağıtım zincirinin hangi noktasında ve kim tarafından değiştirildiğini incelemeye devam ediyor. Şirket kendi altyapısının ya da doğrudan satış kanalının etkilendiğine dair bir işaret olmadığını söylüyor.

Olay, donanım cüzdanlarının ancak güvenilir bir kaynaktan alındığında güvenli olduğunu hatırlatan somut bir tedarik zinciri saldırısı örneği.

Önerilen önlemler

Ledger, son 90 gün içinde CryptoBilis’ten alınmış ve henüz kurulmamış cihazların kurulmamasını, Ledger desteğiyle iletişime geçilmesini istiyor. Bu tür bir cihazı kurmuş olanların varlıklarını hemen yeni bir cihaza ve yeni bir kurtarma ifadesine taşıması gerekiyor. Böyle bir cihaza mevcut bir kurtarma ifadesi de girilmemeli. Genel kural olarak donanım cüzdanları yalnızca üreticiden ya da yetkili satıcılardan alınmalı. Ledger hiçbir zaman arayıp kurtarma ifadesi istemiyor, bu olayı fırsat bilecek dolandırıcılara karşı dikkatli olmak gerekiyor.