Gemanipuleerde Ledger-wallets kosten Singaporezen 3,5 miljoen Singaporese dollar, ook MediaMarkt stopte de verkoop

Twee crypto-beleggers in Singapore zijn samen ongeveer 3,5 miljoen Singaporese dollar kwijt, omgerekend zo'n 2,7 miljoen Amerikaanse dollar. Ze hadden in een gewone winkel een Ledger-hardwarewallet gekocht, en daar bleek een extra chip in te zitten. Dat meldt de Singaporese politie in een waarschuwing van 28 oktober. Volgens het eerste onderzoek waren sommige wallets uit lokale winkels fysiek aangepast. Daardoor konden aanvallers de herstelzin of privésleutels van de koper buitmaken en geld wegsluizen zonder dat de eigenaar dat merkte.

Het lek zit hier niet in de software of in de beveiligde chip van Ledger. Het probleem zit in de route van de fabriek naar de klant. Dat maakt de zaak ongemakkelijk, want een hardwarewallet koop je juist omdat je niemand hoeft te vertrouwen. Nu blijkt dat je wel moet kunnen vertrouwen op iedere schakel tussen Parijs en de winkelschap.

Hoe de aanval werkt

Voor beginners eerst even de basis. Als je een wallet instelt, krijg je een herstelzin van 24 woorden te zien. Met die woorden kun je je wallet op elk ander apparaat opnieuw aanmaken. Wie de volledige zin heeft, heeft dus ook je munten. Het Donjon-beveiligingsteam van Ledger ontdekte dat het verborgen onderdeel die zin rechtstreeks van het scherm afleest tijdens de installatie. Vervolgens stuurt het de woorden via een LTE-mobiele verbinding naar de aanvaller.

Voor ervaren lezers is dit het opvallendste detail. Volgens Ledger werkte het implantaat los van het Secure Element, de chip die de privésleutels moet afschermen. Ook hoefde het besturingssysteem van de wallet er niet voor te worden aangepast. Firmwarechecks en attestatie helpen dan niet, want aan het apparaat zelf is niets veranderd. Er zit alleen iets naast.

Van CryptoBilis tot Changi Airport

Het begon bij CryptoBilis, een reseller die in Zuidoost-Azië actief is. Op 10 oktober bevestigde Ledger een implantaat in een van de apparaten die via die partij waren verkocht. Drie dagen later vroeg het bedrijf wederverkopers in zeven markten om de verkoop en verzending te stoppen. Volgens The Straits Times doken de gemanipuleerde exemplaren ook op in de Singaporese winkels. Eén werd verkocht bij Metapod op Changi Airport, een ander zou bij een Challenger-filiaal in VivoCity zijn gekocht. Mark Karpelès, oud-topman van Mt. Gox, zei dat er in een Ledger Flex die hij op het vliegveld had gekocht een spionage-implantaat zat.

Volgens analisten is in de regio al meer dan 86 miljoen dollar gestolen. Ledger zegt dat het dat totaal en het aantal slachtoffers niet kan bevestigen. Het bedrijf waarschuwt ook om niet zomaar uit te gaan van cijfers die online rondgaan.

Ook Europa bleef niet buiten schot

Voor Nederlandse lezers komt het dichterbij door MediaMarkt. Op 13 oktober haalde MediaMarktSaturn alle Ledger-wallets uit de winkels en webshops. Volgens Crypto Briefing ging het om meer dan duizend winkels in elf landen. De aanleiding was een klant in Duitsland die een niet-toegestaan onderdeel in zijn apparaat vond. Een woordvoerder van het concern zei tegen The Block: "We nemen dit incident zeer serieus." In dat Duitse geval is volgens Ledger geen geld verloren gegaan. De fabrikant houdt vol dat zijn eigen systemen en directe verkoopkanalen niet zijn gecompromitteerd. Een gebruiker op X die zich Johannes noemt, zegt dat hij in twee verschillende Duitse MediaMarkt-filialen een aangepast apparaat kocht. Volgens hem wezen de winkelgegevens naar distributeur Aqipa GmbH. Dat is niet onafhankelijk bevestigd.

Wat moet je nu doen? Ledger raadt kopers van CryptoBilis-apparaten uit de afgelopen 90 dagen aan om ongebruikte wallets niet te installeren. Heb je hem al in gebruik, zet je tegoeden dan over naar een nieuwe wallet met een nieuw aangemaakte herstelzin. Voor iedereen die een hardwarewallet koopt, geldt het oude advies nu nog sterker: koop rechtstreeks bij de fabrikant. Wees ook wantrouwig bij een apparaat dat je herstelzin al lijkt te kennen of dat er vreemd uitziet. Het Keystone-incident van 26 oktober is een ander verhaal. Daar werd een authenticatiesleutel gestolen en lagen de gegevens van 25.964 klanten op straat. Herstelzinnen kwamen volgens het bedrijf niet in gevaar. Ook die zaak laat zien hoe kwetsbaar de toeleveringsketen van deze producten is.