Gebruikers van de Ledger Nano X hardwarewallet zijn slachtoffer geworden van een geraffineerde supply chain-aanval, waarbij naar schatting 100 miljoen dollar aan cryptovaluta is gestolen.
De methode De aanvallers onderscheppen de wallets tijdens het transport en voegen extra hardware toe. Terwijl de Secure Element-chip intact blijft, onderschept een extra chip de communicatie naar het scherm om de seed phrase (herstelzin) af te lezen. Via een geïnstalleerde eSIM-module en een LTE-modem worden deze gegevens vervolgens direct naar de daders verzonden.
Betrokkenen en schade Blockchain-waarnemers hebben ongeveer 300 getroffen wallets geïdentificeerd. Het vermoeden gaat uit naar de dealer Cryptobilis, voornamelijk actief in Zuidoost-Azië. Ledger adviseert klanten van deze dealer hun tegoeden onmiddellijk te verplaatsen.
Technische evolutie Er zijn inmiddels drie generaties van deze gemanipuleerde apparaten ontdekt. Waar vroege versies nog handmatig waren aangepast met kleinere batterijen, zijn de nieuwste versies in professionele serieproductie vervaardigd. De daders maken nu ruimte door het beschermende schuim achter het scherm te verwijderen, waardoor de manipulatie bijna onzichtbaar is.
Crypto-dieven verkopen hardwarewallets met geheime eSIM
Manipulatie van de Ledger Nano X
Het Franse bedrijf Ledger adverteert met de Ledger Nano X als de veiligste manier om cryptovaluta te beheren. Desondanks hebben gebruikers voor ongeveer 100 miljoen dollar aan crypto verloren. Dit komt doordat onbekende personen erin zijn geslaagd om de offline wallets tijdens transport te onderscheppen en te manipuleren.
Elke Ledger Nano X beschikt over een Secure Element-chip die een klein touchscreen aanstuurt. Ledger prijst dit als bijzonder veilig, maar dat geldt alleen als aanvallers het scherm niet kunnen meelezen. Dat is precies wat de daders doen: zij plaatsen extra hardware in schijnbaar echte Ledger Nano X-apparaten en verkopen deze vervolgens aan onwetende crypto-speculanten.
Wanneer kopers zo'n aangepaste hardwarewallet gebruiken en hiermee een seed phrase (herstelzin) aanmaken, lezen de aanvallers deze automatisch mee. Ze hebben de Secure Element-chip zelf niet aangeraakt; deze blijft veilig. In plaats daarvan hebben ze een extra chip geïnstalleerd die de transmissie van de Secure Element naar het ingebouwde scherm onderschept en de getoonde letters van de seed phrase herkent (embedded Tempest). Dit is geconstateerd in een analyse van Tibane Labs.
LTE-modem verzendt gegevens
Het herkennen van de tekens alleen is voor de daders nog niet voldoende, omdat wallets fundamenteel offline werken. Daarom hebben de daders ook een LTE-modem, een kleine eSIM-module en een kleine antenne geïnstalleerd, die allemaal worden gevoed door de reeds in de hardwarewallet ingebouwde accu. Zo wordt de seed phrase via het mobiele netwerk naar de daders verzonden, die vervolgens controle krijgen over de cryptovaluta die door de seed phrase zijn beveiligd.
Ledger heeft tegenover één klant toegegeven dat er sprake was van financieel verlies en dat de hardwarewallet was gemanipuleerd. Het bedrijf heeft echter nog niet bevestigd wat de exacte omstandigheden waren en hoe groot de totale schade is. Blockchain-waarnemers stellen dat ze tot nu toe meer dan 300 getroffen wallets hebben geïdentificeerd, die samen zijn leeggetrokken van ongeveer 93 miljoen Amerikaanse dollar. De gestolen cryptovaluta worden vervolgens omgewisseld en, ten minste gedeeltelijk, witgewassen via crypto mixers.
