Wprowadzenie do problemu
Atak na łańcuch dostaw należy do najgroźniejszych scenariuszy w cyberbezpieczeństwie, ponieważ kompromitacja może nastąpić jeszcze przed przekazaniem urządzenia użytkownikowi końcowemu. W opisywanym incydencie problem dotyczył portfeli sprzętowych do kryptowalut, które zostały fizycznie zmodyfikowane w taki sposób, aby przechwytywać frazę odzyskiwania i przekazywać ją osobom nieuprawnionym.
W odpowiedzi na wykryte ryzyko Ledger polecił części partnerów handlowych w Azji czasowe wstrzymanie sprzedaży wybranych urządzeń. Sprawa pokazuje, że nawet produkty uznawane za bezpieczne mogą zostać naruszone poza zakresem bezpośredniej kontroli producenta.
W skrócie
- Ledger wstrzymał sprzedaż części portfeli sprzętowych u wybranych resellerów i dystrybutorów w Azji Południowo-Wschodniej oraz Hongkongu.
- Powodem był incydent typu supply chain attack związany z fizyczną modyfikacją urządzeń.
- Złośliwy implant miał przechwytywać 24-wyrazową frazę odzyskiwania użytkownika.
- Według dostępnych informacji nie doszło do naruszenia infrastruktury producenta ani układu Secure Element.
- Zagrożenie miało wynikać z ingerencji w sprzęt na etapie dystrybucji.
Kontekst i historia incydentu
Sprawa zyskała rozgłos po zgłoszeniach użytkowników, którzy utracili środki kryptowalutowe mimo korzystania z portfeli sprzętowych postrzeganych jako rozwiązania o wysokim poziomie bezpieczeństwa. W toku analizy ustalono, że część urządzeń sprzedawanych przez jednego z resellerów w Azji mogła zostać zmanipulowana przed trafieniem do klientów.
Dochodzenie rozpoczęto 9 października 2026 roku, a 14 października 2026 roku opublikowano kolejne szczegóły dotyczące mechanizmu ataku oraz rozszerzenia działań ochronnych na szerszą sieć dystrybucyjną. Potwierdzone przypadki utraty środków wiązano z urządzeniami sprzedawanymi przez CryptoBilis, jednak pojawiły się również sygnały o możliwie naruszonych egzemplarzach kupionych u innych sprzedawców w Azji i Europie.
To ważny sygnał ostrzegawczy dla całego rynku. Incydent wskazuje, że zagrożenie mogło nie ograniczać się do jednego punktu sprzedaży, lecz obejmować szerszy fragment łańcucha logistycznego i dystrybucyjnego.
Analiza techniczna
Kluczowym elementem ataku był implant sprzętowy umieszczony wewnątrz portfela. Z dostępnych informacji wynika, że komponent zawierał mikrokontroler zdolny do wykrywania i dekodowania 24-wyrazowej frazy odzyskiwania wpisywanej podczas inicjalizacji lub przywracania portfela. Następnie dane miały być przesyłane przez łączność LTE z użyciem przygotowanej wcześniej karty eSIM.
Z perspektywy bezpieczeństwa szczególnie istotne jest to, że implant działał jako dodatkowy komponent, bez modyfikowania samego Secure Element, systemu operacyjnego urządzenia ani mechanizmu podpisywania transakcji. Oznacza to, że standardowe mechanizmy integralności mogły nie wykryć kompromitacji, ponieważ podstawowe zaufane elementy formalnie pozostawały nienaruszone.
Taki model działania jest przykładem zaawansowanej kompromitacji warstwy fizycznej. Zamiast łamać kryptografię lub infekować firmware, napastnik wykorzystuje moment pomiędzy produkcją a dostarczeniem produktu do klienta. Dla użytkownika urządzenie może wyglądać autentycznie i działać prawidłowo, a mimo to już podczas pierwszej konfiguracji dochodzi do wycieku najważniejszego sekretu.
Przechwycenie seed phrase daje atakującemu możliwość pełnego odtworzenia portfela poza wiedzą właściciela. Nie jest wtedy konieczne dalsze utrzymywanie dostępu do urządzenia ani manipulowanie podpisywanymi transakcjami. Jednorazowy wyciek frazy może wystarczyć do trwałego przejęcia kontroli nad aktywami.
