Um implante de hardware nos assinadores da Ledger é apontado como responsável pelo roubo de pelo menos US$ 86 milhões em criptomoedas de vários usuários.
A Ledger oferece aos usuários uma carteira segura de criptomoedas, associada a um assinador, um dispositivo físico, sem conexão com a internet, usado para autorizar transações em blockchain com segurança.
Os assinadores da Ledger vendidos pelo revendedor do Sudeste Asiático CryptoBilis foram encontrados com um implante de hardware não autorizado, projetado para interceptar dados dos usuários e enviá-los aos atacantes.
O roubo de criptomoedas foi divulgado em 9 de outubro e imediatamente atribuído aos dispositivos vendidos pela CryptoBilis. A Ledger pediu à empresa que interrompesse a venda de seus dispositivos e orientou os clientes a pararem de usá-los.
“Recomendamos que usuários da Ledger que compraram deste revendedor nos últimos 90 dias não iniciem a configuração, caso ainda não tenham feito isso. Se você já configurou seu dispositivo Ledger, considere transferir os ativos para um novo assinador Ledger (com uma nova semente, ou seed)”, disse a empresa.
Em 13 de outubro, a Ledger confirmou que todas as perdas de fundos confirmadas e ligadas ao incidente envolviam um assinador vendido pela CryptoBilis.
Aparentemente, alguém ao longo da cadeia de distribuição modificou os assinadores para soldar manualmente o implante de hardware às placas de circuito do dispositivo, segundo indícios levantados por pesquisadores.
“O implante fica dentro do invólucro e lê os dados exibidos na tela. Durante a configuração, o assinador mostra a frase de recuperação de 24 palavras. Quando o implante detecta essas telas, seu microcontrolador decodifica as palavras e as transmite pela rede LTE (Long Term Evolution) usando um eSIM (chip de SIM embutido) provisionado”, afirmou a Ledger.
O implante foi projetado apenas para interceptar informações e não modifica o sistema operacional (OS) do dispositivo, as transações ou as assinaturas.
Segundo o investigador on-chain Specter, as perdas totais associadas ao ataque à cadeia de suprimentos podem chegar a US$ 86 milhões.
A Ledger, por outro lado, diz que não confirmou o número de usuários afetados nem o total roubado.
