Trezor, CryptoBilis’ten Satılan Cüzdanlarda Gizli Donanım İmplantlarını Doğruladı

Trezor, CryptoBilis’ten Satılan Cüzdanlarda Gizli Donanım İmplantlarını Doğruladı

Donanım cüzdanı üreticisi Trezor, dün yaptığı açıklamada, satıcı CryptoBilis’ten satın alınan üç adet Trezor Safe 5 cüzdanının, kurtarma ifadelerini kopyalayabilen ekstra bir devre kartı olan bir implant içerdiğini doğruladı.

Bu implant, cüzdanın ekranından kurtarma ifadesini okuyarak mobil ağ üzerinden saldırganlar tarafından kontrol edilen bir sunucuya gönderiyor. Şirket, cüzdanlardan birini laboratuvarında inceledi, diğer ikisini sahiplerinin gönderdiği fotoğraflardan tespit etti ve şu ana kadar herhangi bir fon kaybı raporu almadı.

Şirket, bu hafta başında yayınlanan 2.13.1 sürüm numaralı firmware güncellemesinin, şimdiye kadar tespit edilen implantların, bu güncellemeyi çalıştıran cüzdanlarda herhangi bir şeyi ele geçirmesini engellediğini belirtti. Ancak, “güncelleme, daha önce ele geçirilmiş bir cüzdan yedeklemesini koruyamaz” uyarısında bulundu.

Trezor, Mart ayından bu yana CryptoBilis’ten (Tokopedia ve Shopee’deki mağazaları dahil) Trezor satın alan herkese yönelik tavsiyelerini değiştirmedi:

• Fonlarınızı yeni bir kurtarma ifadesiyle yeni bir cüzdana taşıyın. Eski ifadeyi başka bir cüzdanda geri yüklemek sorunu çözmez.
• Satıcıdan alınan kullanılmamış bir cüzdanı kurmayın ve asla mevcut bir kurtarma ifadesini böyle bir cüzdana girmeyin.
• Cüzdanı saklayın ve Trezor Destek ile iletişime geçin. Şirket, Mart ayından bu yana satıcıdan satın alan herkese yeni bir Trezor cüzdanı teklif ediyor. Cüzdanınızın nereden geldiğinden emin değilseniz de Destek ile iletişime geçin.
• Cüzdanı kontrol etmek için tartmayın veya açmayın. Bunların hiçbiri güvenilir bir test değildir.
• Kurtarma ifadenizi asla paylaşmayın, çünkü şirket bunu asla istemeyecektir. Dolandırıcılar, şirket gibi davranarak değişim veya iade teklif edebilirler.

Şirketin firmware değişiklik günlüğüne göre, 2.13.1 sürümü Safe 7, Safe 5, Safe 3 ve Model T için yayınlandı. Şirket, soruşturma güncellemesinde, saldırganlara yardımcı olabilecek veya müşterileri riske atabilecek teknik detayları yayınlamayacağını belirtti.

Mühendisleri, ilk rapor edilen cüzdandan implantın firmware’ini çıkarıp analiz etti. Şirket, implantın Safe 5’in ana kartı ile ekranı arasına yerleştiğini ve cüzdanın kendisinde, firmware’i ve Güvenli Elemanı dahil olmak üzere hiçbir şeyi değiştirmediğini tespit etti.

İmplant, cüzdan yedekleme oluşturma sırasında kurtarma ifadesini gösterdiğinde ve birisi mevcut bir cüzdanı cihaza geri yüklemek için girdiğinde kopyalar. Ayrıca, ekranda bir parola görünürse onu da kopyalar. Verileri göndermeden önce şifreler ve bağlantı kuramazsa verileri saklar ve başarılı olana kadar tekrar dener.

Şirket, şüpheli bir implant hakkında ilk uyarısını 30 Ekim’de, bir alıcının rapor etmesinden iki gün sonra ve laboratuvarı cüzdanı görmeden önce yapmıştı.

CryptoBilis, 9 Ekim’e kadar şirketin Güneydoğu Asya’daki resmi satıcısı olarak hizmet verdi. Bu tarihte şirket, CryptoBilis’i satıcı listesinden çıkardı. Aynı gün, başka bir donanım cüzdanı üreticisi olan Ledger, satıcının müşterileri arasındaki fon kayıplarını araştırmaya başladı.

Ledger daha sonra, satıcının sattığı bir cüzdanda yetkisiz bir implant olduğunu doğruladı. Ledger, olay açıklamasında, saldırganların orijinal Ledger cihazlarına, kurulum sırasında kurtarma ifadesini ele geçirmek için tasarlanmış gizli bileşenler yerleştirdiğini ve ardından tek bir koordineli operasyonla cüzdanları boşalttığını belirtti.

Trezor, kendi cüzdanlarındaki implantların, Ledger cihazlarında bulunanlarla aynı şekilde çalıştığını, Safe 5’in ekranına uyarlanmış olduğunu söylüyor. İmplantları kimin yerleştirdiğini veya tedarik zincirinin neresinde gerçekleştiğini henüz açıklamadı.

Üç cüzdan, 20 Ağustos ile 23 Eylül tarihleri arasında satın alındı. Şimdiye kadar şirket, implantları yalnızca satıcı tarafından satılan Safe 5 cüzdanlarında buldu ve diğer satıcılarından veya diğer modellerinden alınan cüzdanlarda herhangi bir implant tespit etmedi.

Ekim ayındaki raporlardan sonra, satıcıdan Trezor satın alan kişilerden iletişime geçmelerini istedi ve 48 kişi bunu yaptı. Şirket, cüzdanlarını laboratuvarında veya iç kısımlarının fotoğraflarından kontrol ediyor ve şu ana kadar kaç tanesini kontrol ettiğini açıklamadı.

Şirket, üç sahibinden hiçbirinin fon kaybetmediğini belirtiyor. Trezor cüzdanları kendi kendine saklamalıdır, bu nedenle kimsenin bakiyesini göremez.

Şirket, satıcı ağını yaklaşık %80 oranında azalttığını, acil bir tehdit oluşturmayan ancak daha katı yeni kurallarına uymayan güvenilir ortakları bile listeden çıkardığını belirtiyor. Bu azaltmayı ilk olarak 13 Ekim’de X’teki bir gönderide duyurdu, bu, kendi cüzdanlarından birinde bir implant raporunun ilk kez gelmesinden iki haftadan fazla bir süre önceydi.

Aynı gün gönderdiği iş ortağı mektubunda, listeden çıkarılan satıcılara yeni stok alamayacaklarını, ellerindeki ürünleri 1 Ocak 2027’ye kadar satabileceklerini ve ardından yetkili satıcı listesinden çıkarılacaklarını bildirdi.

Soruşturma hala devam ediyor. Şirket, satıcının cüzdanları veya Safe 5 dışındaki bir cüzdanda bir implant doğrularsa, implantlarla bağlantılı fon kaybı raporu alırsa veya yeni korumalar yayınlarsa bir güncelleme yayınlayacaktır.