В продажу попали офлайн-криптокошельки Ledger с сим-картой внутри

В августе покупатель из Германии купил в магазине сети MediaMarkt Saturn аппаратный криптокошелёк французской компании Ledger, и кошелёк оказался с жучком. Второй, купленный в другом магазине той же сети, — тоже. Об этом он рассказал в интернете, пишет издание heise.

В его коротком видео вскрывают кошелёк из оригинальной упаковки, и внутри видны лишние детали.

Аппаратный кошелёк хранит ключи от криптовалюты и нарочно не подключается к интернету. Но, по данным heise, неизвестные вскрывали такие кошельки Ledger ещё до того, как те попадали в продажу. Внутрь ставили дополнительный чип, который считывает изображение с экрана, и модем со встроенной сим-картой.

Модем передаёт снятое злоумышленнику, и тот, по heise, получает контроль над криптовалютой, которую «охраняет» секретная фраза кошелька.

А эту фразу, как пишет The Verge, кошелёк показывает на экране при первой настройке. Защищённый чип самого кошелька переделка, по heise, не трогает. Похоже, ломать защиту и не нужно: достаточно видеть экран.

По данным heise, кошельки с такой начинкой нашли в Германии и Сингапуре, у разных продавцов и от разных поставщиков; затронуто несколько моделей. Bitquery, разобрав общедоступные данные шести блокчейнов, оценивает ущерб владельцев таких кошельков к 13 октября примерно в 102 млн долларов.

Ещё в мае переделанный кошелёк показали публично: переделка была грубее, но снаружи всё равно незаметной. В найденных позже кошельках, пишет heise, лишние детали — из профессионального серийного производства, версий уже несколько.

В абзаце от 9 октября на странице поддержки Ledger, по данным heise, компания говорит, что изучает сообщения о потерях у пользователей в Юго-Восточной Азии. Тем, кто за последние 90 дней купил её кошелёк у официального продавца Cryptobilis, она советует этим кошельком не пользоваться. По словам немецкого покупателя, в магазин его кошелёк попал не от Cryptobilis.

По наблюдению heise, на 15 октября реклама Ledger обещала прежнее: хакеры не доберутся до ключей через интернет, потому что те хранятся офлайн.

Кто ставил модемы, heise не называет. MediaMarkt Saturn, по сообщению издания от 15 октября, временно перестала продавать кошельки Ledger.

Источники: heise online, The Verge