Ledger confirma como ‘implantes espiões’ roubam criptografia de seus dispositivos à medida que os casos se espalham

MediaMarktSaturn, o grupo de varejo alemão por trás das cerca de 1.070 lojas de eletrônicos MediaMarkt e Saturn em toda a Europa, retirou as carteiras de hardware criptográfico da Ledger de suas prateleiras e sites à medida que crescem as preocupações sobre um ataque à cadeia de suprimentos da fabricante francesa de carteiras. Ao mesmo tempo, Mark Karpelès, ex-CEO da infame e falida bolsa de bitcoins Mt. Gox, diz que agora examinou um livro-razão com um implante que foi comprado no aeroporto de Cingapura.

Karpelès postava sobre dispositivos Ledger equipados com “implantes espiões” já no mês passado, semanas antes das carteiras dos usuários do Ledger começarem a ficar esgotadas na sexta-feira, e seu envolvimento na descoberta do ataque à cadeia de suprimentos em Ledger se transformou em uma história de redenção improvável para o ex-chefe da Mt. Ledger ainda diz que todos os casos confirmados envolvem dispositivos vendidos pela CryptoBilis, um revendedor no Sudeste Asiático, e “o volume de dispositivos afetados é limitado”. Não houve relatos públicos de dispositivos adulterados comprados nos EUA até agora.

Novos casos relatados na Europa e em Singapura

Um porta-voz da MediaMarktSaturn disse ao Cointelegraph que a remoção se aplica a todos os países onde a empresa opera. “Os produtos foram removidos da nossa linha de produtos internacionalmente em todos os nossos países. Fizemos isso como medida de precaução”, disse o porta-voz.

A Ledger disse na manhã de terça-feira que a MediaMarktSaturn parou de vender seus dispositivos em lojas e online, com o acordo da Ledger, depois que um cliente na Alemanha relatou um implante. A empresa acrescentou que nenhuma perda de fundos foi relatada.

Um usuário X já havia postado fotos no domingo de um Ledger com cabos extras dentro, nomeando MediaMarkt como a loja onde foi comprado, e sugeriu que o dispositivo provavelmente foi revendido. Na segunda-feira, ele disse que comprou um segundo Ledger de um local diferente do MediaMarkt com as mesmas modificações. “Acabei de comprar hoje um segundo dispositivo em um local diferente do Mediamarkt, registrei o processo de desembalagem e descobri spyware mais uma vez”, escreveu ele. Ele abandonou a teoria dos retornos no mesmo post, dizendo que um funcionário da MediaMarkt lhe disse que o dispositivo não era um retorno e que os Ledgers devolvidos seriam devolvidos ao fabricante.

Karpelès anunciou a descoberta de Cingapura na terça-feira. “Ledger Flex vendido no aeroporto de Cingapura confirmou conter um implante espião!” ele escreveu. A confirmação é do próprio Karpelès e a Ledger não disse ter verificado o dispositivo. O Flex pertence a Ben Yorke, que postou no sábado que o comprou no aeroporto em uma loja chamada Metapod e notou arranhões na caixa, e que disse na terça-feira que foi comprado em junho e nunca foi aberto.

Karpelès também compartilhou sua leitura sobre quem está por trás do hardware. “Vendo o tipo de pesquisa e desenvolvimento em andamento nesses implantes, o ‘v1.0’ europeu e a qualidade geral do produto, eu diria que o implante em si é um produto, com suas linhas de produção e um manual vendido a outra pessoa, que os instala nos livros antes da venda”, escreveu ele na segunda-feira.

Apesar de tudo isso, Karpelès ainda defende o hardware de Ledger. “Uso dispositivos Ledger há muitos anos e as recentes descobertas de implantes de hardware não mudaram minha confiança neles”, disse ele em outro post. “Os dispositivos Ledger são relativamente fáceis de abrir e examinar. Essa é uma das razões pelas quais esses implantes maliciosos puderam ser descobertos e investigados.”

Ledger explica como funciona o implante

A equipe interna de especialistas em segurança cibernética da Ledger, conhecida como Donjon, também publicou sua primeira explicação técnica do ataque na terça-feira, que corresponde ao que a empresa de Karpelès, Tibane Labs, documentou em sua própria desmontagem.

“Com base na análise do ataque feita pela Donjon, o implante fica dentro do gabinete e lê os dados mostrados na tela. Durante a configuração, o signatário exibe a frase de recuperação de 24 palavras. Quando o implante detecta essas telas, seu microcontrolador decodifica as palavras e as transmite por LTE usando um eSIM provisionado”, disse Ledger. “Ele não modifica o Secure Element ou o sistema operacional Ledger e não altera transações ou assinaturas.”

A atualização acrescenta que a Ledger está analisando relatórios de implantes em outros dispositivos e locais. “Não verificamos um dreno ligado a um signatário comprado em outro lugar”, diz o documento.

Seguindo o dinheiro através do Tornado Cash e Zcash

Quem está por trás dos roubos tem tentado lavar os lucros, mas aparentemente não sabia como usar corretamente o aplicativo de mistura de criptografia Tornado Cash ou a criptomoeda Zcash, com foco na privacidade. A empresa de análise on-chain Bitquery agora conta US$ 102,0 milhões retirados de 324 carteiras em seis blockchains.

Pelas suas contas, o ladrão colocou cerca de 6.680 ETH no Tornado Cash de sexta a segunda-feira e enviou a maior parte do que saiu através do Zcash. A Bitquery acompanhou os fundos combinando valores e prazos. “Um misturador significa que a ligação não pode ser comprovada de forma definitiva, mas nós a classificamos como forte”, disse a empresa. A Bitquery classifica seus links para rodadas posteriores de mixagem como mais fracos e também credita à YFarmX a identificação inicial dessa rota através do mixer e do Zcash.

A Tether supostamente congelou US$ 10 milhões de sua stablecoin USDT que foi associada à investigação em andamento. A Ledger afirma que não confirmou o número total de usuários afetados ou a quantidade perdida, e que os números que circulam online vêm de terceiros.

O que Ledger e outros fabricantes de carteiras estão fazendo

O CEO da Ledger, Pascal Gauthier, disse que a empresa ainda não sabe onde os dispositivos foram adulterados. “A investigação está em andamento para determinar quem violou esses signatários ou onde isso aconteceu na cadeia de distribuição”, escreveu Gauthier na terça-feira. “Estamos revisando os controles que se aplicam às nossas vendas diretas e aos revendedores e compartilharemos o que pudermos.”

Para proprietários que desejam olhar dentro de seus dispositivos, Ledger tem um guia para inspecionar seus dispositivos, e Karpelès postou uma lista de reprodução no YouTube sobre como abrir e fechar Nano X, Nano S Plus, Flex e Stax. “Tenha cuidado e certifique-se de fazer backup de sua frase de recuperação primeiro, porque abrir um signatário pode danificá-lo”, alertou Charles Guillemet, CTO da Ledger.

Outros fabricantes de carteiras de hardware também estão restringindo seus próprios canais de vendas. “Após os recentes incidentes na cadeia de abastecimento, decidimos reduzir o número de revendedores para que possamos verificar de forma mais eficaz aqueles com quem trabalhamos”, disse Trezor na terça-feira. “Sejamos muito claros: não há uma única evidência de que os dispositivos Trezor tenham sido comprometidos.” A OneKey disse na segunda-feira que encerrou a autorização da CryptoBilis, parou de adicionar novos revendedores e começou a revisar todos os existentes.