Ledger в ловушке: мошенник теряет 60 биткойнов

Поливальщик поливается. С 9 октября сотни владельцев Ledger в ловушке увидели, как их криптовалюты исчезают. Их устройства, купленные в Юго-Восточной Азии, были открыты и подделаны до продажи. Среди жертв оказался и мошенник. Он только что собрал добычу от мошенничества с <<оплачиваемыми заданиями>> на три свежесозданные адреса. В результате: воры забрали у него более 60 биткойнов, около 4,8 миллиона долларов. Та же волна также опустошила сотни кошельков, связанных с малайзийским продавцом CryptoBilis.

Chainalysis опубликовал эту деталь в четверг в конце дня на X. За несколько часов до этого Ledger предоставил свой первый письменный ответ на атаку. Производитель также приказал своим продавцам убрать свои устройства с полок.
Ключевые моменты этой статьи:

• Мошенник стал жертвой мошенничества с кошельками Ledger в ловушке, потеряв более 60 биткойнов в сложной операции отмывания денег.
• Ledger убрал свои продукты с полок в Юго-Восточной Азии, выявив очень организованную преступную группу, которая модифицировала подлинные устройства для кражи средств.

Ledger в ловушке: напоминание о фактах для тех, кто пропустил начало

В пятницу, 9 октября, один и тот же игрок опустошил кошельки на шести блокчейнах менее чем за час. Общая черта жертв: Ledger, купленный у CryptoBilis, авторизованного продавца в Индонезии, Малайзии и на Филиппинах. На следующий день Ledger подтвердил, что нашел аппаратный имплант в устройстве одной из жертв.

Компонент встраивается в корпус. Он считывает экран в момент, когда кошелек отображает 24 слова фразы восстановления, а затем передает их через мобильную сеть с помощью встроенной SIM-карты. С этими 24 словами вор больше не нуждается в Ledger. Он восстанавливает кошелек в другом месте и ждет, пока его владелец положит туда свои сбережения.

Chainalysis и Bitquery отслеживают добычу из Ledger в ловушке

Схема этого мошенничества с оплачиваемыми заданиями известна полиции по всему миру. Сначала мошенник нанимает подручных. Мошенник платит им за симуляцию покупок и публикацию ложных отзывов о реальных продуктах. Первые доходы поступают, доверие устанавливается. Затем на их счету появляется <<отрицательный баланс>>. Чтобы разблокировать свои доходы, новички сначала должны внести деньги из своего кармана. Вы поняли, что будет дальше.

22 сентября организатор этого мошенничества перевел свои доходы на три разных адреса Ledger, чтобы убрать свою добычу из досягаемости. Семнадцать дней спустя, 9 октября, воры опустошили три адреса за одну транзакцию каждый. Все оказалось на одном и том же кошельке, который уже был отмечен как хранилище украденных средств. <<Одной из крупнейших жертв кражи Ledger был сам мошенник>>, резюмирует Chainalysis на X. Срок говорит сам за себя. Имплант захватил 24 слова сразу после настройки устройства, а затем вор ждал день Х, чтобы забрать все сразу.

Bitquery отслеживает следы вора из Ledger в ловушке

Аналитическая компания не проснулась в четверг. С 9 октября Chainalysis объявил о расследовании <<сложной межцепочной операции отмывания денег>>. Дело мошенника стало первым публично обнародованным случаем. Но именно другая аналитическая компания on-chain, Bitquery, предоставила наиболее полную автопсию ограбления. Их аналитики начали с десяти адресов, опубликованных 9 октября исследователями tanuki42 и Specter. Затем они отслеживали каждый опустошенный кошелек на шести блокчейнах, с независимым вторичным подсчетом для проверки цифр.

На Bitcoin 60 BTC мошенника присоединяются к 203,8 биткойнам, украденным тем же утром с 122 кошельков, в основном в одном блоке в 5:54 UTC. Таким образом, для одного человека это почти 30% от биткойнов, украденных в тот день.

Отчет Bitquery также решает вопрос: был только один вор, который уже имел все ключи. На Tron 25 кошельков подписали одно и то же разрешение для одного и того же адреса за три секунды. Восемь минут назад 30 других кошельков потеряли контроль, который перешел к неизвестному ключу. Люди так не делают. Однако программное обеспечение, обладающее всеми фразами восстановления, может. Вор, кстати, тренировался в течение двух недель, проводя небольшие тестовые переводы, прежде чем нанести удар.

