Обеспечивает ли Ledger Nano S надежную защиту криптовалюты?

Возможности хакеров и спецслужб порой недооцениваются, что приводит к тяжелым финансовым потерям и более серьезным последствиям (подробнее в статье «Массовый подрыв пейджеров – безопасно ли использовать гаджеты?»).

Аппаратный кошелек можно взломать даже дистанционно, если он будет вставлен в компьютер/смартфон с трояном, который проведет атаку, используя скрытую уязвимость, например, активирует функцию reset и восстановит seed-фразу пользователя.

Из-за наличия множества проблем с надежностью и безопасностью кошелек Ledger Nano S был снят с производства. Его преемником стала более совершенная модель Ledger Nano S Plus.

В феврале 2018 года была обнаружена уязвимость Ledger Nano S, позволяющая хакеру, имеющему физический доступ к устройству, узнать seed-фразу кошелька с помощью Seed Phrase Recovery Attack (технология side-channel, снятие сенситивной информации во время штатной работы устройтсва при проведении транзакций):

Уязвимость была обнаружена 20 февраля 2018 года специалистом по безопасности Селимом Рашидом (Saleem Rashid).

Ошибка была исправлена производителем только 3 апреля 2018 года. Устройства с устаревшей прошивкой (а их около миллиона), использовать для хранения больших сумм криптовалюты категорически не рекомендуется.

20 марта 2018 года Селимом была обнаружена еще одна уязвимость кошельков Ledger Nano S, позволяющая изменить прошивку устройства на свою, модфиицированную для воровства криптовалюты, либо фальсифицирования транзакций. Проблема качалась около одного миллиона кошельков!

Для взлома используется уязвимость, позволяющая обойти механизм проверки подлинности подписи прошивки (signature check). Упрощенно процесс атаки происходит следующим образом:

Проблема была исправлена производителем 3 апреля 2018 года.

Мошенники также могут использовать аппаратную модификацию кошелька — установку «жучка» внутрь устройства (на плату), который перехватывает приватные ключи пользователя либо модифицирует транзакции в пользу взломщиков. Проблема впервые была обнаружена Дмитрием Недоспасовым в ноябре 2018 года. Патч, устраняющий возможность взлома был выпущен в декабре 2020 года. Учитывая возможность несанкционированной аппаратной модификации кошелька, существует большой риск попасться на подобную уловку при покупке б/у устройства.

Процесс установки аппаратной закладки для перехвата ключей/модфиикации транзакций в кошельке Ledger Nano S:

Еще одна возможность перехвата приватных ключей в Ledger Nano S — это атака с помощью специальной программы (The Connect Kit Attack), несанкционированно установленной на сервере обновлений. Возможность ее проведения была обнаружена 14 декабря 2023 года. Атаке подверглось несколько тысяч пользователей. Патч был выпущен очень быстро — уже 15 декабря 2023 года.

После успешной атаки у взломщика появляется возможность проверить баланс, принять/передать криптовалюту, хранящуюся на кошельке Ledger Nano S. Уязвимость стала возможна из-за бага в старой версии фреймворка Electron в приложении Ledger Connect Kit.

Последовательность действий злоумышленника при проведении The Connect Kit Attack:

25 июня 2020 года компьютеры компании Ledger были взломаны хакерами. Вследствие атаки была украдена персональная информация о 292 тысячах пользователей, затем эта информация была выложена в сеть. Несанкционированный доступ оказался возможен из-за неправильно сконфигурированного ключа API. Проблема была устранена только 14 июля 2020 года.

Упрощенная диаграмма, иллюстрирующая действия хакеров в процессе взлома базы данных пользователей компании Ledger:

Из-за утечки учетных данных владельцы кошельков Ledger стали подвергаться фишинговым атакам, осуществлялись многочисленные попытки взлома/мошенничества со стороны злоумышленников.

Компания Ledger не скрывала о выявленных проблемах с безопасностью и старалась вовремя выпускать исправления. Тем не менее, множество пользователей утратили свои закрытые ключи и средства.

Чтобы избежать проблем при использовании аппаратных кошельков следует покупать их только у компании-производителя, вовремя устанавливать официальные обновления безопасности, отслеживать объявления на сайте производителя о возможных проблемах и способах их решения.

В случае кражи средств вследствие взлома официально приобретенного кошелька можно получить возмещение от компании Ledger. Для этого нужно вовремя обратиться с претензией в службу поддержки.

Учитывая наличие множества проблем у Ledger Nano S, дальнейшее использование этой снятой с производства модели вряд ли является разумным.