Бывший глава Mt. Gox Марк Карпелес обнаружил шпионский имплант в аппаратном кошельке Ledger Nano X, купленном в немецком магазине MediaMarkt.
Кошелек исследователю передал пользователь X под ником Johannes. 12 октября тот сообщил о посторонних кабелях и LTE-модуле в двух Nano X, купленных в разных магазинах сети. Один экземпляр он отправил Карпелесу, второй — в Ledger.
Посылка дошла до исследователя 15 октября. В тот же день в эфире Unchained Карпелес рассказал, что плату установили немного иначе, чем в образцах из Юго-Восточной Азии. Однако, по его словам, «это наверняка тот же имплант».
Там же эксперт рассказал о Ledger Flex, о котором писал 13 октября. Кошелек купили у авторизованного реселлера Metapod в сингапурском аэропорту Чанги. Владелец заметил на корпусе подозрительные следы и отправил устройство на проверку, не начав им пользоваться.
Имплант во Flex адаптировали под эту модель, но он состоял из тех же трех чипов: микроконтроллера для считывания данных с экрана, сотового модема и eSIM для передачи информации.
По словам исследователя, конструкция вредоносных модулей стала совершеннее. В ранних образцах компоненты подключали к устройству проводами. В новых версиях используется готовая печатная плата, которая встает в корпус практически без подгонки.
Карпелес считает, что разработчики импланта потратили на исследования несколько месяцев и располагали существенным финансированием. Раньше подобные импланты стоили дорого и применялись точечно, но новую версию создали для массового производства. Поэтому эксперт ожидает новых случаев.
13 октября MediaMarktSaturn приостановила продажу продукции Ledger в магазинах и онлайн. По данным производителя, решение приняли по согласованию с ним.
На следующий день Ledger сообщила, что проверила устройства из магазинов и со складов дистрибьюторов в Германии, включая точки, названные в сети. Следов вмешательства в них не нашли. При этом компания уточнила, что пока не изучила кошельки, фотографии которых появились в интернете.
В заявлении от 15 октября Ledger повторила, что все проверенные образцы оказались чистыми. Ранее производитель аппаратных кошельков заявлял, что все подтвержденные случаи хищения связаны с устройствами реселлера CryptoBilis из Юго-Восточной Азии.
