Security Week 2642: атака supply chain на криптокошельки Ledger

Важной новостью прошлой недели стала атака класса supply chain на владельцев аппаратных криптокошельков Ledger. 10 октября производитель криптокошельков официально признал наличие «неавторизованного аппаратного импланта» у одного из своих пользователей, средства которого были украдены. Модифицированное устройство было приобретено у официального дистрибьютора Ledger в Малайзии, компании CryptoBilis. По просьбе Ledger эта компания приостановила продажи криптокошельков на время расследования.

Это все, что известно из официального заявления производителя. Подробности инцидента пока что доступны в виде неофициальных сообщений в соцсетях, например здесь и здесь. Фото импланта доступно здесь. Согласно этим сообщениям, устройства, реализуемые CryptoBilis, подвергались модификации до продажи. В устройство добавлялась дополнительная плата с сотовым модемом и eSIM. Плата перехватывала данные с дисплея устройства и не вмешивалась в основную криптографическую функциональность — последнее, в теории, было бы проще выявить.

В результате организаторы атаки получали возможность перехвата так называемой seed-фразы: последовательности из 24 слов по стандарту BIP-39, которая генерируется при первоначальной настройке криптокошелька и выводится на экран. Эта информация впоследствии позволила злоумышленникам похитить средства из кошельков с имплантом. Собственно похищение произошло 9 октября, через день после появления первых сообщений об обнаружении аппаратного импланта. По сторонним оценкам, с нескольких кошельков были выведены средства, эквивалентные 86 миллионам долларов.

На момент подготовки материала пока не подтверждены слухи о наличии имплантов в криптокошельках Ledger, приобретенных и в других регионах, например в Европе. Непонятно насколько давно был скомпрометирован дистрибьютор в Малайзии: по некоторым данным, эта компания тайно сменила владельцев еще весной этого года. Ledger рекомендует в случае сомнений перенести данные на новое устройство с генерацией новой seed-фразы. Данный инцидент также поднимает вопрос о разработке более эффективных механизмов контроля целостности устройства, как на программном, так и на физическом уровнях.

Что еще произошло

Критическая уязвимость обнаружена в ряде продуктов компании Atlassian, включая Confluence, Jira и Bitbucket. Проблема с идентификатором CVE-2026-21589 открывает доступ к произвольным файлам в корневой директории веб-приложения.

Представитель Wikimedia Foundation сообщает о попытках ИИ-агентов компании OpenAI вносить правки в статьи Википедии.

Уязвимость типа path traversal в консольной утилите для обновления прошивки устройств Dell позволяет выполнять произвольный код с привилегиями суперпользователя.

Атаки типа ClickFix, в которых пользователю предлагается самостоятельно вставить и выполнить вредоносный код в терминале, ожидаемо распространяются с помощью рекламных объявлений в результатах поиска. Отчет компании Push Security приводит примеры такой рекламы. Пользователей, в частности, направляют на поддельную веб-страницу ИИ-ассистента Claude, где для «установки агента» предлагается выполнить вредоносный скрипт.

Специалисты компании Bitdefender нашли новое семейство вредоносных программ, предустанавливаемых на дешевые Android-устройства, например на подделки под популярные модели известных производителей.