Ledger: cip spion în wallet-uri CryptoBilis, furt de 93 milioane

Ledger, producătorul francez de wallet-uri hardware pentru criptomonede, a confirmat că cel puțin un dispozitiv vândut de distribuitorul CryptoBilis conținea un implant hardware neautorizat. Implantul, ascuns sub ecran, citește fraza de recuperare (seed) în timp ce wallet-ul o afișează la configurare și o transmite atacatorului printr-o conexiune LTE cu eSIM. Cu fraza în mână, atacatorul reconstruiește wallet-ul pe alt dispozitiv și îl golește când vrea.

Știrea este preluată de Help Net Security, BleepingComputer, The Hacker News și heise Security. Detaliile tehnice provin din analizele publicate de Mark Karpelès (fost CEO al Mt. Gox) și de Tibane Labs, nu de Ledger, care deocamdată nu a explicat cum funcționează implantul.

Ce s-a întâmplat

• 9 octombrie 2026: utilizatori din Asia de Sud-Est raportează wallet-uri golite. Ledger deschide o investigație și îi cere lui CryptoBilis, mare distribuitor cu sediul în Malaezia, să suspende vânzările și livrările.
• 10 octombrie: Ledger confirmă că dispozitivul unuia dintre utilizatorii afectați conținea un implant hardware neautorizat; colaborează cu autoritățile pentru identificarea celor responsabili.
• 11 octombrie: în actualizarea de la 72 de ore, Ledger afirmă că toate cazurile confirmate privesc dispozitive vândute prin CryptoBilis, că numărul lor este „limitat” și că propriile sisteme și canalele de vânzare directă nu au fost compromise. CryptoBilis a oprit vânzarea de wallet-uri hardware.

Potrivit cercetătorilor care analizează tranzacțiile din blockchain, citați de Help Net Security, pierderile suspectate depășesc 93 de milioane de dolari. BleepingComputer relatează că unii cercetători arătau implantul încă din 16 septembrie și că dispozitivele modificate se vindeau la aproximativ jumătate din prețul originalului.

Ledger nu a precizat modelul implicat; Karpelès vorbește despre Ledger Nano X. Nu este clar când și în ce punct al lanțului de distribuție au fost modificate dispozitivele.

Detalii tehnice

Cum funcționează, potrivit lui Karpelès. Dispozitivul pe care l-a cumpărat și l-a deschis conține o plăcuță mică ascunsă sub ecran, în locul buretelui de sub afișaj, cu un microcontroler, o antenă, un modul LTE și un eSIM. Implantul urmărește ce apare pe ecran și apăsările butoanelor, extrage cuvintele frazei de recuperare și le trimite prin rețeaua mobilă. Wallet-ul a sosit cu folia intactă și a trecut Genuine Check al Ledger, pentru că cipul de securitate este autentic. Karpelès îl descrie ca pe o evoluție față de versiunile anterioare, cu fire lipite manual.

Două variante, potrivit Tibane Labs. Cercetătorii au analizat două exemplare cumpărate în Japonia, unul de pe Amazon Japan de la un vânzător chinez cu livrare din Malaezia, celălalt de pe Yahoo! Auctions:

• prima variantă: bateria originală este înlocuită cu una mai mică, ce alimentează atât wallet-ul, cât și implantul. Sub baterie și antenă se află un microcontroler ST STM32G431KBU6 (Arm Cortex-M4, 128 KB flash, capsulă UFQFPN-32), iar alături un eSIM în capsulă cu 8 contacte de 2×2 mm și un modul LTE ecranat;
• a doua variantă, mai avansată și asemănătoare cu cea găsită de Karpelès: folosește bateria originală, ocupă spațiul buretelui de sub afișajul OLED și are marcajele șterse de pe microcontroler și eSIM. Este un circuit flexibil proiectat și produs în serie de un furnizor de PCB, nu o piesă unică făcută manual.

