CryptoBilis centraal in onderzoek naar gemanipuleerde Ledger-wallets

Ledger vraagt resellers en distributeurs in zeven Aziatische markten om de verkoop van hardware wallets stil te leggen, nadat gemanipuleerde apparaten zijn aangetroffen die herstelzinnen kunnen doorgeven aan derden. Blockchainanalisten schatten de verliezen op meer dan US$86 miljoen (S$110 miljoen), maar Ledger heeft het aantal getroffenen en de totale schade niet bevestigd. De bevestigde incidenten en verliezen blijven volgens het bedrijf beperkt tot Zuidoost-Azië.

De maatregel geldt voor Singapore, Maleisië, Indonesië, Thailand, de Filipijnen, Vietnam en Hongkong. Ledger zegt dat er geen aanwijzing is dat zijn eigen systemen of het directe verkoopkanaal zijn gecompromitteerd; meldingen van verdachte apparaten in Europa zijn daarmee niet hetzelfde als bevestigde Europese diefstal.

Aanleiding ligt bij onderzochte apparaten van CryptoBilis

De eerste meldingen van gestolen cryptovaluta kwamen op 9 oktober van walletbezitters. Op 13 oktober kondigde Ledger aan regionale resellers en distributeurs te vragen de apparaten uit de schappen te halen. De berichtgeving van The Straits Times op 14 oktober beschrijft de uitbreiding van die maatregel naar zeven markten.

Ledger onderzoekt hardware wallets die zijn verkocht via CryptoBilis, een reseller uit Maleisië. De apparaten zouden kwaadaardige implantaten bevatten die informatie op het scherm kunnen uitlezen; wanneer een gebruiker de 24-woordherstelzin invoert, wordt die informatie volgens de berichtgeving aan een derde partij doorgegeven. Het onderzoek moet nog uitwijzen waar de manipulatie heeft plaatsgevonden.

Een gemanipuleerd Ledger-apparaat is ook verkocht bij Metapod op Changi Airport in Singapore. The Straits Times meldde dat de winkel en Ledger om meer informatie zijn gevraagd. De vondst maakt duidelijk dat de kwestie niet alleen om de onderzochte voorraad van CryptoBilis draait, maar bewijst op zichzelf niet hoeveel apparaten zijn aangepast of wie daardoor geld verloor.

Schadebedrag en meldingen buiten Zuidoost-Azië

De raming van meer dan US$86 miljoen, omgerekend circa S$110 miljoen, is afkomstig van blockchainanalisten. Ledger kon volgens The Straits Times niet vaststellen hoeveel mensen zijn getroffen of wat het totale verlies is. Het bedrijf zegt dat de verliezen die het heeft vastgesteld beperkt zijn tot Zuidoost-Azië; een definitieve omvang van de zaak is daarmee nog niet bekend.

Ook in Duitsland is een klantmelding over een implantaat in een apparaat gedaan. Europese elektronicaretailer MediaMarktSaturn heeft daarop Ledger-producten uit de schappen gehaald in de elf markten waarin het actief is. Dat is een voorzorgsmaatregel van de retailer en geen bevestiging dat in Europa cryptovaluta zijn gestolen of dat Ledger daar een incident heeft vastgesteld.

De meldingen buiten Zuidoost-Azië vallen dus buiten de geografische reikwijdte die Ledger voor de bevestigde verliezen noemt. Ook is nog niet vastgesteld of de Duitse melding verband houdt met de apparaten die via CryptoBilis zijn onderzocht. Een onderzoek naar fysieke manipulatie van Ledger-hardware draait daarom niet alleen om mogelijke diefstal, maar ook om de route waarlangs de apparaten bij kopers terechtkwamen.

Verkoopstop raakt resellerkanalen

Het verzoek is gericht aan resellers en distributeurs in de zeven genoemde markten. Ledger-producten worden volgens de berichtgeving gemaakt en geassembleerd in Frankrijk, Hongarije en Vietnam. Daarna worden ze vanuit een magazijn in Frankrijk of een distributiecentrum in Memphis, in de Verenigde Staten, naar retailers en klanten verzonden.

Ledger stelt dat er geen aanwijzing is voor een compromittering van zijn infrastructuur, systemen, diensten of directe verkoopkanaal. Dat is de positie van het bedrijf en geen onafhankelijke vaststelling van de oorzaak. De huidige maatregel richt zich op resellerverkoop; in de beschikbare berichtgeving is geen stop op rechtstreekse verkoop door Ledger genoemd.

Onderzoek naar distributieketen loopt door

De tijdlijn loopt van de meldingen van gestolen cryptovaluta op 9 oktober naar het verzoek aan regionale verkooppartners op 13 oktober. Op 14 oktober werd de verkoopstop in de zeven markten gemeld. De datum van die berichtgeving is ook de meest recente stap in de aangeleverde informatie; het onderzoek naar de apparaten en de omvang van de schade loopt nog.

De volgende belangrijke punten zijn waar in de distributieketen de implantaten zijn aangebracht, hoeveel gebruikers zijn geraakt en of Ledger de totale schade kan vaststellen. Ook blijft onduidelijk wat onderzoek oplevert naar de gemelde apparaten buiten Zuidoost-Azië. Een uitbreiding of beëindiging van de verkoopstop is in de beschikbare berichtgeving niet aangekondigd.