Geheime eigendomswissel bij dealer
Het vermoeden gaat uit naar Cryptobilis, een wallet-dealer die voornamelijk vanuit Maleisië in Zuidoost-Azië actief is. Ledger adviseert iedereen die in de afgelopen drie maanden bij Cryptobilis heeft gekocht om deze wallets niet te gebruiken en eventuele bestaande tegoeden snel naar een andere wallet te verplaatsen. Ledger heeft Cryptobilis voorlopig verboden om verdere verkopen te doen en heeft alle Ledger-dealers verboden om retouren van andere klanten aan te bieden.
Helaas weet niet elke getroffen koper dat zij bij Cryptobilis hebben gekocht. Tibane Labs meldt een gemanipuleerd Ledger-apparaat dat via Amazon Japan bij een Chinese verkoper was gekocht, maar vanuit Maleisië was verzonden.
In de cryptoscène wordt gezegd dat Cryptobilis onlangs een nieuwe eigenaar heeft gekregen zonder dat dit is aangekondigd. De vorige eigenaren beweren dat ze niets meer met hun oude bedrijf te maken hebben. Volgens niet-geverifieerde screenshots is de wallet-dealer sinds augustus in handen van een Chinese man genaamd JiaMing. Afhankelijk van de uitspraak is dit een veelvoorkomende naam in China, maar het kan ook "verkeerde naam" betekenen.
Serieproductie
De onlangs ontdekte gemanipuleerde Ledger-apparaten zijn inmiddels de derde generatie. In mei presenteerde embedded-specialist Joe Grand op de Hardware.io-conferentie een Ledger Nano X die blijkbaar nog met de hand was gemanipuleerd. Om ruimte te maken in de kleine USB-stick hadden de daders de accu vervangen door een veel kleinere en opvallende bedrading aangebracht. Dit is echter alleen zichtbaar als men de USB-stick openschroeft, wat gebruikers normaal gesproken niet doen.
Tibane Labs beschrijft nu wallets van twee verdere, geavanceerde generaties van manipulatie. Eén generatie was al professioneler ontworpen, maar verving nog steeds de batterij. Bij de derde bekende generatie zijn de toegevoegde onderdelen nauwkeurig uitgesneden in professionele serieproductie, en is de originele batterij ongemoeid gelaten.
De daders hebben een andere, minder opvallende methode gevonden: Ledger beschermt het ingebouwde scherm van onderaf met schuim. De aanvallers krabben dit schuim weg en creëren zo ruimte voor hun extra hardware. Iedereen die de behuizing opent, ziet niets anders dan een ongemanipuleerde Ledger Nano X, op een klein antennedraadje na.
Crypto-dieven verkopen hardwarewallets met geheime eSIM
Manipulatie van de Ledger Nano X
Het Franse bedrijf Ledger adverteert met de Ledger Nano X als de veiligste manier om cryptovaluta te beheren. Desondanks hebben gebruikers voor ongeveer 100 miljoen dollar aan crypto verloren. Dit komt doordat onbekende personen erin zijn geslaagd om de offline wallets tijdens transport te onderscheppen en te manipuleren.
Elke Ledger Nano X beschikt over een Secure Element-chip die een klein touchscreen aanstuurt. Ledger prijst dit als bijzonder veilig, maar dat geldt alleen als aanvallers het scherm niet kunnen meelezen. Dat is precies wat de daders doen: zij plaatsen extra hardware in schijnbaar echte Ledger Nano X-apparaten en verkopen deze vervolgens aan onwetende crypto-speculanten.
Wanneer kopers zo'n aangepaste hardwarewallet gebruiken en hiermee een seed phrase (herstelzin) aanmaken, lezen de aanvallers deze automatisch mee. Ze hebben de Secure Element-chip zelf niet aangeraakt; deze blijft veilig. In plaats daarvan hebben ze een extra chip geïnstalleerd die de transmissie van de Secure Element naar het ingebouwde scherm onderschept en de getoonde letters van de seed phrase herkent (embedded Tempest). Dit is geconstateerd in een analyse van Tibane Labs.