Konsekwencje i ryzyko
Skutki tego typu incydentu są wyjątkowo poważne, ponieważ użytkownik może ufać urządzeniu, które pozornie zachowuje się prawidłowo. W rzeczywistości najważniejsze dane uwierzytelniające mogły już zostać skopiowane przez osobę trzecią. W przypadku portfeli kryptowalutowych oznacza to ryzyko nieodwracalnej utraty środków.
Z perspektywy rynku problem wykracza poza samego producenta. Odpowiedzialność operacyjna dotyczy również resellerów, dystrybutorów, operatorów logistycznych oraz punktów detalicznych. Nawet bezpieczny proces produkcyjny nie wystarczy, jeśli słabości pojawiają się na późniejszych etapach obrotu urządzeniem.
Wyzwaniem pozostaje także ocena rzeczywistej skali incydentu. Jeżeli implanty są trudne do zauważenia, niezbędne może być prowadzenie szerokich audytów partnerów, analiz reklamacyjnych oraz badań forensycznych sprzętu. Dla użytkowników indywidualnych szczególnie problematyczny jest brak prostych metod samodzielnego potwierdzenia, czy urządzenie nie zostało naruszone fizycznie przed pierwszym użyciem.
Rekomendacje
Incydent powinien zostać potraktowany jako ostrzeżenie dla wszystkich podmiotów sprzedających i wdrażających urządzenia bezpieczeństwa, w tym portfele sprzętowe. Kluczowe znaczenie mają procedury potwierdzania pochodzenia produktu, kontrola integralności opakowań oraz nadzór nad magazynowaniem i transportem.
Dla użytkowników końcowych najważniejsze praktyki obejmują:
- kupowanie urządzeń wyłącznie z oficjalnych lub ściśle autoryzowanych kanałów sprzedaży,
- unikanie aktywacji sprzętu pochodzącego z rynku wtórnego lub z niezweryfikowanych ofert,
- dokładną inspekcję opakowania i samego urządzenia przed pierwszym użyciem,
- natychmiastowe zaprzestanie korzystania z egzemplarza budzącego podejrzenia,
- przeniesienie aktywów na nowy portfel utworzony na zaufanym urządzeniu, jeśli istnieje ryzyko ujawnienia frazy seed,
- traktowanie frazy odzyskiwania jako informacji, która nigdy nie powinna trafić do żadnego kanału elektronicznego poza kontrolowanym procesem lokalnym.
Z perspektywy producentów i partnerów handlowych zasadne są dodatkowe audyty, bardziej rygorystyczne wymagania umowne, regularne kontrole logistyczne oraz rozwój metod wykrywania fizycznych modyfikacji. W środowiskach wysokiego ryzyka warto rozważyć także losowe badania laboratoryjne urządzeń pobieranych z rynku.
Podsumowanie
Incydent z portfelami Ledger pokazuje, że bezpieczeństwo urządzeń kryptograficznych nie kończy się na silnej kryptografii i zaufanym firmware. Fizyczna kompromitacja w łańcuchu dostaw może ominąć klasyczne mechanizmy kontroli integralności i doprowadzić do przejęcia frazy odzyskiwania jeszcze przed rozpoczęciem normalnej eksploatacji.
Dla branży to wyraźny sygnał, że ochrona kanału dystrybucji, nadzór nad resellerami i forensyka sprzętowa stają się równie ważne jak bezpieczeństwo samego produktu. W praktyce zaufanie do urządzenia powinno obejmować nie tylko jego projekt i oprogramowanie, ale cały proces dostarczenia go do użytkownika końcowego.
Źródła
- https://www.bleepingcomputer.com/news/security/ledger-asks-sellers-across-asia-to-halt-sales-after-supply-chain-attack/
- https://www.bleepingcomputer.com/news/security/ledger-confirms-spy-chip-implant-behind-wallet-crypto-thefts/
- https://x.com/Ledger_Donjon
- https://x.com/Trezor