Gizli eSIM ile kripto seed ifşalayan modifiye edilmiş Ledger Nano X cüzdanları

Bilinmeyen saldırganlar, alıcıların seed ifadelerini gizlice kaydeden ve suçlulara mobil bağlantıyla gönderen modifiye edilmiş Ledger Nano X donanım cüzdanlarını satıyor. Tibane Labs analizine göre, bu cihazlarla yaklaşık 100 milyon ABD doları tutarında kripto para çalınmış durumda. Blockchain gözlemcileri 300'den fazla zarar görmüş cüzdan tespit etmiş ve bunlardan toplam yaklaşık 93 milyon ABD doları çekilmiş. Çalınan paralar daha sonra değiştirilir ve kısmen kripto mikserler aracılığıyla meşru hale getirilir.

Manipülasyon Nasıl Çalışır

Her Ledger Nano X'te küçük dokunmatik ekranı kontrol eden Secure Element çipi bulunur. Ledger bu mimariyi özellikle güvenli olarak sunar, ancak bu yalnızca saldırganlar ekranı okuyamazsa işe yarar. Hırsızlar gerçek cihazlara ek donanım ekler ve dikkatsiz kripto yatırımcılarına satarlar.

Ek çip, Secure Element'den gömülü ekrana olan iletimi yakalar ve orada görüntülenen seed ifadesinin harflerini algılar; bu tekniğe embedded Tempest denir. Secure Element'in kendisi değiştirilemez ve güvenilir kalır. Donanım cüzdanlar prensipte çevrimdışı çalıştığı için hırsızlar LTE modemi, küçük eSIM modülü ve cüzdanın pilini besleyen bir anten ekler. Böylece seed ifadesi mobil bağlantıyla iletilir ve saldırganlar güvenli kripto varlıkları kontrol altına alır.

Şüpheli Satıcı ve Zarar

Şüphe, öncelikle Malezya'dan çalışan cüzdan satıcısı Cryptobilis üzerine çekiliyor. Ledger, son üç ayda Cryptobilis'ten cüzdan alan herkesin bu cüzdanları kullanmamasını ve varlıkları hızla başka bir cüzdana taşımasını öneriyor. Şirket Cryptobilis'in satışlarını durdurmuş ve Ledger'ın tüm bayilerini diğer müşteriler için iade etmeye yönlendirmiştir. Zarar gören alıcıların tamamı cüzdanı Cryptobilis'ten almadığını bilmiyor. Tibane Labs'e göre, manipüle edilmiş bir Ledger, Amazon'un Japonya mağazasından Çinli bir satıcıdan alınmış ve Malezya'dan gönderilmiş.

Doğrulanamayan ekran görüntülerine göre, Cryptobilis Ağustos ayından beri Çinli JiaMing'e ait. Eski sahiplerin şirketle artık hiçbir bağları olmadığını söyledikleri belirtiliyor. Ledger bir müşteri için mali zararı ve cüzdanın manipüle edilmesini kabul etmiş, ancak tam koşullar ve zararın büyüklüğü henüz doğrulanmamış.

Sahte Cihazların Üçüncü Kuşağı

Yeni keşfedilen manipüle edilmiş Ledger cihazları en azından üçüncü kuşağa ulaşmış durumda. Mayıs ayında gömülü sistem uzmanı Joe Grand, Hardware.io'da görünüşe göre elle modifiye edilmiş Ledger Nano X cihazlarını tanıttı. Küçük USB gövdesine yer açmak için hırsızlar pilin boyutunu küçültmüş ve yalnızca cihaz açıldığında görünen gizli bir hat oluşturmuş.

Tibane Labs iki iyileştirilmiş manipülasyon daha tanımlıyor. Biri daha profesyonelce yapılmış, ancak pil yine de değiştirilmişti. Üçüncü kuşakta ek parçalar profesyonelce kesilmiş, orijinal pil ise değiştirilmemiş. Hırsızlar yer açmak için daha az belirgin bir yöntem bulmuş: Ledger ekranı aşağıdan köpükle korumuş, saldırganlar bu köpüğü sıyırıyor. Açıldığında manipüle edilmiş Ledger Nano X içinde yalnızca küçük bir anten teli görünüyor.

Kaynaklar: heise.de