LTE-modem verzendt gegevens
Het herkennen van de tekens alleen is voor de daders nog niet voldoende, omdat wallets fundamenteel offline werken. Daarom hebben de daders ook een LTE-modem, een kleine eSIM-module en een kleine antenne geïnstalleerd, die allemaal worden gevoed door de reeds in de hardwarewallet ingebouwde accu. Zo wordt de seed phrase via het mobiele netwerk naar de daders verzonden, die vervolgens controle krijgen over de cryptovaluta die door de seed phrase zijn beveiligd.
Ledger heeft tegenover één klant toegegeven dat er sprake was van financieel verlies en dat de hardwarewallet was gemanipuleerd. Het bedrijf heeft echter nog niet bevestigd wat de exacte omstandigheden waren en hoe groot de totale schade is. Blockchain-waarnemers stellen dat ze tot nu toe meer dan 300 getroffen wallets hebben geïdentificeerd, die samen zijn leeggetrokken van ongeveer 93 miljoen Amerikaanse dollar. De gestolen cryptovaluta worden vervolgens omgewisseld en, ten minste gedeeltelijk, witgewassen via crypto mixers.
Geheime eigendomswissel bij dealer
Het vermoeden gaat uit naar Cryptobilis, een wallet-dealer die voornamelijk vanuit Maleisië in Zuidoost-Azië actief is. Ledger adviseert iedereen die in de afgelopen drie maanden bij Cryptobilis heeft gekocht om deze wallets niet te gebruiken en eventuele bestaande tegoeden snel naar een andere wallet te verplaatsen. Ledger heeft Cryptobilis voorlopig verboden om verdere verkopen te doen en heeft alle Ledger-dealers verboden om retouren van andere klanten aan te bieden.
Helaas weet niet elke getroffen koper dat zij bij Cryptobilis hebben gekocht. Tibane Labs meldt een gemanipuleerd Ledger-apparaat dat via Amazon Japan bij een Chinese verkoper was gekocht, maar vanuit Maleisië was verzonden.
In de cryptoscène wordt gezegd dat Cryptobilis onlangs een nieuwe eigenaar heeft gekregen zonder dat dit is aangekondigd. De vorige eigenaren beweren dat ze niets meer met hun oude bedrijf te maken hebben. Volgens niet-geverifieerde screenshots is de wallet-dealer sinds augustus in handen van een Chinese man genaamd JiaMing. Afhankelijk van de uitspraak is dit een veelvoorkomende naam in China, maar het kan ook "verkeerde naam" betekenen.
Serieproductie
De onlangs ontdekte gemanipuleerde Ledger-apparaten zijn inmiddels de derde generatie. In mei presenteerde embedded-specialist Joe Grand op de Hardware.io-conferentie een Ledger Nano X die blijkbaar nog met de hand was gemanipuleerd. Om ruimte te maken in de kleine USB-stick hadden de daders de accu vervangen door een veel kleinere en opvallende bedrading aangebracht. Dit is echter alleen zichtbaar als men de USB-stick openschroeft, wat gebruikers normaal gesproken niet doen.
Tibane Labs beschrijft nu wallets van twee verdere, geavanceerde generaties van manipulatie. Eén generatie was al professioneler ontworpen, maar verving nog steeds de batterij. Bij de derde bekende generatie zijn de toegevoegde onderdelen nauwkeurig uitgesneden in professionele serieproductie, en is de originele batterij ongemoeid gelaten.
De daders hebben een andere, minder opvallende methode gevonden: Ledger beschermt het ingebouwde scherm van onderaf met schuim. De aanvallers krabben dit schuim weg en creëren zo ruimte voor hun extra hardware. Iedereen die de behuizing opent, ziet niets anders dan een ongemanipuleerde Ledger Nano X, op een klein antennedraadje na.
Groetjes,