Ledger bị lừa: một kẻ lừa đảo mất 60 bitcoin

Kẻ tưới nước bị tưới nước. Kể từ ngày 9 tháng 10, hàng trăm người sở hữu Ledger bị lừa đã thấy tiền điện tử của họ biến mất. Các thiết bị của họ, được mua ở Đông Nam Á, đã bị mở ra và gian lận trước khi bán. Trong số các nạn nhân có một kẻ lừa đảo. Hắn vừa mới tập hợp số tiền từ một trò lừa đảo về << công việc trả tiền >> trên ba địa chỉ mới được tạo. Kết quả: những kẻ trộm đã lấy đi hơn 60 bitcoin, khoảng 4,8 triệu đô la. Cơn bão này cũng đã làm trống hàng trăm ví liên quan đến nhà phân phối Malaysia CryptoBilis.

Chainalysis đã công bố chi tiết này vào chiều thứ Năm trên X. Vài giờ trước đó, Ledger đã đưa ra phản hồi bằng văn bản đầu tiên về cuộc tấn công. Nhà sản xuất cũng đã yêu cầu các nhà phân phối của mình gỡ bỏ các thiết bị khỏi kệ hàng.
Các điểm chính của bài viết này:

• Một kẻ lừa đảo đã trở thành nạn nhân của một trò lừa đảo ví Ledger bị lừa, mất hơn 60 bitcoin trong một hoạt động rửa tiền tinh vi.
• Ledger đã gỡ bỏ sản phẩm của mình khỏi kệ ở Đông Nam Á, tiết lộ một băng nhóm tội phạm rất có tổ chức đã sửa đổi các thiết bị chính hãng để đánh cắp tiền.

Ledger bị lừa: nhắc lại sự việc cho những ai đã bỏ lỡ phần đầu

Vào sáng thứ Sáu, ngày 9 tháng 10, một diễn viên đã làm trống ví trên sáu blockchain trong chưa đầy một giờ. Điểm chung của các nạn nhân: một Ledger được mua từ CryptoBilis, nhà phân phối được cấp phép tại Indonesia, Malaysia và Philippines. Ngay ngày hôm sau, Ledger xác nhận đã tìm thấy một thiết bị phần cứng trong thiết bị của một nạn nhân.

Thành phần này được ghép vào vỏ. Nó đọc màn hình vào thời điểm ví hiển thị 24 từ của cụm từ khôi phục, sau đó truyền chúng qua mạng di động nhờ một thẻ SIM tích hợp. Với 24 từ này, kẻ trộm không cần Ledger nữa. Hắn tái tạo ví ở nơi khác và chờ đợi chủ sở hữu gửi tiền tiết kiệm của mình vào đó.

Chainalysis và Bitquery lần theo dấu vết của số tiền bị đánh cắp từ Ledger

Sơ đồ của trò lừa đảo công việc trả tiền này đã được các cảnh sát trên toàn thế giới biết đến. Đầu tiên, kẻ lừa đảo tuyển dụng những tay chân. Hắn trả tiền cho họ để giả vờ mua sắm và đăng đánh giá giả về các sản phẩm có thật. Những khoản lợi nhuận đầu tiên xuất hiện, lòng tin được xây dựng. Sau đó, một << số dư âm >> xuất hiện trên tài khoản của họ. Để mở khóa thu nhập của mình, những người được tuyển dụng phải trước tiên bỏ tiền túi vào quỹ. Bạn đã hiểu phần tiếp theo.

Vào ngày 22 tháng 9, người tổ chức trò lừa đảo này đã chuyển lợi nhuận của mình sang ba địa chỉ Ledger khác nhau, để đưa số tiền của mình ra ngoài tầm với. Mười bảy ngày sau, vào ngày 9 tháng 10, những kẻ trộm đã làm trống cả ba trong một giao dịch mỗi cái. Tất cả đã đổ về một ví duy nhất, đã được báo cáo là nơi chứa tiền bị đánh cắp. << Một trong những nạn nhân lớn nhất của vụ trộm Ledger cũng là một kẻ lừa đảo >>, Chainalysis tóm tắt trên X. Thời gian nói lên tất cả. Thiết bị đã thu thập 24 từ ngay khi thiết bị được cấu hình, sau đó kẻ trộm đã chờ đợi ngày D để lấy tất cả một lần.

