Ledger 'CryptoBilis' saldırılarını yetkili bayiye bağladı: 93 Milyon Dolar izlendi, 10 Milyon Dolar donduruldu

Ledger, son haftalarda donanım cüzdan kullanıcılarını hedef alan ve "CryptoBilis" kod adı verilen kötü amaçlı yazılım kampanyasıyla ilgili resmi açıklamasını yaptı. Şirket, tespit edilen tüm vaka sayısının, Güney Doğu Asya bölgesindeki yetkili bir bayi aracılığıyla satılan cihazlarla sınırlı kaldığını öne sürdü. Blockchain analitiği şirketleriyle iş birliğinde yapılan takipte, hırsızlıkla ilişkili olarak 93 milyon Dolar hacimnde varlık izlendi ve bu paranın 10 milyon Dolar kadarı dondurulabildiği bildirildi.

Saldırı vektörü: Yetkili bayi zinciri

Ledger'ın açıklamasına göre, saldırganlar cihazların üretim veya yazılım aşamasında değil, dağıtım zincirindeki yetkili bir bayi envanteri sırasında müdahale etmiş olabilir. Bu senaryo, "tedarik zinciri saldırısı" (supply chain attack) riskinin, kullanıcının cihazı kutusundan çıkardıktan sonra başladığı yaygın inancın tersine, kutunun içine kadar uzanabileceğini gösteriyor. Şirket, ilgili bayinin yetkilendirmesinin iptal edildiğini ve yasal sürecin başlatıldığını kaydetti.

Eleştiri odağı: "Yetkili" tanımının güvenilirliği

Güvenlik araştırmacıları ve topluluk liderleri, Ledger'ın "yetkili bayi" vurgusunun sorumluluğu kullanıcıya kaydırma girişimi olabileceğini dile getiriyor. Argüman şu: Eğer bir kullanıcı, Ledger'ın kendi web sitesinde listelenen ve "güvenli" olarak işaretlenen bir bayiden cihaz alıyorsa, o cihazın bütünlüğü için nihai sorumluluk üreticide olmalıdır. Bir bayinin yetkilendirme sürecindeki denetim mekanizmalarının (audit, plombalar, firmware doğrulama araçları) neden bu müdahaleyi öngöremediği soruşturuluyor.

Kullanıcıların elinde ne kaldı?

Ledger, etkilenen kullanıcıların cihazlarını kullanmaktan vazgeçirmeli, destek kanalları üzerinden değişim talebinde bulunmalıdır. Uzmanlar ise herhangi bir kaynaktan alınan cihazın ilk kurulumunda "Seed phrase" (kurtarma kelimeleri) ekranının cihaz üzerinde mi, yoksa bilgisayar ekranında mi göründüğüne dikkat çekiyor; cihaz ekranında görüntülenmeyen bir seed phrase, cihazın önceden yapılandırıldığının (pre-seeded) en güçlü göstergesidir. Bu olay, "Blind Signing" (kör imzalama) risklerinin ve cihaz doğrulama araçlarının (Ledger Live 'Genuine Check') rutin hale getirilmesinin önemini bir kez daha gözler önüne serdi.