नकली Ledger Nano S+ 20 चेन्स पर वॉलेट्स को खाली कर देता है

ब्राज़ील स्थित एक सुरक्षा शोधकर्ता ने नकली Ledger Nano S+ ऑपरेशन का खुलासा किया है जो दुर्भावनापूर्ण फर्मवेयर और नकली ऐप्स का उपयोग करके 20 ब्लॉकचेन में वॉलेट को खाली करता है।

ब्राज़ील स्थित एक सुरक्षा शोधकर्ता ने अब तक दर्ज किए गए सबसे परिष्कृत नकली Ledger Nano S+ ऑपरेशन में से एक का खुलासा किया है। चीनी बाज़ार से प्राप्त नकली डिवाइस में कस्टम दुर्भावनापूर्ण फर्मवेयर और क्लोन किया गया ऐप था। हमलावर ने तुरंत उपयोगकर्ताओं द्वारा दर्ज किए गए हर सीड फ्रेज़ को चुरा लिया।

शोधकर्ता ने मूल्य अनियमितताओं के संदेह पर डिवाइस खरीदा। इसे खोलने पर, नकली प्रकृति स्पष्ट थी। इसे फेंकने के बजाय, पूर्ण विश्लेषण किया गया।

चिप के अंदर क्या छिपा था

वास्तविक Ledger Nano S+ एक ST33 सिक्योर एलिमेंट चिप का उपयोग करता है। इस डिवाइस में इसके बजाय ESP32-S3 था। पहचान को रोकने के लिए चिप के निशान भौतिक रूप से घिसे हुए थे। फर्मवेयर ने खुद को "Ledger Nano S+ V2.1" के रूप में पहचाना — एक संस्करण जो मौजूद ही नहीं है।

जांचकर्ताओं ने मेमोरी डंप करने के बाद सीड्स और PIN को सादे टेक्स्ट में संग्रहीत पाया। फर्मवेयर ने kkkhhhnnn[.]com पर एक कमांड-एंड-कंट्रोल सर्वर को सिग्नल भेजा। इस हार्डवेयर में दर्ज किया गया कोई भी सीड फ्रेज़ तुरंत निकाल लिया गया।

डिवाइस वॉलेट खाली करने के लिए लगभग 20 ब्लॉकचेन का समर्थन करता है। यह कोई छोटा ऑपरेशन नहीं है।

पांच हमले के वेक्टर, एक नहीं

विक्रेता ने डिवाइस के साथ एक संशोधित "Ledger Live" ऐप बंडल किया। डेवलपर्स ने Hermes v96 का उपयोग करके React Native के साथ ऐप बनाया और इसे Android Debug सर्टिफिकेट के साथ साइन किया। हमलावरों ने वैध हस्ताक्षर प्राप्त करने की परवाह नहीं की।

ऐप APDU कमांड को इंटरसेप्ट करने के लिए XState में हुक करता है। यह चुपचाप डेटा निकालने के लिए गुप्त XHR अनुरोधों का उपयोग करता है। जांचकर्ताओं ने दो अतिरिक्त कमांड-एंड-कंट्रोल सर्वर की पहचान की: s6s7smdxyzbsd7d7nsrx[.]icu और ysknfr[.]cn।

यह केवल Android तक सीमित नहीं है। समान ऑपरेशन Windows के लिए .EXE और macOS के लिए .DMG वितरित करता है, जो Moonlock द्वारा AMOS/JandiInstaller के तहत ट्रैक किए गए अभियानों से मिलता-जुलता है। एक iOS TestFlight संस्करण भी प्रसारित होता है, जो पूरी तरह से App Store समीक्षा को बायपास करता है — एक रणनीति जो पहले CryptoRom घोटालों से जुड़ी थी। कुल पांच वेक्टर: हार्डवेयर, Android, Windows, macOS, iOS।

वास्तविक जांच यहां आपको नहीं बचा सकती

Ledger का आधिकारिक मार्गदर्शन पुष्टि करता है कि वास्तविक डिवाइस निर्माण के दौरान सेट की गई एक गुप्त क्रिप्टोग्राफ़िक कुंजी रखते हैं। Ledger Wallet में Ledger Genuine Check हर बार डिवाइस कनेक्ट होने पर इस कुंजी को सत्यापित करता है। Ledger के समर्थन दस्तावेज़ीकरण के अनुसार, केवल एक वास्तविक डिवाइस ही उस जांच को पास कर सकता है।

समस्या सीधी है। निर्माण के दौरान एक समझौता किसी भी सॉफ्टवेयर जांच को बेकार बना देता है। दुर्भावनापूर्ण फर्मवेयर बुनियादी जांचों को पार करने के लिए पर्याप्त अपेक्षित व्यवहार की नकल करता है। शोधकर्ता ने विश्लेषण में इसकी सीधे पुष्टि की।

पिछले Ledger उपयोगकर्ताओं को लक्षित करने वाले सप्लाई चेन हमलों ने बार-बार दिखाया है कि केवल पैकेजिंग-स्तरीय सत्यापन अपर्याप्त है। BitcoinTalk पर दर्ज मामले तीसरे पक्ष के बाज़ारों से नकली हार्डवेयर वॉलेट से $200,000 से अधिक खोने वाले व्यक्तिगत उपयोगकर्ताओं को रिकॉर्ड करते हैं।

ये डिवाइस कहां बेचे जा रहे हैं

तीसरे पक्ष के बाज़ार प्राथमिक वितरण चैनल हैं। Amazon तृतीय-पक्ष विक्रेता, eBay, Mercado Livre, JD, और AliExpress सभी के पास समझौता किए गए हार्डवेयर वॉलेट की सूची का दस्तावेज़ीकृत इतिहास है, शोधकर्ता ने r/ledgerwallet पर Reddit पोस्ट में नोट किया।

मूल्य बिंदु जानबूझकर संदिग्ध है। यही चारा है। एक गैर-आधिकारिक स्रोत सौदे के रूप में रियायती Ledger की पेशकश नहीं करता है—यह हमलावर को लाभ पहुंचाने के लिए एक समझौता किया गया उत्पाद बेचता है।

Ledger के आधिकारिक चैनल Ledger.com पर इसकी अपनी ई-कॉमर्स साइट और 18 देशों में सत्यापित Amazon स्टोर हैं। कहीं और प्रामाणिकता की कोई गारंटी नहीं है।

शोधकर्ता आगे क्या कर रहा है

टीम ने Ledger की Donjon टीम और इसके फ़िशिंग बाउंटी प्रोग्राम के लिए एक व्यापक तकनीकी रिपोर्ट तैयार की है, और Ledger द्वारा अपना आंतरिक विश्लेषण पूरा करने के बाद यह पूर्ण रिपोर्ट जारी करेगी।

शोधकर्ता ने सीधे संदेशों के माध्यम से अन्य सुरक्षा पेशेवरों के लिए IOCs उपलब्ध कराए हैं। जिसने भी संदिग्ध स्रोत से डिवाइस खरीदा है, वह पहचान सहायता के लिए संपर्क कर सकता है।

मुख्य लाल झंडे सरल रहते हैं। डिवाइस के साथ शामिल एक पूर्व-जनरेट किया गया सीड फ्रेज़ एक घोटाला है। उपयोगकर्ताओं को ऐप में सीड फ्रेज़ टाइप करने के लिए कहने वाला दस्तावेज़ीकरण एक घोटाला है। किसी भी मामले में तुरंत डिवाइस को नष्ट करें।

पोस्ट Counterfeit Ledger Nano S+ Drains Wallets Across 20 Chains पहली बार Live Bitcoin News पर प्रकाशित हुई।