Bitquery lần theo dấu vết của kẻ trộm Ledger bị lừa

Công ty phân tích đã không thức dậy vào thứ Năm. Ngay từ ngày 9 tháng 10, Chainalysis đã thông báo đang điều tra << một hoạt động rửa tiền tinh vi giữa các chuỗi >>. Trường hợp của kẻ lừa đảo này là mảnh ghép đầu tiên được công bố. Nhưng một công ty phân tích on-chain khác, Bitquery, đã cung cấp một bản khám nghiệm đầy đủ nhất về vụ cướp. Các nhà phân tích của họ đã bắt đầu từ mười địa chỉ được công bố vào ngày 9 tháng 10 bởi các nhà nghiên cứu tanuki42 và Specter. Sau đó, họ đã theo dõi từng ví bị làm trống trên sáu blockchain, với một cuộc kiểm đếm độc lập thứ hai để xác minh các con số.

Trên Bitcoin, 60 BTC của kẻ lừa đảo đã gia nhập 203,8 bitcoin bị đánh cắp vào cùng buổi sáng trên 122 ví, chủ yếu trong một khối duy nhất vào lúc 5h54 UTC. Tức là, đối với một người duy nhất, gần 30% số bitcoin bị đánh cắp trong ngày hôm đó.

Báo cáo của Bitquery cũng giải quyết một câu hỏi: chỉ có một tên trộm, người đã nắm giữ tất cả các khóa. Trên Tron, 25 ví đã ký cùng một quyền hạn cho cùng một địa chỉ trong ba giây. Tám phút trước đó, 30 ví khác đã thấy quyền kiểm soát của họ chuyển sang một khóa không xác định. Con người không làm điều này. Ngược lại, một phần mềm nắm giữ tất cả các cụm từ khôi phục thì có thể. Thực tế, tên trộm đã luyện tập trong hai tuần, với những chuyển khoản thử nghiệm nhỏ, trước khi ra tay.

Một bài học khác: sáu ví nạn nhân trong số mười đã nhận được khoản tiền đầu tiên trong khoảng thời gian 90 ngày mà Ledger đã đề cập. Nhưng hơn tám trên mười đã làm điều này chỉ từ tháng Sáu. Rủi ro có lẽ bắt nguồn từ xa hơn so với chỉ dẫn chính thức.

Kho báu của các Ledger bị mắc bẫy đi qua Tornado Cash và Zcash

Việc "rửa tiền giữa các chuỗi" mà Chainalysis đề cập sau đó được thể hiện rõ ràng trong dữ liệu của Bitquery. Trong vài giờ, tên trộm đã phân tán khoảng 79 triệu đô la USDT bị đánh cắp trên Tron. Đầu tiên, hắn đã chuyển 20 triệu sang Ethereum qua cầu USDT0, sau đó chuyển đổi thành ether. Tiếp theo, hắn đã trao đổi 23,7 triệu lấy USDD, một stablecoin mà Tether không thể đóng băng. Cuối cùng, hắn đã phân tán số còn lại giữa các dịch vụ trao đổi tức thì như Relay, Chainflip hoặc THORChain.

Sau đó là việc rửa tiền. Từ ngày 9 đến 13 tháng 10, khoảng 7.260 ETH đã vào máy trộn Tornado Cash. Một phần lớn trong số đó sau đó đã đi qua Zcash, trước khi trở lại thành USDC hoặc ETH trên các địa chỉ mới. Đến ngày 15 tháng 10, Bitquery vẫn có thể xác định 84 triệu đô la trên chuỗi. 203,8 BTC thì không di chuyển một satoshi nào kể từ ngày 9 tháng 10.

