Portfel Ledger zhakowany? Jak do tego dochodzi i co robić

Zniknęły środki albo przeczytali Państwo o „włamaniu na Ledgera” i nie wiedzą, co to oznacza. Oba przypadki zaczynają się w tym samym miejscu. Rozróżnienie między udokumentowanymi incydentami, rzeczywistymi sposobami kompromitowania portfeli sprzętowych a dostępnymi teraz opcjami decyduje o tym, co zrobić dalej.

Czy portfel sprzętowy Ledger może zostać zhakowany?

Nie zdalnie i nie w sposób, jaki wyobraża sobie większość ludzi. Urządzenie Ledger przechowuje klucze prywatne w chipie Secure Element: komponencie odpornym na manipulacje, certyfikowanym w standardzie EAL5+, który nie ujawnia danych kluczy nawet podczas bezpośredniego ataku fizycznego. Nie ma udokumentowanego przypadku zdalnego wyodrębnienia kluczy prywatnych z urządzenia Ledger i opróżnienia środków bezpośrednio przez sprzęt. Gdy ludzie mówią, że Ledger został „zhakowany”, prawie zawsze opisują coś innego: stronę phishingową, ujawnioną frazę odzyskiwania lub złośliwy monit o zatwierdzenie. To rozróżnienie ma znaczenie, bo wskazuje, gdzie była prawdziwa słabość.

Co naprawdę oznaczały incydenty bezpieczeństwa samego Ledgera

W lipcu 2020 r. baza danych e-commerce i marketingu Ledgera została naruszona przez atakującego wykorzystującego klucz API. Około 272 000 klientów miało ujawnione nazwiska, adresy e-mail, numery telefonów, a w niektórych przypadkach adresy pocztowe. Nie ujawniono żadnych kluczy prywatnych, fraz odzyskiwania, danych portfela ani środków. Naruszenie dotyczyło serwerów firmy, nie warstwy urządzeń.

To, co nastąpiło potem, to długotrwała i dobrze finansowana kampania phishingowa wykorzystująca te wyciekłe dane. Celowane e-maile z prawdziwymi nazwiskami klientów, przekonujące fałszywe strony Ledgera i próby kontaktu ze strony osób podszywających się pod pomoc techniczną były zaprojektowane tak, by zdobyć frazy odzyskiwania od użytkowników Ledgera, którzy uważali kontakt za legalny. Większość przypadków opisywanych jako „mój Ledger został zhakowany” wywodzi się z tej kampanii, a nie z naruszenia samego sprzętu.

W grudniu 2023 r. Connect Kit Ledgera – biblioteka JavaScript, której wiele aplikacji DeFi używa do łączenia się z portfelami sprzętowymi – został naruszony w wyniku ataku na łańcuch dostaw na dane uwierzytelniające byłego pracownika. Atakujący wstrzyknął złośliwy kod, który nakłaniał użytkowników do zatwierdzania oszukańczych transakcji przez ich portfele. To był atak na warstwę oprogramowania obejmujący interfejs przeglądarki, a nie model bezpieczeństwa urządzenia Ledger. Użytkownicy, którzy zatwierdzili monity, stracili środki; ci, którzy tego nie zrobili, nie zostali dotknięci.

Jak portfele Ledger są naprawdę kompromitowane

Phishing i fałszywe aplikacje

Phishing jest zdecydowanie najczęstszą przyczyną. Fałszywe e-maile, fałszywe strony pobierania Ledger Live i fałszywe konta wsparcia na Reddicie i Telegramie proszą o 24-wyrazową frazę odzyskiwania pod pretekstem aktualizacji oprogramowania, weryfikacji konta lub alertu bezpieczeństwa. Gdy ktoś ma te 24 słowa, ma portfel: może odtworzyć każdy klucz prywatny i opróżnić każde konto, zwykle w ciągu kilku minut. To, jak działa każdy rodzaj phishingu i jak wyglądają sygnały ostrzegawcze, zostało szczegółowo opisane tutaj.

Podrobione urządzenia

Podrobiony sprzęt to mniej powszechne, ale udokumentowane ryzyko. Zmodyfikowane urządzenia, z wyglądu identyczne z prawdziwym Ledgerem, mogą być dostarczane z frazą odzyskiwania już znaną atakującemu; każda moneta wysłana do tego portfela jest natychmiast dla niego dostępna. Niektóre fałszywe urządzenia każą użyć frazy wydrukowanej na karcie w pudełku zamiast wygenerować nową. Prawdziwy Ledger zawsze generuje nową, losową frazę podczas początkowej konfiguracji. Kupować należy wyłącznie na ledger.com lub u oficjalnie wymienionego autoryzowanego sprzedawcy, a przed dodaniem środków uruchomić genuine check.

Ujawnienie frazy odzyskiwania

Ujawnienie frazy odzyskiwania obejmuje wszystko, co udostępniło te 24 słowa komuś innemu: zdjęcie na później naruszonym telefonie, słowa wpisane na podłączonym urządzeniu, kopia zapasowa przechowywana w e-mailu lub chmurze albo fraza wprowadzona na fałszywej stronie. Fraza nie musi zostać skradziona w czasie rzeczywistym; może zostać znaleziona i wykorzystana miesiące lub lata później. To, jak bezpiecznie przechowywać frazę odzyskiwania w przyszłości, jest wyjaśnione tutaj.

