Ledger cüzdan manipülasyonu şüphesi: CryptoBillis satışları durduruldu

Fransa kökenli donanım cüzdan üreticisi Ledger, resmi bayilerinden biri olan CryptoBillis aracılığıyla satılan cihazlarda yetkisiz donanım implantı tespit ettiğini duyurdu. Şirket, etkilenen kullanıcıların cüzdanlarının boşaltıldığı raporları üzerine CryptoBillis'ten tüm satışları durdurmasını istedi.

Ledger'in yaptığı açıklamada, araştırılan cihazlardan birinde ekranın tam altına yerleştirilmiş, fabrika orijinalinde bulunmayan küçük bir devre kartı (implant) belirlendi. Bu modül, cihaz ekranında görüntülenen her veriyi — kurulum sırasındaki seed phrase (tohum anahtarı) dahil — yakalayıp, gömülü bir SIM kartı üzerinden uzaktaki bir sunucuya iletiyor.

Sosyal medyada paylaşılan fotoğraflarda ve videolarda, cihazın arka kapağı açıldığında ekran modülü ile ana kart arasına sıkıştırılmış, hafif bir kalınlıkta bir flex kartı görüldü. Güvenlik araştırmacıları, implantın cihazın işlemcisine (MCU) değil, doğrudan ekran sürücü hatlarına bağlı olduğunu; bu sayede işletim sistemi seviyesinde herhangi bir iz bırakmadığını, bu nedenle standart yazılımsal denetimlerin bunu tespit edemeyeceğini belirtiyor.

Tedarik zinciri saldırısı mı, bayi seviyesinde müdahale mi?

Ledger, implantın kendi üretim hatlarında değil, teslimattan sonra bayi veya dağıtım seviyesinde yerleştirildiğine işaret ediyor. CryptoBillis henüz resmi bir açıklama yapmadı; şirketin web sitesindeki Ledger ürünleri "stokta yok" olarak işaretlendi. Ledger, müşterilerden cihazlarını sadece resmi web sitesi (ledger.com) veya yetkili perakendeciler üzerinden temin etmelerini, kutudaki tamper-evident (müdahale belirtisi) etiketlerin bozulmamış olmasını ve cihaz ilk açılışta "Genuine Check" (Orijinallik Doğrulaması) geçmesini beklemelerini öneriyor.

Etkilenen kullanıcı sayısı ve toplam kayıp tutarı henüz netleştirilmedi. Ledger, soruşturma süresince CryptoBillis üzerinden satın alınan tüm cihazların kullanımından kaçınılmasını, varlıkların güvenli bir cüzdana transfer edilmesini ve şüpheli cihazların destek ekibi ile iletişime geçilerek analiz için iade edilmesini talep etti.