Een van de grootste slachtoffers van de aanval met gemanipuleerde Ledger-wallets in Zuidoost-Azië blijkt zelf oplichter te zijn. Volgens blockchainanalist Chainalysis verloor deze persoon ruim 60 bitcoin, ongeveer 4,8 miljoen dollar. Het geld stond op drie net gekochte Ledgers waarin een implantaat zat dat herstelzinnen vastlegt. De dieven haalden de drie wallets leeg naar hetzelfde adres. Hetzelfde schandaal heeft inmiddels Nederland bereikt: MediaMarkt heeft Ledger uit de winkels en de webshop gehaald.
Kerncijfers
- Verlies van de oplichter: ruim 60 BTC (circa $4,8 miljoen)
- Totale buit volgens Cointelegraph: ruim $103,4 miljoen
- Getroffen adressen: 530
- Ledgers van de oplichter: 3
Een oplichter die zelf werd opgelicht
Het geld kwam volgens Chainalysis uit een zogenoemde taakfraude. Deelnemers kregen betaald om nepverkopen en neprecensies van echte producten te plaatsen. Daarna sloeg de val dicht. Chainalysis beschrijft het zo: “Toen verscheen er een ‘negatief saldo’ en kregen ze te horen dat ze eigen geld moesten storten om uitbetaald te worden.” Op 22 september zette de oplichter de opbrengst volgens de analyse op drie Ledger-adressen. Die werden later leeggehaald door dezelfde groep die achter de aanval op de toeleveringsketen zit.
Het klinkt als poëtische rechtvaardigheid, maar voor de echte slachtoffers van de taakfraude verandert er niets. Hun geld is nu twee keer van eigenaar gewisseld, en de kans dat het terugkomt is er niet groter op geworden.
Hoe de aanval werkte
Bij een hardwarewallet staan je private keys offline. De herstelzin van 12 of 24 woorden is de enige back-up: wie die zin kent, heeft je crypto. Precies daar zaten de aanvallers. Ze kochten echte apparaten, bouwden er een verborgen implantaat in en brachten ze terug in het verkoopkanaal. Dat implantaat las de herstelzin uit tijdens het instellen en stuurde die via het mobiele netwerk door. Ledger zegt dat de eigen systemen, de software en de beveiligingschip niet zijn gekraakt. Dat klopt technisch gezien, maar het laat ook zien wat de zwakke plek is: alles wat gebeurt voordat het apparaat bij de koper ligt.
Hoe groot de schade precies is, verschilt per bron. Cointelegraph noemt ruim 103,4 miljoen dollar uit 530 adressen, Security.nl houdt het op ongeveer 93 miljoen dollar. Ledger heeft resellers in Indonesië, Singapore, Thailand, de Filipijnen, Vietnam, Maleisië en Hongkong gevraagd de apparaten uit de verkoop te halen.
MediaMarkt grijpt in, ook zonder Nederlandse slachtoffers
Ledger blijft erbij dat alle bevestigde diefstallen tot nu toe in Azië plaatsvonden. Toch haalde MediaMarkt na berichten over gemanipuleerde apparaten in Europa alle Ledger-producten weg. Volgens Bright zijn er in Nederland en België nog geen slachtoffers gemeld en gaat het om een voorzorgsmaatregel. Ledger adviseert kopers via die verkoper een apparaat dat nog niet is ingesteld niet te gebruiken. Wie de wallet al wel in gebruik heeft, krijgt het advies te overwegen de crypto over te zetten.
Opvallend: midden in deze affaire lanceerde Ledger zijn nieuwe Atom. Het apparaat van 849 dollar combineert een wallet met Android-apps. Volgens Ledger blokkeert het precies het soort implantaat dat in Azië werd gebruikt en kan het manipulatie zelfs detecteren als het uit staat. Concurrent Trezor stopt vanaf 1 januari met een deel van zijn verder weg gelegen resellers, al zijn er geen meldingen van gemanipuleerde Trezors.
Wat dit betekent voor jouw wallet
Een hardwarewallet is maar zo veilig als de weg die hij naar jou heeft afgelegd. Koop daarom bij voorkeur rechtstreeks bij de fabrikant. Gebruik nooit een herstelzin die al in de doos zit of op een kaartje staat, en zie een beschadigde verpakking als waarschuwing. Ervaren gebruikers die grote bedragen bewaren, kunnen overwegen een passphrase toe te voegen of een multisig-opzet met apparaten van verschillende merken te gebruiken. Dan heeft één besmet apparaat niet meteen toegang tot alles.
