Ledger casus çip skandalı: Donanım cüzdanları kripto varlıkların soğuk depolamasını hâlâ koruyabilir mi?

​Ledger, 86 milyon $’dan fazla kripto kaybıyla bağlantılı bir müşteri cihazında yetkisiz donanım implantı bulunduğunu doğruladı. Bu durum, donanım cüzdanı tedarik zincirinde ciddi bir güvenlik açığını gözler önüne seriyor. Güneydoğu Asyalı satıcı CryptoBilis’e yönelik daha ileri incelemeler, fiziksel kurcalama risklerini ve soğuk cüzdanların kripto saklamada en güvenli yöntem olma konumunun nasıl yeniden tesis edilebileceğini ortaya koyacak.

Doğrulanan implant ve kayıpların boyutu

Ledger’ın yetkisiz bir donanım implantını doğrulaması, cüzdanlarındaki birçok gizli sorunu ortaya çıkardı. Başlıca riskler, cihazları Güneydoğu Asyalı satıcı CryptoBilis üzerinden satın alan alıcılarda görülüyor. Ledger, sistemlerinde herhangi bir güvenlik açığı bulunmadığını belirtiyor. Bitquery’deki blockchain analistleri, Tron, Bitcoin, Ethereum, BNB Chain, Polygon ve Solana ağlarındaki 315 cüzdandan yaklaşık 93,2 milyon $ alındığını hesapladı. Tether, bağlantılı USDT’lerin yaklaşık 10 milyon $’lık kısmını dondurdu. Ledger bu rakamları henüz doğrulamadı. 

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

10 Ekim’de Ledger Support, şu ifadelerin yer aldığı bir durum güncellemesi yayımladı: 

“Ledger, etkilenen kullanıcılardan birinin cihazında yetkisiz bir donanım implantı bulunduğunu doğrulayabilir.” 

Şirket, yetkililer ve güvenlik kolektifi SEAL 911 ile iş birliği yapıyor. CryptoBilis’ten tüm donanım cüzdanı satışlarını durdurmasını talep etti. 

Açıklamada, “Ledger’ın güvenlik altyapısının, sistemlerinin veya hizmetlerinin tehlikeye atıldığına dair hiçbir belirti yok” denildi. 

Casus modülün anatomisi

Araştırmacılar, yazılım açığından yararlanmayı veya güvenli elementin ihlalini gerektirmeyen gelişmiş bir fiziksel modifikasyon tanımlıyor. Eski Mt. Gox CEO’su Mark Karpelès, Malezya’dan satın alınmış bir Ledger Nano X’i inceledi ve küçük bir devre kartı buldu. 

“Casus implantlı Ledger’ım Malezya’dan geldi ve jelatini kusursuzdu,” diye yazdı. “Açtığınızda bile ilk bakışta implantı görmüyorsunuz; çünkü ekranın dolgusunun olması gereken yere ustaca gizlenmiş.”

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

İmplant genellikle bir mikrodenetleyici, hücresel veya LTE modülü, eSIM ve anten içeriyor. Cihaz ilk kurulum sırasında 24 kelimelik kurtarma ifadesini oluşturduğunda, modül kelimeleri piksel akışından yeniden oluşturup hücresel ağ üzerinden iletebiliyor. Güvenli element orijinal kaldığı için Ledger’ın “Genuine Check” kontrolü hâlâ geçiliyor. Bu nedenle sıradan bir kullanıcının sorunu fark etme ihtimali neredeyse yok.

Bir fabrika arızası değil, satış kanalı sorunu

Ledger, olayın Endonezya, Malezya ve Filipinler’de faaliyet gösteren yetkili satıcı CryptoBilis üzerinden satılan cihazlarla sınırlı olduğunu belirtti. Şu anda Ledger’ın kendi mağazasından doğrudan satın alınan cihazlarda sorun görüldüğünü gösteren herhangi bir vaka bulunmuyor. Şirket, ürünler fabrikadan çıktıktan sonra hiçbir küresel tedarik zincirinin müdahaleye karşı bağışık olmadığını vurguluyor. CryptoBilis’in eski kurucu ortakları, işletmenin 2026’nın başlarında el değiştirdiğini ve bu nedenle bu boşaltımlardan sorumlu olmadıklarını öne sürdü.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Zincir üstü faaliyet örüntüsü, birden fazla cüzdanın saniyeler içinde aynı harcama yetkisini verdiğini gösteriyor. Bu, vakaların tekil phishing girişimlerinden ziyade özel anahtarlara koordineli erişim örnekleri olduğunu kanıtlıyor. Ancak iç soruşturma sürerken Ledger, boşaltılan her adresi doğrulanmış bir implantla ilişkilendirmiş değil.

Uzman incelemesi ve önceki uyarılar

Donanım analistleri, modülün güvenli elementi hedef almadan şifrelenmemiş ekran trafiğini pasif şekilde izlediğini belirledi. Karpelès ve Tibane Labs’e göre sonraki sürümlerde görünür kablolama azaltıldı. Bu sayede orijinal batarya korunarak sıradan bir incelemeden geçmesi sağlandı. Uzmanlar, kullanıcıların cihazlarını doğrulayabilmesi için yeni video eğitimleri sundu.

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

SlowMist’in bilgi güvenliği direktörü, böyle bir modülün kurtarma ifadelerini kaydedebileceğini belirtti. Ancak temel nedenlerin bütünüyle anlaşılması için inceleme gerekiyor. Skandal, yeni phishing girişimlerine de yol açtı: Arama sonuçlarında sahte Ledger web siteleri ve uygulamaları göründü. Ledger temsilcileri, şirketin hiçbir zaman kullanıcılardan 24 kelimelik ifadelerini istemeyeceğini hatırlattı.

Soğuk depolama için çıkarımlar

Donanım cüzdanları, özel anahtarlar cihazdan çıkmadığı için geleneksel olarak öz saklamanın altın standardı kabul edilir. Ancak bu skandal, dağıtım katmanında ortaya çıkabilecek yeni bir risk türünü gösteriyor. Ledger, “daha gelişmiş kurcalama karşıtı çözümler üzerinde çalıştığını” belirtiyor ve kullanıcılara yalnızca resmî kanallardan satın alma ile kurulumdan önce cüzdanları görsel olarak inceleme tavsiyesinde bulunuyor. 

X'te gönderiyi görüntüle Yükleniyor...

Tweet yazar tarafından silindi.

Ama biz her şeyi kaydettik 🙂.

Adli incelemeler, birçok vakanın hâlâ belgelenmemiş olma ihtimali yüksek olduğundan kayıpların tam boyutunu ortaya koyacak. Bu nedenle etkilenen satış kanalından gelen her cihazın potansiyel olarak ele geçirilmiş olduğunu varsaymanızı öneriyoruz. Fonlar risk altında olabilir ise güvenilir (yeni) bir cüzdanda yeni bir seed phrase oluşturun.