În ambele variante indiciul vizibil este firul antenei: de-a lungul marginii de sus la a doua, prins cu bandă peste baterie și modulul LTE la prima. Ca să-l vezi, trebuie să deschizi dispozitivul.

De ce verificările nu sunt suficiente. Genuine Check verifică autenticitatea Secure Element. Chiar Ledger avertizează că nu poate detecta componente adăugate dacă Secure Element original este intact. Implantul nu atinge cheile din cip: le citește de pe ecran, în momentul în care wallet-ul i le arată utilizatorului. Și, pentru că folosește rețeaua mobilă, traficul său nu trece prin rețeaua utilizatorului.

Sursele diferă privind originea. Help Net Security scrie că Karpelès a cumpărat dispozitivul în Malaezia; potrivit BleepingComputer, l-a cumpărat de la un vânzător chinez de pe o platformă cunoscută, cu livrare din Malaezia, fără să numească CryptoBilis.

MITRE ATT&CK (corespondența noastră pe baza faptelor relatate): T1195.003 (Supply Chain Compromise: Compromise Hardware Supply Chain), T1011 (Exfiltration Over Other Network Medium). Nu au fost publicați indicatori de compromitere, cum ar fi adrese sau servere de destinație.

Impactul pentru companiile europene și italiene

Cazurile confirmate sunt în Asia de Sud-Est, dar canalul de vânzare nu era un târg de vechituri: CryptoBilis era un distribuitor autorizat. Potrivit Help Net Security, un utilizator de pe X susține că și wallet-uri vândute în Europa de un distribuitor oficial ar putea fi modificate: afirmația nu este verificată, Ledger nu a comentat-o, iar BleepingComputer nu raportează indicii privind alți distribuitori.

Pentru companiile care păstrează criptomonede în trezorerie, acceptă plăți în cripto sau administrează fonduri ale clienților, riscul este concret. Lecția este însă valabilă pentru orice dispozitiv fizic de securitate, cum ar fi cheile FIDO și tokenurile de autentificare: atestarea cipului nu garantează că restul dispozitivului este intact. Pentru entitățile NIS2, articolul 21 cere măsuri pentru securitatea lanțului de aprovizionare, iar canalele de achiziție a hardware-ului de securitate fac parte din el.

Bitquery, companie de analiză a blockchain-ului, observă că peste 80% dintre wallet-urile golite pe care le-a urmărit au primit primele fonduri din iunie încoace. Asta sugerează că ar putea fi compromise și dispozitive cumpărate înainte de cele 90 de zile acoperite de recomandările Ledger.

Ce să faci imediat

1. Fă inventarul wallet-urilor hardware ale companiei: model, număr de serie, canal și dată de achiziție, cine le-a inițializat.
2. Dispozitive cumpărate de la CryptoBilis: dacă nu sunt încă configurate, nu le inițializa. Dacă sunt în uz, mută fondurile într-un wallet nou, cumpărat direct de la producător, cu o frază de recuperare nouă generată de noul dispozitiv. Ia în calcul și achizițiile mai vechi de 90 de zile.
3. Achiziții de pe marketplace-uri, licitații sau la prețuri foarte mici: tratează-le la fel. Genuine Check nu este suficient pentru a exclude implantul.
4. Reguli de achiziție: cumpără hardware-ul de securitate direct de la producător sau de la distribuitori verificați. Exclude produsele folosite, returnate sau repuse în vânzare și păstrează dovada achiziției.
5. Monitorizează adresele wallet-urilor companiei, cu alerte pentru orice ieșire neautorizată.
6. Atenție la phishing: Ledger avertizează că escrocii vor folosi știrea pentru a contacta utilizatorii. Ledger nu sună, nu trimite mesaje private și nu cere niciodată fraza de recuperare de 24 de cuvinte; informează persoanele care administrează trezoreria.
7. În caz de furt, contactează asistența Ledger doar prin canalele oficiale și depune plângere la poliție.

Ultima actualizare: 13 octombrie 2026