ПРЯМОЙ ЭФИР

Мошенники рассылают владельцам Ledger взломанные аппаратные кошельки

Владелец аппаратного кошелька Ledger сообщил, что получил по почте новый кошелек Ledger Nano X. Он запакован в точно такую же коробку, в которой приходят официальные устройства компании

Фото: media.sigen

Вместе с кошельком было отправлено сопроводительное письмо якобы от имени генерального директора Ledger Паскаля Готье:

«В целях безопасности мы отправили вам новое устройство. Вам нужно начать использовать его, чтобы не потерять свои активы. Внутри почтового ящика вы также найдете руководство по настройке нового кошелька. Теперь мы гарантируем, что вы в полной безопасности».

Вместе с письмом и кошельком пользователь получил руководство по настройке нового устройства. В ходе процедуры необходимо было ввести фразу для восстановления, чтобы криптовалюты отображались на новом кошельке, пишет media.sigen. Эксперт в области безопасности Майк Гровер проанализировал устройство и пришел к выводу, что оно взломано.

«Похоже, это просто флешка, привязанная к Ledger с целью доставки вредоносного программного обеспечения», — сказал он. 

Гровер выяснил, что устройство предназначено для кражи введенной пользователем фразы, которая используется для восстановления доступа к кошельку. Получив эту информацию, злоумышленники могут украсть цифровые активы. 

Ранее компания Ledger неоднократно утверждала, что утечка затронула личные данные пользователей, включая их имена, адреса электронной почты и адреса проживания, однако приватные ключи в полной безопасности. Крайне важно не подключать кошелек к компьютеру и никому не сообщать 24 слова, которые нужны для восстановления доступа к средствам. 

Напомним, в начале января Ledger подробно рассказала об утечке данных, которая произошла в 2020 году. 

В конце декабря 2020 года база данных пользователей Ledger попала в открытый доступ. Тогда же сообщалось, что это те самые данные, которые были проданы в сети Интернет в середине 2020 года. Компания Ledger представила подробный отчет об инциденте. 

Утечка данных происходила с апреля по июнь 2020 года. Она стала возможна из-за злонамеренных действий сотрудников онлайн-магазина Shopify. Ledger пользовалась услугами этой компании для продажи своих аппаратных кошельков. Злоумышленник получил доступ к API магазина и воровал данные клиентов Shopify, включая информацию о покупателях Ledger. 

14 июля 2020 года стало известно, что в сеть попали более миллиона адресов электронной почты и 9 500 записей персональных данных — номера телефонов, имена и почтовые адреса. В течение нескольких следующих месяцев пользователи Ledger неоднократно сообщали о получении фишинговых сообщений и угроз. При этом некоторые из них отмечали, что никогда не пользовались услугами онлайн-магазина Shopify. Помимо этого злоумышленники осуществили несколько атак на владельцев аппаратных кошельков путем подмены SIM-карт. 

Однако до декабря 2020 года Ledger не знала о том, что в сеть утекли данные еще 272 000 клиентов. 21 декабря 2020 года Shopify выяснил, что кража коснулась пользователей Ledger. 23 декабря 2020 года интернет-сервис сообщил, что утечка информации связана с инцидентом, который произошел в сентябре 2020 года. Тогда это затронуло более 200 продавцов. 

После проведения тщательного расследования выяснилось, что общее количество людей, чья личная информация попала в открытый доступ, составляет 292 000. 

Представители Ledger отметили, что на данный момент работают с правоохранительными органами и аналитическими компаниями, включая Chainalysis. Они намерены найти злоумышленника, который стоит за этой атакой. Компания сформировала фонд в размере 10 биткоинов, который будет использоваться для выплаты награды тем, кто предоставит значимую информацию по этому делу. 

Ledger обращает внимание, что ни при каких обстоятельствах не попросит предоставить фразу для восстановления доступа к кошельку. Даже если данные клиента попали в сеть, но фразу из 24 слов он хранит в надежном месте, его активы никто не сможет украсть. Также компания обещает в скором времени анонсировать новый продукт, который защитит криптовалюту даже в том случае, если пользователь предоставил фразу для восстановления доступа третьим лицам. 

«Мы понимаем, что существует такая проблема, поэтому в скором времени представим решение, позволяющее уйти от использования 24 слов как от единственного способа защиты средств. Также мы намерены представить инструменты страхования активов», — говорится в анонсе. 

Помимо этого Ledger намерена изменить принцип работы с персональными данными. Когда пользователь заказывает аппаратный кошелек напрямую у компании, она собирает личную информацию для отправки заказа. Правила бухгалтерского учета и юридические обязательства требуют от Ledger, чтобы она хранила эту информацию в течение какого-то времени. Однако компания все же намерена изменить способ обработки данных. Какие меры планируются?

- Удаление личных данных клиентов, включая имя, адрес и номер телефона. Ledger призывает сторонних поставщиков услуг хранить эту информацию как можно меньше времени. Например, выполнить заказ и сразу же ее удалить.

- Снижение количества мест, где отображается личная информация. Например, сейчас эти данные находятся в электронном письме, которое отправляется после оплаты для подтверждения заказа. Это правило хотят упразднить.

- Изменение модели обмена сообщениями. Теперь информация будет передаваться исключительно через Ledger Live.

- И также Ledger намерена провести тщательный анализ всех посредников, с которыми взаимодействует пользователь, чтобы убедиться, что они соблюдают все нормы безопасности.

Поделиться публикацией :

Орфографическая ошибка в тексте:

Отмена Отправить

Новости партнёров

Загрузка...
Загрузка...