Другой вывод: шесть из десяти пострадавших кошельков получили свои первые средства в течение 90 дней, упомянутых Ledger. Но более восьми из десяти сделали это только с июня. Таким образом, риск, вероятно, начинается немного раньше, чем официальная инструкция.

Добыча из кошельков Ledger проходит через Tornado Cash и Zcash

«Межсетевое отмывание», о котором упоминает Chainalysis, затем явно читается в данных Bitquery. За несколько часов вор распорядился примерно 79 миллионами долларов США в USDT, украденными на Tron. Сначала он перевел 20 миллионов на Ethereum через мост USDT0, затем конвертировал их в эфир. Затем он обменял 23,7 миллиона на USDD, стейблкоин, который Tether не может заморозить. Наконец, он разбросал остаток между такими сервисами мгновенного обмена, как Relay, Chainflip или THORChain.

Затем начинается отмывание. С 9 по 13 октября в миксер Tornado Cash поступило около 7260 ETH. Значительная часть того, что вышло, затем прошла через Zcash, прежде чем вернуться в USDC или ETH на новые адреса. На 15 октября Bitquery все еще смогла локализовать 84 миллиона долларов на цепочке. 203,8 BTC, тем не менее, не сдвинулись ни на один сатоши с 9 октября.

Этот изолированный случай мало влияет на общий баланс кошельков Ledger. Bitquery теперь насчитывает 102 миллиона долларов, выведенных из 324 кошельков и шести блокчейнов. Эта цифра, проверенная на 15 октября, не была подтверждена и не была оспорена Ledger. Tether также заморозил 10 миллионов USDT, связанных с расследованием. Однако мошенник соответствует профилю других жертв: держателей крупных сумм в Юго-Восточной Азии, которые как раз купили аппаратный кошелек, чтобы сохранить свои средства в безопасности.

Ledger снимает свои кошельки с продажи и описывает банду, потратившую миллионы

Версия Ledger появилась 15 октября, за несколько часов до ключевой презентации Op3n, на которой производитель представил свой Ledger Atom. Текст говорит о «очень организованной преступной группе». В течение долгих месяцев эта группа покупала подлинные устройства и открывала их, чтобы установить на них индивидуальные компоненты. Их задача: захватить фразу восстановления при настройке. Затем они снова внедрили эти устройства в цепочку через ритейлеров Юго-Восточной Азии. Банда создала «свои собственные серверы для сбора seed-фраз, свои инфраструктуры для слива и отмывания». И они «потратили миллионы» перед тем, как нанести удар в одной скоординированной операции.

Ledger подчеркивает, что не было ничего, что поддалось бы атаке. Чип, операционная система и серверы остались нетронутыми. «Это не была системная атака на цепочку поставок, это была локализованная атака на распределение», пишет компания в своем сообщении. Лаборатория, известная как Подземелье, разобрала имплант. Затем команды купили и открыли устройства в магазинах, в том числе в Германии, а затем проверили образцы на складе. Все было чисто.

Новые правила для ритейлеров Ledger

Практические последствия дела с поддельными Ledger проявляются немедленно. Ledger приостанавливает продажи через своих авторизованных реселлеров в Юго-Восточной Азии и Гонконге. Запрещается перепродажа возвращенного устройства, даже если оно запечатано. И с этого момента ни один продукт Ledger не должен оставаться на полках или в витринах. Запасы остаются в резерве, и продавец передает их клиенту только в момент покупки. Ledger также требует от своих реселлеров незамедлительно сообщать о любых продуктах, которые покупатель считает необычными. Наконец, производитель призывает <<всю индустрию поступать так же>>. Trezor и OneKey также объявили на прошлой неделе о сокращении своей сети реселлеров.

Ledger также обещает контрмеры <<на уровне продукта>>. Ledger Atom, представленный в тот же день за 849 евро, уже обнаруживает открытие своего корпуса и снятие экрана. Однако он выйдет только летом 2027 года. Ни одно устройство Nano X, Flex или Stax в обращении не получит этой функции. Для них же указание остается прежним на протяжении десяти дней: не настраивать устройство, купленное у CryptoBilis за последние 90 дней, без предварительной проверки.