Oszuści Ledger: oszust traci 60 bitcoinów

Ktoś, kto się na tym zna, został oszukany. Od 9 października setki posiadaczy oszukanych Ledgerów straciły swoje kryptowaluty. Ich urządzenia, zakupione w Azji Południowo-Wschodniej, zostały otwarte i sfałszowane przed sprzedażą. Wśród ofiar znalazł się jednak oszust. Właśnie zgromadził łup z oszustwa na temat <<płatnych zadań>> na trzech świeżo utworzonych adresach. Rezultat: złodzieje zabrali mu ponad 60 bitcoinów, około 4,8 miliona dolarów. Ta sama fala wyczyściła również setki portfeli związanych z malezyjskim sprzedawcą CryptoBilis.

Chainalysis opublikowało ten szczegół w czwartek po południu na X. Kilka godzin wcześniej Ledger dostarczył swoją pierwszą pisemną odpowiedź na atak. Producent nakazał również swoim sprzedawcom usunięcie swoich urządzeń z półek.
Kluczowe punkty tego artykułu:

• Oszust stał się ofiarą oszustwa związanego z oszukanymi portfelami Ledger, tracąc ponad 60 bitcoinów w skomplikowanej operacji prania pieniędzy.
• Ledger wycofał swoje produkty z półek w Azji Południowo-Wschodniej, ujawniając bardzo zorganizowaną grupę przestępczą, która zmodyfikowała autentyczne urządzenia, aby ukraść fundusze.

Oszukane Ledger: przypomnienie faktów dla tych, którzy przegapili początek

W piątek 9 października rano ten sam aktor opróżnił portfele na sześciu blockchainach w mniej niż godzinę. Wspólnym mianownikiem ofiar był Ledger zakupiony u CryptoBilis, autoryzowanego sprzedawcy w Indonezji, Malezji i na Filipinach. Już następnego dnia Ledger potwierdził, że znalazł implant sprzętowy w urządzeniu jednej z ofiar.

Komponent jest przymocowany do obudowy. Odczytuje ekran w momencie, gdy portfel wyświetla 24 słowa frazy odzyskiwania, a następnie przesyła je przez sieć komórkową dzięki wbudowanej karcie SIM. Dzięki tym 24 słowom złodziej nie potrzebuje już Ledger. Odtwarza portfel gdzie indziej i czeka, aż jego właściciel wpłaci tam swoje oszczędności.

Chainalysis i Bitquery śledzą łup z oszukanych Ledgerów

Schemat tego oszustwa związanego z płatnymi zadaniami jest znany policjom na całym świecie. Najpierw oszust rekrutuje pomocników. Płaci im za symulowanie zakupów i publikowanie fałszywych recenzji na temat rzeczywistych produktów. Pierwsze zyski się pojawiają, zaufanie rośnie. Następnie na ich koncie pojawia się <>. Aby odblokować swoje dochody, rekruci muszą najpierw włożyć coś z własnej kieszeni. Rozumiesz, co się dalej dzieje.

22 września organizator tego oszustwa przelał swoje zyski na trzy różne adresy Ledger, aby umieścić swój łup poza zasięgiem. Siedemnaście dni później, 9 października, złodzieje opróżnili wszystkie trzy w jednej transakcji każda. Wszystko trafiło na jeden portfel, który już wcześniej był zgłaszany jako miejsce przechowywania skradzionych funduszy. <<Jedną z największych ofiar kradzieży Ledger był sam oszust>>, podsumowuje Chainalysis na X. Czas mówi sam za siebie. Implant przechwycił 24 słowa już podczas konfiguracji urządzenia, a następnie złodziej czekał na dzień D, aby wszystko zabrać za jednym razem.

Bitquery śledzi ślad złodzieja oszukanych Ledgerów

Firma analityczna nie obudziła się w czwartek. Już 9 października Chainalysis ogłosiło, że prowadzi dochodzenie w sprawie <<skomplikowanej operacji prania pieniędzy między blockchainami>>. Przypadek oszusta jest pierwszym publicznie ujawnionym przypadkiem. Ale to inna firma analityczna on-chain, Bitquery, dostarczyła najpełniejszą autopsję tego napadu. Jej analitycy zaczęli od dziesięciu adresów opublikowanych 9 października przez badaczy tanuki42 i Specter. Następnie śledzili każdy opróżniony portfel na sześciu blockchainach, z niezależnym drugim liczeniem, aby zweryfikować liczby.

Na Bitcoinie 60 BTC oszusta dołącza do 203,8 bitcoinów skradzionych tego samego ranka z 122 portfeli, głównie w jednym bloku o 5:54 UTC. To oznacza, że dla jednego człowieka prawie 30% bitcoinów skradzionych tego dnia.

Raport Bitquery rozwiązuje również pewne pytanie: był tylko jeden złodziej, który już posiadał wszystkie klucze. Na Tron, 25 portfeli podpisało tę samą autoryzację dla tego samego adresu w ciągu trzech sekund. Osiem minut wcześniej, 30 innych portfeli straciło kontrolę na rzecz nieznanego klucza. Ludzie tego nie robią. Z drugiej strony, oprogramowanie, które posiada wszystkie frazy odzyskiwania, tak. Złodziej ćwiczył przez dwa tygodnie, wykonując małe testowe transfery, zanim uderzył.

