Модифіковані гаманці Ledger Nano X з прихованим eSIM викрадають крипто seed-фрази

Невідомі зловмисники продають модифіковані апаратні гаманці Ledger Nano X, які приховано записують seed-фрази покупців та надсилають їх злочинцям через мобільний зв'язок. За аналізом Tibane Labs, за допомогою цих пристроїв вже виведено приблизно 100 мільйонів доларів США у криптовалюті. Дослідники блокчейну виявили понад 300 заражених гаманців, з яких в сьому вилучено близько 93 мільйонів доларів США. Викрадені монети потім обмінюються та частково легалізуються через крипто-мікшери.

Як працює маніпуляція

У кожному Ledger Nano X є чіп Secure Element, який керує маленьким сенсорним екраном. Ledger вважає цю архітектуру особливо захищеною, але це працює лише тоді, коли зловмисники не можуть зчитати екран. Злочинці додають додаткове апаратне забезпечення до реальних пристроїв і продають їх неуважним криптоінвесторам.

Доданий чіп перехоплює передачу від Secure Element до вбудованого екрана та розпізнає літери seed-фрази, що відображаються там; цю техніку називають embedded Tempest. Сам Secure Element залишається недоторканим і захищеним. Оскільки апаратні гаманці в принципі працюють офлайн, злочинці додають LTE-модем, маленький eSIM-модуль та антену, які живляться від батареї гаманця. Таким чином seed-фраза передається через мобільний зв'язок, і зловмисники контролюють захищені криптоактиви.

Підозрілий продавець і збитки

Підозра падає на Cryptobilis, продавця гаманців, який працює переважно з Південно-Східної Азії, з Малайзії. Ledger радить усім, хто купував у Cryptobilis за останні три місяці, не використовувати ці гаманці та швидко перевести активи в інший гаманець. Компанія заборонила подальші продажі Cryptobilis і рекомендувала всім дилерам Ledger повернути товари іншим клієнтам. Не всі постраждалі покупці знають, що купували саме у Cryptobilis. За даними Tibane Labs, один модифікований Ledger був куплений у китайського продавця в японському магазині Amazon і відправлений з Малайзії.

За непідтвердженими скріншотами, Cryptobilis належить китайцю JiaMing з серпня. Колишні власники стверджують, що не мають нічого спільного зі старим бізнесом. Ledger визнав фінансові збитки одного користувача та маніпуляцію з його гаманцем, але точні обставини та повний масштаб збитків не підтверджено.

Третє покоління підроблених пристроїв

Нещодавно виявлені модифіковані пристрої Ledger — щонайменше третє покоління. У травні вбудований спеціаліст Joe Grand на Hardware.io продемонстрував нібито вручну модифіковані Ledger Nano X. У маленькому USB-корпусі злочинці замінили батарею на меншу, щоб звільнити місце, і створили помітне зовні з'єднання, яке видно лише після розбирання.

Tibane Labs описує ще дві вдосконалені маніпуляції. Одна була створена більш професійно, але батарею все одно замінили. У третьому поколінні додаткові деталі професійно підрізані, а оригінальна батарея недоторкана. Злочинці знайшли менш помітний спосіб звільнення місця: Ledger захищає екран знизу піною, яку зловмисники видаляють. У розібраному модифікованому Ledger Nano X видно лише маленький пучок антени.

Джерела: heise.de