Ledger, CryptoBilis'e satılan cihazda yetkisiz donanım implantı tespit etti
Fransız kripto cüzdan üreticisi Ledger, Güneydoğu Asya bayisi CryptoBilis üzerinden satılan en az bir cihazda fabrika dışı bir implant tespit edildiğini onayladı. Şirket iç sistemlerin etkilenmediğini, vakaların sınırlı olduğunu bildirdi.
Ledger, resmi bir güvenlik bildiriminde, yetkili bayisi CryptoBilis aracılığıyla dağıtılan en az bir donanım cüzdanda yetkisiz bir donanım implantı (gizli ek parça) bulunduğunu onayladı. Şirket, bu cihazın kullanıldığı olası kripto varlık kayıplarıyla ilişkilendirildiğini, ancak olgunun yaygın bir sistem ihlali olmadığını, iç altyapılarının güvenli kaldığını vurguladı.
Tedarik zinciri saldırısı vektörü
Araştırmalar, implantın Ledger'in üretim hatlarında veya resmi lojistik süreçlerinde değil, yetkili bayi ağındaki CryptoBilis seviyesinde veya teslimat zincirinde cihaza yerleştirildiğini gösteriyor. Bu tür "supply chain" (tedarik zinciri) saldırıları, cihaz fabrika ayarlarıyla kullanıcıya ulaştığı varsayımını hedef alarak, özel anahtarların (seed phrase) ele geçirilmesini amaçlar. Ledger, tespit edilen implantın sayısının "sınırlı" olduğunu, etkilenen cihazların belirli bir partiyle ilişkili olabileceğini belirtti.
Kullanıcılardan istenen aksiyonlar
Şirket, özellikle CryptoBilis üzerinden satın alma yapan kullanıcıların cihazlarını Ledger Live uygulaması üzerinden "Genuine Check" (Orijinallik Doğrulama) testine tabi tutmasını önerdi. Eğer cihaz güvenlik uyarısı verirse veya şüpheli bir durum varsa, Ledger Destek ekibiyle iletişime geçilmesi ve cihazın kullanımından anında vazgeçilmesi talep edildi. Seed phrase'in (kurtarma kelimeleri) asla dijital ortama yazılmaması, fotoğraf çekilmemesi ve sadece cihaz ekranında doğrulanması hatırlatıldı.
Resmi kanalların önemi tekrar gündemde
Bu olay, donanım cüzdan güvenliğinin en zayıf halkasının sıklıkla üretici değil, yetkili olmayan veya denetlenmeyen satış kanalları olduğunu bir kez daha kanıtladı. Ledger, kullanıcıların cihazlarını resmi web sitesi (ledger.com) veya sertifikalı bayiler üzerinden temin etmesi, kutunun tamper-evident (müdahale belirtisi) plombalarının kontrol edilmesi gerektiğini tekrarladı. Güvenlik uzmanları, ikinci el marketlerden veya tanınmayan sosyal medya satıcılarından alınan cihazların riskinin sıfırlanamayacağını kaydediyor.
HaberGo Editor ve Muhabır ekibi