Виявлення апаратного імпланта в пристрої користувача та масштабна фішингова кампанія
Дослідники з команди SEAL 911 разом із Ledger виявили несанкціонований апаратний імплант у пристрої постраждалого користувача. Цей додатковий електронний модуль міг дозволити зловмисникам отримати доступ до секретних ключів. Компанія встановила, що джерелом скомпрометованого пристрою був певний продавець. Як тимчасовий запобіжний захід продавець CryptoBilis припинив продаж усіх апаратних гаманців до завершення розслідування. Ledger активно співпрацює з цим продавцем та правоохоронними органами, щоб з'ясувати обставини та притягнути зловмисників до відповідальності. Компанія наголошує, що наразі немає ознак компрометації її власних систем безпеки, інфраструктури чи сервісів.
Окремо дослідник кібербезпеки Cyber Scrilla повідомив про шахрайський сайт і застосунок, які імітували сервіси Ledger та з'являлися серед перших результатів Google Search. Ці фішингові сторінки призначалися для викрадення фраз відновлення та отримали понад мільйон відвідувань за попередні 30 днів. Сторінки пропонували користувачам пройти перевірку пристрою, вимагаючи введення особистих даних. Щоб ускруднити виявлення, домени перенаправлення, що використовували сервіс Vercel, змінювалися приблизно кожні 15-20 хвилин. Прямий зв'язок між цією кампанією та інцидентом з апаратним імплантом не підтверджено.
Вразливість у програмному забезпеченні
Наприкінці серпня команда OneKey Anzen повідомила про критичну вразливість у застосунку Ethereum для Ledger. Дослідникам вдалося відтворити атаку, яка дозволяла підмінити транзакцію під час підписання. У такому сценарії користувач бачив одну транзакцію на екрані пристрою, але фактично підписував іншу, що створювало серйозний ризик втрати активів. Інформацію про знайдені вразливості можна передати через офіційну програму винагород за їх виявлення.
Рекомендації для користувачів Ledger
Ledger опублікувала конкретні вказівки для користувачів, особливо тих, хто купував пристрої через сторонніх продавців. Якщо ви придбали пристрій у підозрілого продавця, але ще не налаштували його, не починайте налаштування. Якщо ви вже активували такий гаманець, розгляньте можливість перенесення активів на новий пристрій, придбаний з офіційних джерел, з використанням нової фрази відновлення. Нова фраза має бути згенерована на пристрої, придбаному з офіційних джерел. Жодних фраз відновлення не слід вводити в онлайн-ресурси, незалежно від того, наскільки вони схожі на офіційні. Компанія наголошує. Це її служба підтримки ніколи не проситиме повідомити вашу 24-словну фразу відновлення, і будь-яке таке звернення є шахрайським.