U senci istorijske pljačke: Pre napada na menjačnice, hakeri ispraznili novčanike direktno iz džepa korisnika

Kripto zajednicu je pogodio jedan od tehnički najsofisticiranijih i najopasnijih napada u istoriji. Nepoznati počinioci izveli su sofisticirani napad na lanac snabdevanja kompanije Ledger CryptoBilis, u kojem je iz 324 novčanika preko noći ispražnjeno čak 102 miliona dolara u različitim kriptovalutama.

Preporučujemo

Sačekali dve nedelje

Za razliku od uobičajenih hakerskih napada koji se odvijaju putem interneta, ovaj napad se oslanjao na fizičku sabotažu samog hardvera pre nego što je uopšte stigao do krajnjih kupaca.

Meta napada bio je Ledger, renomirani francuski brend koji proizvodi hardverske novčanike (takozvane cold wallets). Ovi uređaji su dizajnirani sa jednim glavnim ciljem: da drže privatne ključeve i recovery phrase (24 reči za oporavak) potpuno izolovane od interneta kako bi se sprečili sajber napadi.

Sve pogođene žrtve kupile su svoje Ledger uređaje preko kompanije CryptoBilis, koja je bila zvanični i ovlašćeni regionalni distributer za područje Jugoistočne Azije (Indonezija, Malezija i Filipini). S obzirom na to da je distributer bio legitiman, kupci nisu imali razloga da sumnjaju u bezbednost proizvoda.

Napad je bio izuzetno sofisticiran. Negde na putu od fabrike do skladišta distributera, napadači su fizički presreli pakete, otvorili uređaje i u kućište Ledgera ugradili neautorizovani hardverski čip (implantat). Ovaj minijaturni čip bio je programiran da bukvalno "čita" i snima ono što se prikazuje na malom ekranu uređaja.

Kada bi korisnik prvi put pokrenuo Ledger i generisao svojih jedinstvenih 24 reči (master ključ), čip bi ih presreo. Unutar čipa nalazila se mikro SIM kartica koja je te reči tajno, putem mobilne mreže, slala napadaču. Fascinantno je da implantat uopšte nije dirao Ledgerov bezbednosni čip niti je menjao njegov zvanični softver. Zbog toga je uređaj prošao sve softverske provere autentičnosti koje Ledger aplikacija sprovodi pri spajanju na računar.

Zanimljivo je da su počinioci bili strpljivi i nisu odmah prebacili kriptovalute, znajući da bi se to brzo otkrilo. Pune dve nedelje su čekali i onda, u petak, 9. oktobra 2026. godine, aktivirali skriptu. Unutar samo nekoliko minuta, automatizovani sistem je uz pomoć ukradenih ključeva istovremeno ispraznio 324 novčanika na čak šest različitih blokčejn mreža (TRON, Bitcoin, Ethereum, Solana, BNB Chain i Polygon).

Ova akcija izuzetno podseća na izraelsku operaciju "Pejdžer" iz 2024. godine protiv Hezbolaha. Tada su izraelski agenti u pejdžere namenjene Hezbolahu stavili eksploziv. Prvo su fizički presreli pošiljku pejdžera namenjenih članovima Hezbolaha. U njih su sakrili eksploziv i detonator, pretvorivši ih u bombu. Pejdžeri su pri tome normalno radili neko vreme, a onda su slanjem radio-signala aktivirali eksploziv u svim pejdžerima i ubili i ranili na stotine operativaca Hezbolaha.

Oba napada dokazuju da fizički posed uređaja u nekom trenutku lanca distribucije eliminiše bilo kakvu softversku ili kriptografsku zaštitu. Ako napadač ima pristup kutiji i uređaju pre vas, on može da zaobiđe najnaprednije bezbednosne protokole na svetu – bilo da se radi o vojnom šifrovanom pejdžeru ili najbezbednijem hardverskom novčaniku za kriptovalute.

Prema najnovijim forenzičkim podacima obaveštajnih i analitičkih kompanija, u ovom napadu pogođeno je ukupno 324 novčanika (kripto-adresa), sa kojih je u samo jednom danu ispražnjeno 102 miliona dolara. Iako je Ledger u svojim zvaničnim saopštenjima naglasio da su svi potvrđeni slučajevi gubitka novca i krađe ključeva izolovani na uređaje kupljene preko distributera CryptoBilis u Jugoistočnoj Aziji, situacija se u proteklih 48 sati zakomplikovala i postoje ozbiljne indicije da je napad počeo da se širi i izvan tog regiona.

Izvan Azije pojavili su se prvi vrlo zabrinjavajući izveštaji. Jedan korisnik u Evropi javno je priložio dokaze i fotografije dva Ledger uređaja kupljena u maloprodajnim prodavnicama, koji su imali identične fizičke modifikacije – dodatne žice i ugrađen LTE modul za mobilnu mrežu.

Reagujući na ove događaje, veliki nemački trgovački lanac elektronike MediaMarkt Saturn hitno je zaustavio prodaju svih Ledger uređaja nakon što je i kod njih uočen barem jedan novčanik sa ugrađenim "špijunskim" implantatom. Prijavljen je i sumnjiv, potencijalno modifikovan uređaj (model Ledger Flex) kupljen direktno na aerodromu u Singapuru.

Izvršni direktor Pascal Gauthier izjavio je u objavi na društvenim mrežama da Ledger proverava svoje kontrole zaštite koje se primenjuju kako na direktnu prodaju, tako i na mrežu preprodavaca.

U svojoj objavi na društvenim mrežama, tehnički direktor Charles Guillemet izjavio je da Ledger preispituje svoje mere zaštite od neovlašćenih prepravki i pozvao sve koji smatraju da je njihov uređaj možda izmenjen da prouče smernice kompanije za proveru i pošalju sve sumnjive uređaje nazad u Ledger.

Nisu dirali softver

Mnogi korisnici se opravdano pitaju kako je moguće da je uređaj prošao zvaničnu Ledgerovu softversku proveru autentičnosti (Genuine Check) prilikom prvog spajanja na aplikaciju. Međutim, mehanizam napada izveden je tako da hakeri nisu menjali fabrički softver niti su dirali glavni bezbednosni čip koji generiše i štiti kriptografiju.

S obzirom na to da je bezbednosni čip ostao netaknut i originalan, sistem je uređaj prepoznao kao "siguran i originalan". Mikročip-implantat je bio postavljen isključivo kao hardverski parazit koji će skinuti lozinku od 24 reči sa ekrana, dok ih ugrađena eSIM kartica neprimetno šalje napadačima preko lokalne mobilne (LTE) mreže.

Istorijska pljačka

Podsetimo, najveća svetska menjačnica kriptovaluta na svetu Binance potvrdila je da je u hakerskom napadu ukradena digitalna imovina vredna 6,3 milijarde dolara.

Kako je saopšteno 30. oktobra, iz kompanije su saopštili da su uz pomoć partnerskih platformi uspeli da zamrznu otprilike polovinu tog iznosa i poručili su da će "pokriti sve nastale gubitke".

Tada je rečeno da napadač u rukama još uvek drži ogroman iznos ukradenog novca, što znači da je potraga za sredstvima tek na početku.

(Ubrzanje.rs/Poslovni.hr)