Singapūras lietotāji Ledger maku dēļ zaudējuši 2,7 miljonus dolāru
Singapūras policija aplēsusi, ka krāpniecisku aparatūras kriptovalūtu maku Ledger dēļ vietējie lietotāji zaudējuši kriptovalūtu aptuveni 3,5 miljonus Singapūras dolāru jeb 2,7 miljonu ASV dolāru vērtībā. Šī summa aptver tikai Singapūrā reģistrētos gadījumus, bet kopējais cietušo skaits un zaudējumu apmērs visā pasaulē joprojām nav zināms.
Singapūras veikalos iegādātos makos atrasti ļaunprātīgi komponenti
Singapūras policija brīdinājumu publicēja 28. oktobrī. Kopš 10. septembra tā saņēmusi ziņojumus par iespējamiem krāpšanas gadījumiem. Sākotnējā pārbaudē aparatūras kriptovalūtu makos, kas iegādāti atsevišķos Singapūras mazumtirdzniecības veikalos, atklāti ļaunprātīgi aparatūras komponenti. Policija pagaidām neatklāj, kuri veikali tos pārdevuši.
Pēc policijas sniegtās informācijas, šādi komponenti var pārtvert maka sākuma frāzi jeb Seed Frāzi vai privātās atslēgas. Iegūstot šo informāciju, krāpnieki var piekļūt lietotāja kriptovalūtām un iztukšot maku, pašam īpašniekam to nezinot.
Izmeklēšana turpinās, un policija sadarbojas ar Ledger, kas pārbauda katru ziņoto gadījumu.
Ledger vēl neatklāj kopējos zaudējumus
Singapūras policijas apkopotie dati attiecas uz gadījumiem, par kuriem ziņots kopš 10. septembra. Tas ir gandrīz mēnesi agrāk, nekā Ledger publiski brīdināja lietotājus par šo problēmu. Policijas paziņojumā nav norādīts, kad uzņēmums pirmoreiz uzzināja par incidentiem Singapūrā.
13. oktobrī Ledger paziņoja, ka nav apstiprinājis ne cietušo skaitu, ne kopējo zaudējumu apmēru. Uzņēmums šo nostāju atkārtoja arī 22. oktobrī, norādot, ka internetā izplatītie skaitļi iegūti no trešajām pusēm un nav pilnībā pārbaudīti.
Savukārt 28. oktobra paziņojumā Ledger sniedza papildu informāciju. Visi līdz šim apstiprinātie zaudējumi saistīti ar ierīcēm, kuras pārdevis ierobežots tālākpārdevēju skaits. Uzņēmums nav apstiprinājis nevienu gadījumu, kurā būtu iztukšots maks, kas iegādāts ārpus Dienvidaustrumāzijas.
Ledger arī norādījis, ka nav konstatētas pazīmes par tā infrastruktūras, sistēmu, pakalpojumu vai tiešo pārdošanas kanālu uzlaušanu. Pēc uzņēmuma pašreizējā vērtējuma, problēma radusies piegādes ķēdē, kurā iesaistīti starpnieki, nevis pašās Ledger sistēmās.
Singapūras policija šo skaidrojumu nav apstrīdējusi, taču veikali, kuros pārdotas kompromitētās ierīces, joprojām netiek nosaukti. Tāpēc pircējiem reģionā pagaidām ir grūti noteikt, vai viņu iegādātā ierīce varētu būt apdraudēta.
Kāpēc Ledger Genuine Check neatklāj spiegkomponentus?
Aparatūras kriptovalūtu maku galvenā priekšrocība ir iespēja glabāt privātās atslēgas pašā ierīcē, nepakļaujot tās tiešai piekļuvei no datora vai viedtālruņa. Taču šajā gadījumā uzbrukums notiek jau ierīces sākotnējās iestatīšanas laikā.
Ledger 13. oktobrī aprakstīja iespējamo uzbrukuma mehānismu: ļaunprātīgais komponents nolasa Seed Frāzi brīdī, kad tā tiek parādīta ekrānā ierīces pirmās iestatīšanas laikā, un nosūta to krāpniekiem, izmantojot mobilo sakaru savienojumu. Tajā pašā laikā netiek skarta ierīces drošā mikroshēma vai operētājsistēma.
Tieši tāpēc arī Ledger autentiskuma pārbaude Genuine Check šādu apdraudējumu var neatklāt. Uzņēmuma dokumentācijā norādīts, ka pārbaude nekonstatē spiegkomponentus, ja ierīces oriģinālā drošā mikroshēma nav bojāta vai aizstāta. Tādējādi ierīce var būt autentiska un veiksmīgi izturēt pārbaudi, lai gan Seed Frāze jau ir nonākusi krāpnieku rīcībā.
Šis gadījums atgādina, ka kriptovalūtu drošību apdraud ne tikai programmatūras ievainojamības un tiešsaistes uzbrukumi. Risks var rasties arī pašā fiziskajā ierīcē, kurai lietotājs uzticas savu digitālo aktīvu glabāšanā.
Ledger kriptovalūtu maku skandāls kļūst plašāks: implanti atrasti arī pie citiem tirgotājiem
Ko darīt, ja rodas aizdomas par aparatūras maka drošību?
Singapūras policija iesaka ievērot vairākus piesardzības pasākumus, ja iegādātā ierīce šķiet aizdomīga vai pastāv iespēja, ka Seed Frāze vai privātās atslēgas ir nonākušas citu personu rīcībā.
- Neievadīt Seed Frāzi un neveikt transakcijas ierīcē, par kuras drošību radušās šaubas.
- Ja nepieciešama palīdzība, sazināties tikai ar oficiālo klientu atbalstu.
- Ja pastāv iespēja, ka Seed Frāze vai privātās atslēgas ir noplūdušas, apsvērt atlikušo aktīvu pārvietošanu uz uzticamu maku, izmantojot jaunu Seed Frāzi, kas izveidota drošā, nekompromitētā ierīcē.
Tuvākajā laikā uzmanība būs pievērsta trim jautājumiem: vai Ledger atklās kopējo zaudējumu apmēru un cietušo skaitu, vai policija vai uzņēmums nosauks veikalus, tālākpārdevējus, caur kuriem izplatītas kompromitētās ierīces, un vai tiks apstiprināti līdzīgi gadījumi ārpus Dienvidaustrumāzijas, un, protams, kuri ir vaininieki.
Incidents skaidri parāda, ka pat autentiska ierīce, veiksmīga tās pārbaude negarantē pilnīgu drošību, ja risks radies piegādes ķēdē pirms maka nonākšanas pie pircēja.
