Ekim 2026'da bildirilen Ledger cüzdan hack'i, en iyi şüpheli bir tedarik zinciri saldırısı olarak anlaşılır.
Ledger, Güneydoğu Asya'nın bazı bölgelerinde faaliyet gösteren bir bayi olan CryptoBilis müşterileriyle bağlantılı bir cihazın içinde yetkisiz bir donanım implantı bulunduğunu doğruladı. Şirket, kendi güvenlik altyapısının, sistemlerinin veya hizmetlerinin tehlikeye girdiğine dair hiçbir belirti olmadığını söyledi.
Bu ayrım merkezi gerçektir. Vaka, her Ledger cihazının güvensiz olduğunu göstermiyor. Ayrıca Ledger'ın güvenli öğesinin uzaktan hacklendiğini de kanıtlamıyor.
Fiziksel bir cihazın alıcıya ulaşmadan önce değiştirilebileceğini gösteriyor. Bu değişiklik kurulum sırasında bir kurtarma ifadesini yakalarsa, saldırgan daha sonra cüzdanı başka bir yerde geri yükleyebilir ve varlıklarını aktarabilir.
Ledger cüzdan hack'i bu nedenle her Ledger cüzdanına yönelik uzaktan bir saldırıdan ziyade bayi yolu ve cihaz gözetimi üzerine odaklanıyor.
Ledger Cüzdan Hack'i Alıcılara Nasıl Ulaştı?
Yetkisiz cüzdan transferlerine ilişkin raporlar, 9 Ekim'de CryptoBilis aracılığıyla donanım cüzdanları satın almış müşteriler arasında ortaya çıktı. Ledger bir soruşturma başlattı ve bayiden satış ve sevkiyatları askıya almasını istedi.
10 Ekim'de, Ledger Destek, olay beyanı aracılığıyla etkilenen bir müşterinin cihazının yetkisiz bir donanım implantı içerdiğini doğruladı.
CryptoBilis, soruşturma devam ederken donanım cüzdanı envanterinin tamamının satışını askıya aldı. Ledger, etkilenen müşterilerle iletişime geçtiğini, yetkililerle çalıştığını ve kullanıcılardan ve güvenlik araştırmacılarından bilgi aradığını söyledi.
Malezya'da incelenen bir cihazın ekranın arkasına gizlenmiş ek elektronikler içerdiği bildirildi. Bu rapor, bir Ledger Nano X'i içeriyordu.
Ledger'ın doğrulaması, potansiyel olarak etkilenen her modeli veya değiştirilen birimlerin sayısını belirlemedi. En az bir implant doğrulanırken, tam kapsam hala soruşturma altında.
| Doğrulanan | Henüz Doğrulanmadı |
|---|---|
| Etkilenen bir cihazda yetkisiz bir implant bulundu. | Kaç cihaz fiziksel olarak değiştirildi. |
| CryptoBilis, soruşturma sırasında donanım cüzdanı satışlarını durdurdu. | İmplantı kimin ve dağıtımın hangi noktasında kurduğu. |
| Ledger, iç sistemlerinde herhangi bir ihlal belirtisi olmadığını söyledi. | İmplantın bildirilen her cüzdan boşalmasına neden olup olmadığı. |
| Ledger, etkilenen alıcılara kullanılmayan cihazları kurmamalarını tavsiye etti. | Olayla bağlantılı kayıpların nihai değeri. |
Gizli Bir Donanım İmplantı Kriptoyu Nasıl Çalabilir?
Bir donanım cüzdanı, özel anahtarları internete bağlı bir bilgisayardan uzak tutmak için tasarlanmıştır. Bu koruma, cihazın orijinal ve değiştirilmemiş olmasına bağlıdır. Bir tedarik zinciri saldırganı, sahibi cüzdanı kullanmaya başlamadan önce modeli yenmeye çalışır.
Başlatma sırasında, bir cüzdan bir kurtarma ifadesi oluşturmak için kullanılan bilgileri görüntüleyebilir veya üretebilir. Ekranın arkasına yerleştirilmiş kötü niyetli bir bileşen, ekranda görünenleri gözlemleyebilir.
