Kiberbiztonság
Kémchipek a boltban vett Ledger-tárcákban: mobilhálózaton lopták a seedet
A hardveres kriptotárcát a legbiztonságosabb tárolási módnak tartják, most mégis épp ez vált csapdává. Rejtett mobilmodullal felszerelt Ledger-eszközök kerültek boltok polcaira, a kárról 71 és 93 millió dollár közötti összegek keringenek.
Hogyan működik a csapda
A hardveres tárca lényege, hogy a kriptovaluták kezeléséhez szükséges titkos kulcs soha nem hagyja el az eszközt. Az első beállításkor a tárca kijelzője megmutat egy szósorozatot, a helyreállítási mondatot (angolul seed phrase). Ebből a teljes tárca és a rajta lévő vagyon bármikor visszaállítható, így aki megszerzi, mindenhez hozzáfér. A módosított példányokban a kijelző alá rejtett hajlékony nyomtatott áramkör rögzíti a képernyőn megjelenő kulcsot. A beépített eSIM, vagyis a készülékbe ültetett virtuális SIM-kártya és az LTE-modul ezután mobilhálózaton kiküldi az adatot. A felhasználó semmit sem vesz észre, a tárca pedig látszólag rendesen működik. A cikk szerint a talált tárcák többsége új, nem visszaküldött darab volt, tehát nem egy elcserélt használt eszközről van szó.
Az első csapdázott tárca egy malajziai boltból került elő, a Cryptobilis nevű viszonteladótól. A cég Indonéziában és a Fülöp-szigeteken is árul, és azóta minden hardveres tárca eladását leállította. Mark Karpelès kutató egyik példánya az Amazon Japanről érkezett, egy kínai eladótól, Malajziából szállítva. Ez arra utal, hogy a fertőzött eszközök nemcsak helyi boltokon, hanem nemzetközi online piactereken keresztül is terjedhetnek.
Az ügy Európát sem kerülte el. Egy Johannes nevű, feltehetően németországi szakember két különböző MediaMarkt-boltban is módosított tárcát talált. Az egyik az Aqipa GmbH európai elosztótól származott. Egyelőre nem tudni, hogy az ázsiai és az európai eset összefügg-e, és azt sem, mekkora az érintett Aqipa-készlet.
Kézműves munkától a gyártósorig
Karpelès blogja szerint a korábbi implantátumok kézzel készültek, a legújabbak viszont rendelésre gyártottnak tűnnek. Ez tömeges gyártósorra utalhat, vagyis a támadók a kísérletezésen túljutva már nagyobb léptékre rendezkedhettek be. Az eset rávilágít az ellátási lánc gyengeségére. Hiába biztonságos maga az eszköz, ha valaki a gyártó és a vásárló között megbontja és átalakítja, mielőtt a vevőhöz ér. A hivatalos viszonteladói hálózat sem jelent automatikusan garanciát.
Mit tegyenek a tulajdonosok
A Ledger azt javasolja, hogy aki az elmúlt 90 napban a Cryptobilistól vásárolt, ne végezze el a kezdeti beállítást. Aki már megtette, költöztesse a vagyonát új tárcára, új helyreállítási mondattal. A cég saját oldalán közzétett útmutatója szerint a felhasználók ellenőrizhetik a tárca fizikai épségét. Szoftvert pedig csak a hivatalos oldalról szabad letölteni. Mivel a közvetlenül a Ledgertől vett eszközök eddig nem érintettek, a gyártótól való vásárlás tűnik a legbiztonságosabb útnak.
Sok kérdés egyelőre nyitott. A kárösszeg bizonytalan: a Tom's Hardware cikke 93 millió dollárt ír, a kivonata 71 milliót, más forrás 80 milliót említ. Nem ismert, ki áll a támadás mögött, és hol gyártják a modulokat. Karpelès blogját és a Ledger hivatalos közleményét elsődleges forrásként sem sikerült még ellenőrizni, ezért a részletek a vizsgálatok előrehaladtával még változhatnak.