Złośliwe zatwierdzanie transakcji

Incydent z Connect Kit z grudnia 2023 r. pokazał czwartą drogę: atakujący, który nie może dotknąć kluczy, i tak opróżni portfel, jeśli skłoni właściciela do zatwierdzenia oszukańczej transakcji. Złośliwe dApps, fałszywe monity o zatwierdzenie i naruszone biblioteki łączenia portfeli mogą prezentować transakcje o wiarygodnym wyglądzie, które opróżniają konto po podpisaniu. Urządzenie pozostaje bezpieczne; powierzchnią ataku jest zatwierdzenie. Każdy podpis należy weryfikować na ekranie samego urządzenia, nie w oknie przeglądarki, i nigdy nie wolno podpisywać transakcji, której nie rozpoznają Państwo w pełni.

Jeśli środki zniknęły: co zrobić natychmiast

Do naruszonego portfela nie wolno dodawać kolejnych środków: wszystko, co tam trafi, zostanie opróżnione równie szybko jak poprzednie saldo, ponieważ atakujący zwykle monitorują adresy automatycznie. Jeśli inne portfele korzystają z tej samej frazy odzyskiwania, proszę natychmiast przenieść te środki do nowego portfela z całkowicie nową frazą, przed jakimkolwiek innym działaniem.

Przed działaniem trzeba wszystko udokumentować: hashe transakcji, znaczniki czasu, adresy portfeli oraz wszelkie e-maile, adresy URL i wiadomości, z którymi mieli Państwo kontakt przed zniknięciem środków. Organy ścigania coraz częściej badają kradzieże kryptowalut, a ta dokumentacja czyni sprawę wykonalną. W USA sprawę zgłasza się do IC3 na ic3.gov; w innych krajach punktem wyjścia jest lokalny wydział przestępczości finansowej lub cyberprzestępczości.

Czy skradzione kryptowaluty można odzyskać?

Transakcje blockchain są z założenia nieodwracalne. Gdy środki opuszczą portfel, znajdują się pod kontrolą odbiorcy i żadna usługa nie może ich cofnąć. To, co może zrobić analityka blockchain, to prześledzić, dokąd trafiły środki: transakcje są publiczne, a organy ścigania czasami mogą zamrozić środki u współpracującej usługi. Śledzenie to nie to samo co odzyskanie, a każdy, kto gwarantuje odzyskanie skradzionych środków za zaliczkę, prowadzi oszustwo na odzyskiwanie – drugą wiktymizację na dodatek.

Crypto Recovers nie zajmuje się sprawami kradzieży ani oszustw. Naszym celem jest techniczne odzyskiwanie dostępu: osoby, które nadal posiadają swoje kryptowaluty, ale nie mogą do nich dotrzeć z powodu zapomnianego PIN-u, brakujących słów w frazie odzyskiwania, nieprawidłowej frazy lub uszkodzonej kopii zapasowej. Jeśli Państwa problem dotyczy utraty dostępu, a nie kradzieży, właściwą drogą jest odzyskiwanie dostępu do portfela Ledger. Jeśli środki zostały skradzione przez osobę trzecią, właściwym krokiem jest zgłoszenie tego organom ścigania, a przy znaczących kwotach — rozważenie firmy specjalizującej się w analityce blockchain.

FAQ: hak Ledgera

Czy Ledger kiedykolwiek został zhakowany?

Baza e-commerce Ledgera została naruszona w 2020 r., ujawniając dane kontaktowe klientów, a biblioteka Ledgera (Connect Kit) została naruszona w 2023 r. Żaden incydent nie ujawnił kluczy prywatnych ani fraz odzyskiwania z samych urządzeń Ledger.

Czy Ledger może zostać zhakowany zdalnie?

Nie ma udokumentowanego przypadku zdalnego wyodrębnienia kluczy prywatnych z urządzenia Ledger. Realne kompromitacje zdarzają się przez phishing, ujawnione frazy, podrobione urządzenia lub oszukańcze zatwierdzanie transakcji – nie przez sprzęt.

Mój Ledger został „zhakowany” – co zrobić najpierw?

Wszystkie pozostałe środki z każdego portfela używającego tej frazy odzyskiwania należy natychmiast przenieść do nowego portfela z nową frazą. Następnie trzeba udokumentować hashe transakcji i znaczniki czasu oraz zgłosić kradzież właściwemu organowi ścigania. Do naruszonego portfela nie wolno dodawać kolejnych środków.

Czy fraza odzyskiwania może zostać skradziona z urządzenia Ledger?

Nie. Secure Element nie ujawnia frazy i żaden udokumentowany atak nie wyodrębnił jej ze sprzętu. Fraza jest zagrożona na papierze, na zdjęciach, w chmurze i w formularzach phishingowych – nie wewnątrz urządzenia.