Raporlar, ek kartın yakalanan bilgileri iletebildiğini söyledi. Araştırmacılar bu teknik atfı tamamlamadılar, bu nedenle bu hala nihai bir adli sonuçtan ziyade şüpheli saldırı yolu olarak kalıyor.
Güvenlik prensibi basittir. Bir saldırgan kurtarma ifadesini elde ettiğinde, fiziksel cüzdan artık gerekli değildir. Saldırgan bu kelimeleri başka uyumlu bir cüzdana aktarabilir.
Tapbit'in tohum ifadelerinin bir kripto cüzdanını nasıl kontrol ettiğine dair rehberi, yalnızca cihazı değiştirmemin neden maruz kalan bir kurtarma ifadesini çözmediğini açıklar.
Ledger'ın Kendisi Hacklendi mi?
12 Ekim itibarıyla mevcut bilgilere dayanarak, Ledger cüzdan hack'i Ledger'ın iç sistemlerinde doğrulanmış bir ihlal içermiyordu.
Kanıtlar bunun yerine tedarik zinciri kurcalamasına işaret ediyor: gerçek bir cihaz iddiaya göre alıcıya ulaşmadan önce değiştirildi. Bu, uzaktan yazılım ihlalinden veya tamamen sahte bir cüzdandan farklıdır.
Bildirilen Kayıplar Ne Kadar Büyüktü?
Soruşturma sırasında çeşitli kayıp tahminleri dolaştı. Araştırmacılar 72 milyon dolar ve 86 milyon doların üzerindeki rakamlara atıfta bulundular. Bitquery'nin 311 cüzdan üzerinden 92,9 milyon dolar tahmin ettiği bildirildi.
Ledger, yayın tarihinde bu toplamları doğrulamamıştı. Şüpheli tedarik zinciri saldırısına ilişkin ayrı bir rapor da bayi-cihaz soruşturmasını Ledger'ın kendi sistemlerindeki bir ihlalden ayırdı.
Bu nedenle makalenin başlığı, 92 milyon doları kesin bir gerçek olarak sunmaktan kaçınmalıdır. Analistler ek adresler belirlediğinde, ilgisiz transferleri hariç tuttuğunda veya birkaç adresin aynı kurbana ait olduğunu öğrendiğinde zincir üstü gruplama değişebilir. En güçlü doğrulanmış gerçek, nihai bir kayıp toplamı değil, donanım implantıdır.
Hangi Ledger Cüzdanları Etkilenmiş Olabilir?
En net risk grubu, özellikle Endonezya, Malezya veya Filipinler'de CryptoBilis aracılığıyla donanım cüzdanları satın alan müşterilerdir. Bir araştırmacı Malezya'da şüpheli bir Ledger Nano X'i incelediğini bildirdi, Ledger ise etkilenen modellerin tam bir listesini yayınlamadı.
Doğrudan Ledger'dan veya ilgisiz yetkili kanallardan satın alanlar, cihazlarının aynı dağıtım yolunu izlediğini varsaymamalıdır.
Yine de satıcıyı doğrulamalı, ambalajı incelemeli ve cihazı resmi yazılımlar aracılığıyla doğrulamalıdırlar. Bir kurtarma ifadesi asla bir web sitesine, destek sohbetine, telefona veya masaüstü formuna girilmemelidir.
CryptoBilis Müşterileri Ne Yapmalı?
- Kullanılmayan bir cihazı başlatmayın. Kapalı tutun ve soruşturma için ambalajı, sipariş kaydını, seri bilgilerini ve bayi iletişimlerini saklayın.
- Cihaz zaten kullanılmışsa, tamamen yeni bir cüzdan oluşturun. Güvenilir bir cihazı doğrulanmış bir kanaldan kullanın ve yeni bir kurtarma ifadesi oluşturun. Eski ifadeyi değiştirene aktarmayın.
- Yeni adresi doğruladıktan sonra varlıkları taşıyın. Önce küçük bir test miktarı aktarın, geldiğini doğrulayın ve ardından kalan bakiyeyi taşıyın. Tanıdık olmayan para çekme işlemleri için son işlemleri gözden geçirin.