Inna nauka: sześć z dziesięciu portfeli ofiar otrzymało swoje pierwsze fundusze w oknie 90 dni wspomnianym przez Ledger. Ale ponad osiem na dziesięć zrobiło to dopiero od czerwca. Ryzyko sięga więc prawdopodobnie nieco dalej niż oficjalna instrukcja.

Łup z pułapkowanych Ledgerów przechodzi przez Tornado Cash i Zcash

Blanchowanie międzyłańcuchowe wspomniane przez Chainalysis jest następnie wyraźnie widoczne w danych Bitquery. W ciągu kilku godzin złodziej rozproszył około 79 milionów dolarów w USDT skradzionych na Tron. Najpierw przesłał 20 milionów na Ethereum przez most USDT0, a następnie zamienił je na ether. Następnie wymienił 23,7 miliona na USDD, stablecoin, którego Tether nie może zablokować. Na koniec rozdzielił resztę między usługi wymiany natychmiastowej, takie jak Relay, Chainflip czy THORChain.

Następnie następuje pranie. Od 9 do 13 października około 7260 ETH weszło do miksera Tornado Cash. Znaczna część tego, co z niego wyszło, przeszła następnie przez Zcash, zanim wróciła w USDC lub ETH na nowe adresy. Do 15 października Bitquery wciąż potrafił zlokalizować 84 miliony dolarów na łańcuchu. 203,8 BTC nie ruszyło się ani o satoshi od 9 października.

Ten odosobniony przypadek ma niewielki wpływ na ogólny bilans pułapkowanych Ledgerów. Bitquery zlicza teraz 102 miliony dolarów wyssane z 324 portfeli i sześciu blockchainów. Ta liczba, zweryfikowana do 15 października, nie została ani potwierdzona, ani zakwestionowana przez Ledger. Tether zablokował również 10 milionów USDT związanych z dochodzeniem. Oszust pasuje do profilu innych ofiar: posiadaczy dużych sum w Azji Południowo-Wschodniej, którzy właśnie kupili portfel sprzętowy, aby zabezpieczyć swoje oszczędności.

Ledger wycofuje swoje portfele z półek i opisuje gang, który wydał miliony

Wersja Ledger dotarła 15 października, kilka godzin przed prezentacją Op3n, na której producent ujawnił swój Ledger Atom. Tekst mówi o "bardzo zorganizowanej grupie przestępczej". Przez długie miesiące grupa ta kupowała autentyczne urządzenia i otwierała je, aby wprowadzić niestandardowe komponenty. Ich rolą było przechwycenie frazy odzyskiwania podczas konfiguracji. Następnie wprowadziła te urządzenia z powrotem do obiegu przez sprzedawców w Azji Południowo-Wschodniej. Gang zbudował "własne serwery zbierające seed, swoje infrastruktury do opróżniania i prania". I "wydał miliony" przed uderzeniem w jednej skoordynowanej operacji.

Ledger podkreśla, co nie uległo uszkodzeniu. Chip, system operacyjny i serwery pozostały nienaruszone. "To nie była atak systemowy na łańcuch dostaw, to był atak lokalny na dystrybucję", pisze firma w swoim poście. Jej laboratorium zwane Donjonem rozmontowało implant. Zespoły następnie kupowały i otwierały urządzenia w sklepach, w Niemczech między innymi, a następnie badały próbki w magazynie. Wszystko było czyste.

Nowe zasady dla sprzedawców Ledger

Praktyczne konsekwencje sprawy z zainfekowanymi Ledgerami pojawiają się natychmiast. Ledger wstrzymuje sprzedaż u swoich autoryzowanych dystrybutorów w Azji Południowo-Wschodniej i Hongkongu. Zakaz odsprzedaży zwróconego urządzenia, nawet zapieczętowanego. A od teraz żaden produkt Ledger nie powinien pozostawać na półkach ani w witrynach. Zapasy pozostają w rezerwie, a sprzedawca wydaje je klientowi dopiero w momencie zakupu. Ledger prosi również swoich dystrybutorów o niezwłoczne zgłaszanie wszelkich produktów uznawanych za nietypowe przez kupujących. Wreszcie producent zaprasza << całą branżę do działania w ten sam sposób >>. Trezor i OneKey ogłosiły zresztą w zeszłym tygodniu redukcję swojej sieci dystrybutorów.

Ledger obiecuje również środki zaradcze << na poziomie produktu >>. Ledger Atom zaprezentowany tego samego dnia za 849 euro już wykrywa otwarcie swojej obudowy i usunięcie ekranu. Jednak wejdzie do sprzedaży dopiero latem 2027 roku. Żaden Nano X, Flex ani Stax w obiegu nie skorzysta z tej funkcji. Dla tych urządzeń zasada pozostaje taka sama od dziesięciu dni: nie konfigurować urządzenia zakupionego w CryptoBilis w ciągu ostatnich 90 dni bez wcześniejszej weryfikacji.