La scatola era sigillata. L'involucro di plastica era perfetto. Ma all'interno, il portafoglio hardware Ledger conteneva un minuscolo circuito stampato progettato per rubare la password e le criptovalute del proprietario. Questo è quanto afferma Mark Karpelès, ex CEO di Mt. Gox.
Karpelès, che gestiva la piattaforma di scambio fallita nel 2014, afferma che lo spyware era nascosto dietro lo schermo, dove avrebbe dovuto esserci un pezzo di imbottitura. Conteneva un'antenna e una piccola SIM in grado di trasmettere la frase di recupero di 24 parole del portafoglio.
Quelle parole sono sufficienti per svuotare da remoto il portafoglio di criptovalute. Un malintenzionato non avrebbe più bisogno di toccare il dispositivo.
Il controllo di sicurezza di Ledger potrebbe non rilevare il chip spia
Il servizio Genuine Check di Ledger conferma che un dispositivo contiene un chip di sicurezza autentico. Tuttavia, non è in grado di rilevare ogni alterazione fisica intorno al chip. Si tratta di una limitazione riconosciuta da Ledger stessa nelle proprie linee guida.
Un portafoglio manomesso potrebbe quindi superare il controllo mentre un componente nascosto monitora lo schermo.
La scoperta giunge mentre Ledger indaga su segnalazioni di portafogli svuotati che coinvolgono il rivenditore malese CryptoBilis. Ledger ha chiesto all'azienda di interrompere la vendita e la spedizione dei suoi dispositivi.
Gli investigatori on-chain hanno inizialmente stimato perdite superiori a 86 milioni di dollari.
Una successiva analisi di Bitquery ha stimato la cifra a 92,9 milioni di dollari distribuiti su 311 portafogli. Ledger non ha confermato tali totali. Una vittima avrebbe perso 80 Bitcoin.
Karpelès afferma che il suo dispositivo proveniva da un venditore diverso. Ledger non ha ancora stabilito che la manomissione dell'hardware abbia causato le perdite di CryptoBilis.
Quindi, chi si assume la responsabilità?
Alcuni danno la colpa agli acquirenti.
Tuttavia, la stessa Ledger raccomanda rivenditori autorizzati, inclusi i negozi ufficiali su Amazon, Shopee e Lazada.
Un portafoglio hardware dovrebbe eliminare la necessità di affidare i propri soldi a qualcuno. Tuttavia, acquistarne uno tramite un intermediario significa affidare il dispositivo che li protegge a uno sconosciuto.
Per chiunque affidi i propri risparmi a un dispositivo tascabile, si tratta di un avvertimento difficile da ignorare.
L'articolo "Chip spia nascosto trovato all'interno di un portafoglio Ledger sigillato" è apparso per la prima volta su BeInCrypto.