Киберисследователь обнаружил поддельный Ledger, продававшийся на китайской площадке

Бразильский специалист по безопасности предупредил о новой схеме с поддельными устройствами Ledger, цель которой — кража криптоактивов пользователей.

В четверг на Reddit в сообществе “ledgerwallet” исследователь, выступающий под ником Past_Computer2901, сообщил, что купил устройство, которое считал оригинальным Ledger для личного использования, но после получения понял: это продуманная подделка, рассчитанная на похищение средств.

По его словам, это сообщение не должно вызывать панику, а служит серьезным предупреждением — его поразил масштаб операции.

Как отмечается, злоумышленники все чаще используют сложные методы атак на тех, кто выбирает самостоятельное хранение криптовалюты: от атак на цепочки поставок до социальной инженерии и мошенничества с подтверждениями.

Ранее в этом месяце, как утверждается, более 50 человек ввели сид-фразы в поддельном приложении Ledger Live, которое попало в App Store благодаря схеме «заманить и подменить». До удаления приложения пользователи потеряли в сумме 9,5 млн долларов.

Как работает схема с поддельным устройством

Исследователь рассказал, что приобрел Ledger Nano S Plus на китайском маркетплейсе — по цене, сопоставимой с официальным магазином. Упаковка и карточка товара на первый взгляд выглядели правдоподобно.

Однако при подключении к настоящему приложению Ledger Live (оно уже было установлено на его компьютере) устройство не прошло встроенную проверку подлинности Genuine Check.

После этого он разобрал устройство и обнаружил изменения в «железе» и прошивке, предназначенные для перехвата и раскрытия чувствительных данных кошелька.

По его версии, мошенники ориентируются на новых пользователей Ledger: QR-код в коробке обычно ведет на скачивание вредоносной версии Ledger Live, которая показывает поддельный результат Genuine Check.

Если следовать подсказкам дальше, злоумышленники в итоге получают сид-фразу и могут в любой момент вывести средства.

Исследователь призвал скачивать Ledger Live только с ledger.com и покупать устройства только на ledger.com.

«Если устройство не проходит Genuine Check — немедленно прекратите им пользоваться».

По его словам, после разборки были заметны признаки вмешательства, включая соскобленные маркировки на чипах, а также встроенную внутрь антенну Wi‑Fi и Bluetooth.

Оригинальные устройства Ledger устроены так, чтобы приватные ключи оставались полностью офлайн.

Затем исследователь изучил прошивку: при переводе чипа в режим загрузки устройство сначала определялось как Nano S Plus 7704 с указанным серийным номером, но после завершения загрузки появлялось название другого производителя — Espressif Systems, китайской публичной полупроводниковой компании из Шанхая.

Источник: Reddit