I portafogli Ledger venduti nei negozi di Singapore contenevano hardware malevolo, secondo la polizia
- La polizia di Singapore ha trovato componenti hardware dannosi nelle wallet Ledger acquistate presso alcuni negozi al dettaglio a Singapore.
- Almeno due casi sono stati segnalati dal 10 settembre, con perdite per circa 3,5 milioni di dollari singaporiani.
- I componenti potrebbero catturare le frasi di recupero o le chiavi private, consentendo agli aggressori di spostare gli asset senza che i proprietari se ne accorgano.
La polizia di Singapore ha rilevato componenti hardware malevoli in alcuni portafogli cripto Ledger acquistati al dettaglio nella città-stato.
Almeno due casi sono stati segnalati dal 10 settembre, con perdite per circa 3,5 milioni di dollari singaporiani, pari a ~2,7 milioni di dollari USA.
La SPF afferma che i componenti potrebbero catturare le frasi di recupero e le chiavi
La Singapore Police Force ha evidenziato i dispositivi in un avviso pubblicato mercoledì. Le indagini iniziali hanno riscontrato che alcuni componenti potrebbero essere utilizzati per catturare frasi di recupero o chiavi private.
Successivamente, persone non autorizzate potrebbero aprire i portafogli e spostare gli asset senza la conoscenza o il consenso dei proprietari. L'avviso non ha indicato alcun negozio.
La polizia è in contatto con Ledger, che sta indagando sui casi colpiti. La loro indagine interna prosegue.
La polizia ha avvisato gli utenti di non inserire le frasi di recupero e di non effettuare transazioni su dispositivi che sospettano possano essere compromessi.
L'azienda ha anche messo in guardia dal consegnare chiavi o frasi di recupero a chiunque, incluse persone che si spacciano per provider di wallet, exchange o forze dell'ordine.
Le segnalazioni risalgono a circa un mese prima dell'allerta CryptoBilis del 9 ottobre
La prima segnalazione a Singapore è stata presentata circa un mese prima della divulgazione pubblica dell'incidente più ampio avvenuta il 9 ottobre. In quel giorno, Ledger ha chiesto di interrompere le vendite e le spedizioni da parte di CryptoBilis, un rivenditore autorizzato in Indonesia, Malesia e Filippine.
All’epoca, Cryptopolitan ha riferito che oltre 86 milioni di dollari in Bitcoin, Ethereum e Tron sarebbero stati presumibilmente rubati dai portafogli venduti dal negozio. Ledger non ha confermato l’importo.
Il 10 ottobre, Ledger ha annunciato di aver scoperto un dispositivo hardware non autorizzato sul dispositivo di un cliente. Il chip, nascosto all'interno della custodia del Nano X, leggeva la frase di recupero di 24 parole dallo schermo durante la configurazione e la inviava tramite una SIM integrata attraverso la rete LTE.
Il team di sicurezza Donjon di Ledger ha dichiarato che il chip non ha interessato l'Elemento Sicuro, il sistema operativo e il processo di firma. È proprio questo il motivo per cui non ha mai attivato il test di autenticità "Genuine Check" dell'azienda.
Nei giorni successivi sono emerse due segnalazioni provenienti da Singapore. L'ex amministratore delegato di Mt. Gox, Mark Karpelès, ha affermato di aver acquistato un Ledger Flex all'aeroporto di Singapore, dotato di un impianto spia.
Un proprietario ha dichiarato che un'unità acquistata dal rivenditore IT locale Challenger era stata manomessa e Ledger ha successivamente inviato una sostituzione. Il 13 ottobre, Ledger ha chiesto ai rivenditori in Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malesia e Hong Kong di sospendere la vendita dei propri prodotti.
In un post del 28 ottobre, Ledger ha dichiarato che tutte le perdite confermate riguardavano dispositivi venduti attraverso un numero limitato di rivenditori. Non ha confermato una sottrazione collegata a un dispositivo acquistato al di fuori del Sud-est asiatico e non vede indicazioni che la sua infrastruttura, i suoi sistemi o i canali di vendita diretta siano stati compromessi.
“Le cifre che circolano online provengono da terze parti e Ledger non le ha ancora verificate completamente”, ha dichiarato Ledger il 22 ottobre.
La soluzione più duratura di Ledger è Atom, un dispositivo da 849 dollari presentato dall'azienda durante l'evento Op3n a Parigi il 15 ottobre. Atom non sarà disponibile per la spedizione prima dell'estate 2027 e le sue protezioni anti-manomissione non saranno retroattive ai dispositivi Nano, Flex e Stax già in circolazione.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Quanto hanno costato alle vittime i casi a Singapore?
Circa 3,5 milioni di dollari singaporiani, ovvero circa 2,7 milioni di dollari USA, in almeno due casi segnalati.
Come hanno sottratto i fondi i portafogli manomessi?
Un chip nascosto leggeva la frase di recupero di 24 parole dallo schermo durante la configurazione e la inviava tramite LTE attraverso una SIM integrata.
Cosa ha fatto Ledger in risposta?
Il 13 ottobre, Ledger ha chiesto ai rivenditori a Singapore e in altri sei mercati asiatici di sospendere la vendita dei propri dispositivi.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