Trường hợp đơn lẻ này không ảnh hưởng nhiều đến tổng kết của các Ledger bị mắc bẫy. Bitquery hiện ghi nhận 102 triệu đô la đã bị siphoned từ 324 ví và sáu blockchain. Con số này, được xác minh vào ngày 15 tháng 10, chưa được Ledger xác nhận hay phản bác. Tether cũng đã đóng băng 10 triệu USDT liên quan đến cuộc điều tra. Nhưng kẻ lừa đảo lại giống với các nạn nhân khác: những người nắm giữ số tiền lớn ở Đông Nam Á, những người đã mua một ví phần cứng để bảo vệ tài sản của mình.

Ledger rút ví khỏi kệ và mô tả một băng nhóm đã tiêu tốn hàng triệu

Phiên bản của Ledger đã đến vào ngày 15 tháng 10, vài giờ trước buổi thuyết trình Op3n, nơi nhà sản xuất đã công bố Ledger Atom của mình. Văn bản nói về một "băng nhóm tội phạm rất có tổ chức". Trong nhiều tháng, nhóm này đã mua các thiết bị chính hãng và mở chúng ra để lắp đặt các linh kiện tùy chỉnh. Vai trò của họ: bắt giữ cụm từ khôi phục trong quá trình cấu hình. Sau đó, họ đã tái đưa những thiết bị này vào chuỗi thông qua các nhà phân phối ở Đông Nam Á. Băng nhóm đã xây dựng "các máy chủ thu thập cụm từ của riêng họ, cơ sở hạ tầng rửa tiền và xả tiền". Và họ đã "tiêu tốn hàng triệu" trước khi ra tay trong một hoạt động phối hợp duy nhất.

Ledger nhấn mạnh những gì không bị ảnh hưởng. Chip, hệ điều hành và máy chủ vẫn nguyên vẹn. "Đó không phải là một cuộc tấn công hệ thống trên chuỗi cung ứng, mà là một cuộc tấn công có tính chất địa phương vào phân phối", công ty viết trong bài đăng của mình. Phòng thí nghiệm của họ được gọi là Donjon đã tháo rời thiết bị bị cài cắm. Các nhóm sau đó đã mua và mở các thiết bị trong cửa hàng, ở Đức và những nơi khác, sau đó kiểm tra các mẫu trong kho. Tất cả đều sạch sẽ.

Quy tắc mới cho các nhà phân phối Ledger

Hệ quả thực tiễn của vụ việc Ledger bị đánh cắp đã ngay lập tức xảy ra. Ledger đã tạm ngừng bán hàng tại các nhà phân phối được ủy quyền ở Đông Nam Á và Hồng Kông. Cấm bán lại thiết bị đã được trả lại, ngay cả khi còn niêm phong. Và từ bây giờ, không sản phẩm Ledger nào được phép nằm trên kệ hoặc trong cửa sổ trưng bày. Hàng tồn kho sẽ được giữ lại và người bán chỉ giao cho khách hàng khi có giao dịch mua. Ledger cũng yêu cầu các nhà phân phối báo cáo ngay lập tức bất kỳ sản phẩm nào bị coi là bất thường bởi người mua. Cuối cùng, nhà sản xuất mời gọi << toàn bộ ngành công nghiệp cũng làm như vậy >>. Trezor và OneKey cũng đã thông báo về việc giảm mạng lưới nhà phân phối của họ vào tuần trước.

Ledger cũng hứa hẹn sẽ có các biện pháp đối phó << ở cấp độ sản phẩm >>. Ledger Atom được giới thiệu cùng ngày với giá 849 euro đã có khả năng phát hiện việc mở nắp và tháo màn hình. Nhưng nó sẽ chỉ được phát hành vào mùa hè năm 2027. Không có Nano X, Flex hoặc Stax nào đang lưu hành sẽ được hưởng lợi từ điều này. Đối với những sản phẩm đó, hướng dẫn vẫn giữ nguyên trong mười ngày qua: không cấu hình thiết bị mua từ CryptoBilis trong 90 ngày qua mà không kiểm tra.