- Kanıtları doğrulanmış kanallar aracılığıyla bildirin. Ledger ile resmi alan adı üzerinden iletişime geçin ve işlem karmalarını saklayın. Kurtarma yardımı sunan doğrudan mesajları yoksayın.
Fonlar kendi kendine saklama cüzdanı yerine bir ticaret hesabında tutuluyorsa, kontroller farklıdır. Benzersiz bir şifre, kimlik doğrulayıcı tabanlı iki faktörlü kimlik doğrulama, para çekme korumaları ve doğrulanmış alan adları kullanın. Tapbit'in 2FA kurulum kılavuzu ve kripto güvenlik kontrol listesi bu hesap düzeyindeki korumaları kapsar.
Yeni Bir Kurtarma İfadesi Neden Önemlidir?
Kurtarma ifadesi, cüzdanın arkasındaki kök sırdır. Bir implant onu gözlemlediyse, aynı ifadeyi temiz bir cihaza aktarmak saldırganın erişimini korur. Yeni bir ifade oluşturun ve varlıkları taşıyın. Yalnızca cihazı veya PIN'i değiştirmek yeterli değildir.
Bu Olay Donanım Cüzdan Güvenliği İçin Ne Anlama Geliyor?
Donanım cüzdanları, imzalama anahtarlarını günlük bilgisayarlardan ve telefonlardan ayırdıkları için kullanışlı olmaya devam ediyor. Ledger cüzdan hack'i bu faydayı ortadan kaldırmıyor. Kontrol listesini "bir donanım cüzdanı satın alın"dan "güvenilir bir zincir aracılığıyla bir donanım cüzdanı satın alın, alın, başlatın ve kullanın" olarak değiştiriyor.
Kullanıcılar için en güçlü alışkanlıklar, doğrulanmış bir kanal aracılığıyla satın almak, kurulumdan önce cihazı incelemek, ifadeyi cihazda oluşturmak ve önceden basılmış herhangi bir kurtarma ifadesini sahte olarak ele almaktır. Güvenlik, üretimden sahibinin bir işlemi onayladığı ana kadar olan tüm yolu kapsar.
SSS
Her Ledger cüzdanı hacklendi mi?
Hayır. Ledger, CryptoBilis soruşturmasına bağlı etkilenen bir cihazda yetkisiz bir implant olduğunu doğruladı. Her Ledger cüzdanının veya iç sistemlerinin tehlikeye girdiğini bildirmedi.
Hangi Ledger modeli dahil oldu?
Bir araştırmacı Malezya'da değiştirilmiş bir Ledger Nano X'i incelediğini bildirdi. Ledger'ın kamuoyu doğrulaması, etkilenen modellerin tam bir listesini sağlamadı.
Ledger 92 milyon doların çalındığını doğruladı mı?
Hayır. 92,9 milyon dolarlık rakam dışarıdan bir analitik tahmininden geldi. Ledger, nihai kayıp miktarını bağımsız olarak doğrulamamıştı.
Eski tohum ifademi yeni bir cüzdanda yeniden kullanabilir miyim?
Eski cihaz onu açığa çıkarmışsa hayır. Güvenilir bir cihazda yeni bir kurtarma ifadesi oluşturun ve varlıkları yeni adreslere aktarın.
Bir donanım cüzdanı, anahtarları telefonda tutmaktan hala daha mı güvenli?
Orijinal, kurcalanmamış bir donanım cüzdanı, internete bağlı cihazlardaki kötü amaçlı yazılımlara maruz kalmayı azaltabilir. Koruması hala güvenilir bir satın alma kanalına, güvenli başlatmaya ve dikkatli kurtarma ifadesi kullanımına bağlıdır.
Etkilenen kullanıcılar güncellemeleri nereden almalı?
Ledger'ın doğrulanmış web sitesini ve destek kanallarını kullanın. Gelen kutunuza gelen doğrudan mesajlara, kurtarma hizmetlerine veya sosyal medyada gönderilen bağlantılara güvenmeyin.
