Имплант в Ledger нашли ещё у двух реселлеров — исследователь

Имплант для кражи сид-фраз, впервые обнаруженный в кошельках Ledger от юго-восточноазиатского реселлера CryptoBilis, нашёлся и в устройствах двух других авторизованных продавцов, утверждает Марк Карпелес, CEO токийской Karpelès Lab. В прямом эфире Unchained 15 октября он сказал, что новейшая версия платы рассчитана на массовое производство. Ledger заявляет, что проверенные ею запасы в немецких магазинах чисты.

Что нашёл Карпелес

• Ledger Flex, купленный у Metapod — реселлера с магазинами в сингапурском аэропорту Чанги, — содержал версию импланта, адаптированную под Flex, но устроенную так же: три чипа — один считывает экран, второй служит мобильным модемом, третий — eSIM, через которую данные уходят наружу.
• В Nano X, который пользователь X по имени Йоханнес купил в MediaMarkt в Германии, тоже был имплант, установленный немного иначе, чем в азиатских устройствах. «Это точно тот же имплант», — сказал Карпелес.
• Новейшие платы просто защёлкиваются на месте — в Nano X она «по сути сама встаёт на место», — что, по его словам, говорит о месяцах хорошо профинансированной разработки. Он ожидает, что таких случаев будет «намного больше», и предлагает упаковку с защитой от вскрытия вместо отказа от сетей реселлеров.

Ledger 14 октября сообщила, что проверила розничные и дистрибьюторские запасы в Германии, в том числе в названных магазинах, и «ни одно устройство не имело признаков вмешательства», добавив, что ещё не изучила устройства, показанные в сети.

Теперь главный риск — паника

В подкасте Uneasy Money от Unchained исследовательница безопасности Тейлор Монахан сказала, что жалобы, с которыми она работала в последние дни, «на самом деле не являются кражами через Ledger». Вместо этого напуганные владельцы попадались на поддельную рекламу Ledger Live в Google, фейковые приложения, фишинговые сайты, письма-страшилки и телефонные звонки. «Не паникуйте», — призвала она. Bitquery насчитывает $102,0 млн, похищенных из 324 кошельков во время первой волны; общую сумму Ledger не подтверждала. Предыстория — в наших материалах о расследовании Ledger и сокращении реселлеров Trezor.