Usuários de criptomoedas em Singapura perderam aproximadamente S$3,5 milhões após comprarem carteiras de hardware Ledger adulteradas de varejistas locais, o que levou a uma investigação policial sobre dispositivos contendo componentes maliciosos.
Resumo
- A polícia de Singapura relatou aproximadamente S$3,5 milhões em perdas de criptomoedas em dois casos envolvendo carteiras de hardware Ledger adulteradas compradas de varejistas locais desde 10 de setembro.
- Investigações preliminares descobriram que os dispositivos afetados continham componentes de hardware maliciosos capazes de capturar as frases de recuperação ou chaves privadas dos usuários e permitir transferências não autorizadas.
- A Ledger suspendeu as vendas de carteiras de hardware em vários mercados do Sudeste Asiático, incluindo Singapura, Malásia, Indonésia, Tailândia, Filipinas, Vietnã e Hong Kong, após descobrir dispositivos comprometidos.
- Analistas de blockchain estimaram anteriormente perdas ligadas a carteiras comprometidas em mais de US$86 milhões, embora a Ledger tenha dito que não podia confirmar o valor total roubado ou o número de usuários afetados.
De acordo com um aviso de 28 de outubro da Força Policial de Singapura, pelo menos dois casos envolvendo dispositivos Ledger comprometidos foram relatados desde 10 de setembro, com investigações preliminares descobrindo que algumas carteiras vendidas por meio de lojas de varejo haviam sido fisicamente modificadas para roubar informações sensíveis.
Os investigadores descobriram que os dispositivos afetados continham hardware não autorizado capaz de capturar as frases de recuperação ou chaves privadas dos usuários, que poderiam então ser usadas para acessar suas participações em criptomoedas e transferir fundos sem permissão.
Carteiras de hardware Ledger encontradas com componentes maliciosos
As perdas relatadas seguem uma investigação anterior da Ledger sobre dispositivos comprometidos distribuídos pela CryptoBilis, uma revendedora que opera no Sudeste Asiático.
Em 13 de outubro, a Ledger confirmou que implantes de hardware ocultos foram descobertos dentro de um de seus dispositivos após usuários relatarem roubos de criptomoedas no início daquele mês.
A equipe de segurança Donjon da empresa descobriu que o componente não autorizado podia capturar a frase de recuperação de 24 palavras exibida durante a configuração da carteira e transmitir as informações a um atacante por meio de uma conexão celular LTE.
As frases de recuperação permitem que os usuários restaurem o acesso às suas carteiras de criptomoedas. Qualquer pessoa que obtenha a frase completa pode potencialmente recriar a carteira em outro dispositivo e transferir os ativos que ela contém.
A Ledger disse que o componente malicioso operava separadamente do Secure Element do dispositivo, que é projetado para proteger chaves privadas, e não exigia alterações no sistema operacional da carteira.
Como já coberto pelo crypto.news, os dispositivos comprometidos chegaram aos clientes por meio de um canal de distribuição de revendedores, com a Ledger afirmando que seus próprios sistemas e canais de vendas diretas não foram implicados nos casos confirmados.
A empresa confirmou um implante de hardware não autorizado em uma carteira afetada em 10 de outubro e começou a examinar outros incidentes relatados envolvendo dispositivos comprados por meio da mesma revendedora.
Ledger suspendeu vendas em todo o Sudeste Asiático
Após a descoberta, a Ledger pediu a revendedores e distribuidores em todo o Sudeste Asiático que suspendessem as vendas e os envios de suas carteiras de hardware enquanto a empresa investigava os produtos afetados.
A suspensão, anunciada em 13 de outubro, abrangeu Singapura, Malásia, Indonésia, Tailândia, Filipinas, Vietnã e Hong Kong.
A Ledger inicialmente instruiu a CryptoBilis a parar de vender seus dispositivos após receber relatos de fundos roubados de clientes que haviam comprado carteiras por meio da revendedora.
A empresa aconselhou os clientes que haviam comprado dispositivos Ledger da CryptoBilis nos 90 dias anteriores a não inicializar carteiras não utilizadas. Aqueles que já haviam configurado seus dispositivos foram incentivados a considerar mover seus ativos para uma nova carteira com uma frase de recuperação recém-gerada.
De acordo com o The Straits Times, dispositivos comprometidos foram identificados no mercado varejista de Singapura, incluindo um vendido na Metapod no Aeroporto de Changi e outro supostamente comprado em uma loja Challenger no VivoCity.
Analistas de blockchain haviam estimado anteriormente que mais de US$ 86 milhões foram roubados em conexão com as carteiras comprometidas, embora a Ledger tenha dito que não podia confirmar o total das perdas ou o número de usuários afetados.
O valor de S$ 3,5 milhões da polícia de Singapura abrange os casos relatados localmente e é separado da estimativa regional anterior.
Investigação da carteira Ledger chega a varejistas europeus
As preocupações em torno de dispositivos Ledger adulterados não se limitaram ao Sudeste Asiático.
Em 13 de outubro, a varejista de eletrônicos alemã MediaMarktSaturn suspendeu as vendas de carteiras de hardware Ledger em suas lojas físicas e canais online depois que um cliente na Alemanha relatou ter encontrado um componente não autorizado dentro de um dispositivo.
A Ledger concordou com a suspensão enquanto sua equipe de segurança examinava a modificação de hardware relatada.
O fabricante disse que nenhum fundo de cliente foi perdido no incidente alemão e manteve que sua infraestrutura, sistemas e serviços não foram comprometidos.
Um incidente de segurança separado de carteira de hardware surgiu em 26 de outubro, quando o fabricante rival Keystone divulgou uma violação de chave de autenticação que afetou seus dispositivos.
A Keystone disse que hackers roubaram uma chave de autenticação de dispositivo e expuseram informações pertencentes a 25.964 clientes, forçando-a a destruir 18.835 carteiras de hardware e suspender temporariamente os envios.
Diferentemente dos incidentes da Ledger, a Keystone disse que as frases de recuperação e as chaves privadas de seus clientes não foram comprometidas.
