Ledger cüzdanlarında gizli hücresel implant: bayiden satılan donanım cüzdanlarıyla yaklaşık 93 milyon dolar nasıl boşaltıldı
Ledger, 10 Ekim 2026'da Güneydoğu Asya bayisi CryptoBilis üzerinden satılan, kurcalanmış donanım cüzdanlarının, cihaz kurulumu sırasında kullanıcıların kurtarma ifadelerini yakalamak için tasarlanmış yetkisiz bir donanım implantı içerdiğini doğruladı. Şirket bulguyu destek hesabı üzerinden duyurdu. Söz konusu olan ne bir aygıt yazılımı hatası ne de bir kimlik avı hilesiydi; üreticiden alıcıya giden yolun bir yerlerinde orijinal cihazlara eklenmiş ilave devrelerdi.
Ekranın arkasında bir implant
Ledger'ın doğrulamasına ve PhishFort'un yayımladığı teknik analize göre implant, cihazın ekranının arkasında duruyor ve ekranın veri hatlarına bağlanıyordu. Bu konum, ekranda görünen her şeyi - ilk kurulum sırasında üretilen 24 kelimelik kurtarma ifadesi dahil - okumasına izin veriyordu. Yani ele geçirmek için virüslü bir bilgisayar ya da zararlı bir uygulama gerekmiyordu: cüzdan, seed kelimelerini üretildikleri anda kendisi kaydediyordu. CoinDesk'in 13 Ekim'de aktardığına göre Ledger, bileşeni yakalanan cüzdan anahtarlarını mobil ağ üzerinden ileten bir casus çip olarak tanımladı. Böyle bir bant dışı kanal kurbanın bilgisayarına ya da internet bağlantısına bağlı olmadığından, veri sızdırma fark edilmesi güç bir biçimde gerçekleşiyordu. Fiziksel kanıt da bu tanımla uyuşuyor: Help Net Security'nin aktardığı üzere, boşaltılmış bir cihazın arkasında, sonradan yapılan incelemede bir implant bulundu. Yayımlanan analizlerin hiçbiri implantı kimin yaptığını ya da cihazların dağıtım zincirinin hangi noktasında değiştirildiğini ortaya koymuyor. İncelemelerin gösterdiği ise görsel muayeneden kaçacak kadar küçük, cüzdanın normal çalışmasına engel olacak kadar özenli bir değişiklik. Minimum iz, tam işlevsellik ve gizli iletimin bu bileşimi, donanım implantlarını sonradan tespit etmeyi bu kadar zorlaştırıyor. Gerçek görünen bir cüzdan, normal bir kurulum akışı ve ekranın arkasında seed ifadesi belirdiği anda onu kopyalayan bir bileşen - olayın biçimi budur.
Kayıpların boyutu
Blokzincir analizi şirketi Bitquery 11 Ekim'de şüpheli kayıpların altı zincirde 315 cüzdanda 93,2 milyon dolara ulaştığını, bunun yaklaşık 70,5 milyon dolarının TRON üzerinde olduğunu tahmin etti. Bu rakamlar Bitquery'nin on-chain analizinden geliyor ve Ledger tarafından doğrulanmamış durumda; bu yüzden şirket tarafından doğrulanmış toplamlar olarak değil, analist tahminleri olarak okunmalılar. Analistler, hırsızlığın ortaya çıkmasının ardından geçen günlerde çalınan fonların Tornado Cash üzerinden aktığını izledi; Tarnkappe'nin yayımladığı özete göre 11 Ekim itibarıyla zincir üzerinde yaklaşık 81 milyon dolar hâlâ izlenebilir durumdaydı. Fonların çıkışının ardından iki önlem geldi: Tether hırsızlıkla bağlantılı yaklaşık 10 milyon USDT'yi dondurdu ve yaklaşık 5,35 milyon USDC dondurulmak üzere tespit edildi. CryptoBilis tüm donanım envanterini durdurdu
Kurcalanmış cihazların Endonezya, Malezya ve Filipinler'deki müşterilere ulaştığı bayi CryptoBilis, sorun ortaya çıktığı anda donanım cüzdanı envanterinin tamamının satışını durdurdu. Ledger'ın doğrulaması, kurcalanmış cihazları bu bayinin sattığı stoğa bağlıyor. Bu vaka, satış noktasının üretici kadar önemli olduğunu gösteriyor. Yetkisiz bir aracıdan geçen orijinal bir cihaz açılabilir, değiştirilebilir ve dışarıdan görünmeyen donanımla yeniden kapatılabilir; mühürlü ambalaj da az güvence sunar, çünkü yeniden kapatılmış bir kutuyu fabrika çıkışı mühürlü olandan ayırmak zordur. Üçüncü taraf mağazalardan, pazaryerlerinden veya bayilerden alanlar, o aracıların koruduğu bütünlüğü - ya da eksikliğini - miras alır. Bunun donanım tedarik zinciri güveni açısından anlamı
Donanım cüzdanları basit bir varsayım üzerine kuruludur: elinizdeki cihaz, aygıt yazılımının söylediğini tam olarak yapar ve başka hiçbir şey. Fiziksel kurcalama bu varsayımı, hiçbir yazılım taramasının ulaşamayacağı bir katmanda kırar. Bu olaydaki implant cüzdanın görünüşünü ya da davranışını değiştirmedi; kullanıcılar normal bir ekran ve normal bir kurulum akışı görürken, ekranın arkasındaki bir bileşen seed ifadesini kopyalıyor ve sessizce iletiyordu. Pratik dersler gösterişsiz. Donanım cüzdanlarını doğrudan üreticiden ya da yetkili bir dağıtıcıdan alın. Önceden yapılandırılmış gelen - üzerinde basılı kurtarma ifadesi ya da önceden ayarlı PIN olan - her cihazı ele geçirilmiş sayın ve atın. Cihazı kendiniz başlatın, taze bir kurtarma ifadesi üretin ve onunla kullandığınız yazılımın özgünlüğünü doğrulayın: indirmeleri doğru doğrulama yazımızda anlatılan aynı disiplin, Tor üzerinden indirilen her şey gibi cüzdan araçları için de geçerlidir. CryptoBilis'ten Ledger alan herkes için çalışma varsayımı şudur: kurtarma ifadesi yakalandı. Fonlar, doğrulanmış bir cihazda başlatılmış bir cüzdana taşınmalı ve eski seed yakılmış sayılmalıdır. Bu ilke olayın ötesinde de geçerlidir: kurtarma ifadesi yalnızca tek bir yerde bulunur, sahibi tarafından üretilir, asla önceden basılmaz ve asla yeniden kullanılmaz.
