Не такой уж и холодный

Немец купил два Ledger в разных магазинах MediaMarkt, вскрыл — и обнаружил внутри лишние кабели и модуль сотовой связи. Он выложил видео распаковки, отследил партию до европейского дистрибьютора Aqipa и отправил устройство в Ledger на анализ. Через несколько дней аналогичный случай подтвердился. Еще один пользователь, купивший кошелек через юго-восточноазиатского реселлера CryptoBilis, нашел в устройстве то же самое. Так частная находка превратилась в цепочку поставок, которая тянется от Азии до полок европейской розницы.

Если что, это не взлом прошивки и не компрометация Secure Element. Внутрь корпуса на стадии сборки была добавлена отдельная плата с микроконтроллером, LTE-модулем, eSIM и антенной. Когда вы при первой настройке видите на экране свои 24 слова, имплант их распознает и отправляет наружу по сотовой сети. Ни Wi-Fi, ни USB не нужны. Устройство при этом работает как обычно, проверку подлинности проходит, транзакции подписывает корректно. Просто ваша сид-фраза уже не только у вас.

Реакция последовала быстро. С 13 октября MediaMarktSaturn по согласованию с Ledger приостановила продажи Ledger и в офлайне, и в онлайне. Пока подтвержденные кражи связаны только с CryptoBilis, но европейские находки еще проверяются. Независимые оценки потерь — от $86 до $103 млн, около 324 кошельков. Ledger официальную цифру не подтверждает.

Аппаратный кошелек, который оказался не таким уж аппаратным. Если внутри есть LTE-модем, о котором вы не знали, — это уже не холодное хранение, а горячее.

🔤🔤А еще хакеры могли выгружать на дисплей устройства свои сообщения (см. фото)

@antiinfosec