Ledger, 90 milyon dolarlık kripto hırsızlığına yol açan çip skandalının ardından satıcı kontrollerini gözden geçiriyor

Donanımlı yazılımlar üreticisi Ledger SAS, cihazlarına yerleştirilen gizli çipler sayesinde kullanıcıların yaklaşık 90 milyon dolar değerinde kriptosunun çalınmasının ardından satıcı ve hırsızlığa karşı koruma politikalarını gözden geçiriyor. Paris merkezli şirket, araştırmanın sonuçlarını beklerken Güneydoğu Asya ve Hong Kong’daki satıcılara cihaz satışını durdurma talimatı verdi.

Bloomberg’e göre Ledger CEO‘su Pascal Gauthier, sosyal medya hesabından yaptığı açıklamada şirketin hem doğrudan satışlarını hem de satıcı ağını kapsayan kontrolleri değerlendirdiğini belirtti. Şirketin baş teknoloji sorumlusu Charles Guillemet ise hırsızlığa karşı koruma önlemlerinin incelendiğini ve cihazlarının değiştirilmiş olabileceğini düşünenlerin şirketin denetim kılavuzlarına başvurup şüpheli birimleri iade etmeleri gerektiğini hatırlattı.

Olayın Malaysian satıcı CryptoBilis’e kadar izlenebildiğine dikkat çeken Bleeping Computer, kullanıcıların Cuma gününden itibaren fon kayıplarını bildirmeye başladığını ve bazı kayıplara bu satıcı üzerinden alınan cihazların bağlı olduğunu aktardı. Ledger en az bir cihazda donanımsal müdahaleyi doğruladı ve beklenmedik fon tahliyelerinin tüm vakaların CryptoBilis ile bağlantılı olduğunu söyledi. Şirket, etkilenen hacmin “sınırlı” olduğunu belirtti.

Bleeping Computer’a göre Ledger, kayıplar nedeniyle 9 Ekim’de resmi bir araştırma başlattığını ve CryptoBilis’e satışları ve sevkiyatları durdurduğunu açıkladı. Ertesi gün şirket, en az bir etkilenen cihazda bir donanımsal çip bulunduğunu doğruladı.

Tibane Labs araştırmacılarının iki varyantlı çipi Ledger Nano X $TWTR cihazlarında bulduğuna işaret eden Bleeping Computer, bu çiplerin ekran çıktısını ve tuş basımlarını kullanıcıların tohum ifadelerini (seed phrase) elde etmek için kaydettiğini, ardından bu verileri gömülü bir SIM kart kullanarak LTE bağlantısı üzerinden saldıranlara ilettiğini aktardı. Bir varyantta orijinal batırının yerini alan küçük boyutlu bir batarya çip için yer açarken, araştırmacılar çiplerin elle monte edilmeden profesyonel devre panelleri üzerinde üretildiğini tespit etti.

Ledger, Orijinal Kontrol (Genuine Check) kimlik doğrulama özelliğinin orijinal Güvenli Öğe’nin (Secure Element) bozulmamış olması süreceğinde cihaza eklenen donanımsal parçaları tespit etmek için tasarlanmadığını kabul etti. Şirket, kullanıcıların yetkisiz satıcılardan satın almaktan kaçınmasını ve yetkili dağıtımcıların ürünleri yalnızca resmi kanallardan temin edip iade edilen malları stoklamamalarını hatırlattı.

Malaysia dışındaki müdahalelere dair sosyal medya iddiaları arasında Alman elektronik perakendacisi MediaMarkt üzerinden satılan cihazlar da yer aldı. MediaMarktSaturn Retail Group, tüm Ledger ürünlerini mağazaları ve online platformlarından kaldırdığını ve üreticiyle iletişimde olduğunu söyledi. Ledger bu ek raporları gözden geçirdiğini ancak etkilenen kullanıcıların toplam sayısını veya kayıpların tam boyutunu henüz doğrulamadığını belirtti.

Olay, diğer donanımlı cüzdan üreticilerinin satıcı ilişkilerini yeniden değerlendirmesini tetikliyor. Bloomberg’in aktardığına göre OneKey ve Trezor bazı satıcı ilişkilerini durdurma veya gözden geçirme adı attı. OneKey CEO’su Yishi Wang, bu değişikliklerin Hong Kong merkezli şirketi bir yıl boyunca gelirinden edebileceğini belirtti.