Ledger холодное кошелек взорвался! Партнеры утекли пользовательские данные, повторяя историю 2020 года

Аппаратный кошелек Ledger третьей стороны платежный провайдер Global-e был взломан, пользовательские данные утекли. ZachXBT раскрыл, что Ledger подтвердил, но подчеркнул безопасность средств и приватных ключей. В 2020 году произошла утечка персональных данных 270 000 пользователей, что привело к фишинг-атакам и судебным разбирательствам. Специалисты по безопасности предупреждают, что в ближайшее время следует с осторожностью относиться к любым подозрительным сообщениям, требующим семенной фразы или авторизации.

Кто такой Global-e и почему это стал бреншем безопасности

(Источник: Global-e)

Блокчейн-детектив ZachXBT раскрыл 5 января, что Global-e, партнер третьей стороны по обработке платежей Ledger, переживает критическую утечку данных, в результате которой персональные данные некоторых пользователей были несанкционированно доступны неизвестным лицам. Ledger всегда был лидером в области аппаратных кошельков, позволяя пользователям хранить приватные ключи криптовалют в офлайне через Ledger, и позиционируется как более безопасное решение для хранения активов по сравнению с горячими кошельками или централизованными биржами, поэтому имеет широкую базу розничных и институциональных пользователей по всему миру. Любые проблемы с безопасностью привлекают большое внимание крипто-сообщества.

В ответ на озабоченность общественности официальный представитель Ledger подтвердил средствам массовой информации, что они получили уведомление от партнера Global-e о несанкционированном доступе к данным заказов в его системе. Global-e является уполномоченным продавцом (Merchant of Record), ответственным за обработку трансграничных транзакций на официальном веб-сайте Ledger, и гарантирует, что облачная база данных содержит информацию о клиентах, которые приобретали продукты на официальном веб-сайте Ledger.

Представитель Ledger подчеркнул, что это инцидент безопасности касался только информационной системы внешнего партнера электронной торговли, и платформа, аппаратное или программное обеспечение самого Ledger не был скомпрометирован и остается в безопасности. Поскольку продукты Ledger разработаны с использованием самоуправления (Self-custodial), Global-e абсолютно не имеет доступа к наиболее важным 24 семенным фразам пользователя, остаткам блокчейна или любой конфиденциальной информации, связанной с цифровыми активами, и в этом инциденте также не было утечек информации кредитных карт.

Хотя это технически верно, это игнорирует более серьезный риск. Утечка имен, электронной почты и номеров телефонов может не привести к прямой краже монет, но предоставляет идеальный список целей для целевого мошенничества. Мошенники знают, что эти люди владеют аппаратным кошельком Ledger, что означает, что они обладают криптоактивами значительного размера, делая их целями для высокоценных атак.

Три критических уязвимости цепочки поставок безопасности

Платежные провайдеры третьей стороны: Global-e и другие партнеры, обрабатывающие трансграничные транзакции, владеют данными заказов и становятся мишенями хакеров

Логистические провайдеры: утечка адресов доставки может привести к физическому ограблению, в 2020 году некоторые пользователи были к тому же угрожающе преследуемы

Системы обслуживания клиентов: неправильно управляемые аутсорсированные службы поддержки могут быть скомпрометированы социальной инженерией для получения пользовательских данных

Болезненные уроки утечки 270 000 пользователей в 2020 году

Инцидент утечки информации пользователей Ledger через партнера еще раз привлекает внимание к спорной истории Ledger. Возвращаясь к 2020 году, Ledger пережил серьезный инцидент утечки данных, когда хакерам удалось проникнуть в базы данных маркетинга и электронной коммерции, связанные с компанией, в результате чего персональная информация более 270 000 пользователей была опубликована на хакерском форуме RaidForums.

Утекшие материалы были весьма подробными, включая имена пользователей, адреса электронной почты, номера телефонов и даже адреса проживания некоторых пользователей, вызвав массовое беспокойство и недовольство среди пользователей. Многие жертвы впоследствии подвергались атакам массового фишинга и преследованиям. Хотя Ledger в то время попытался завести уголовное дело с вознаграждением в биткойнах для поиска информации об участниках атаки, впоследствии компания столкнулась с коллективным судебным иском, где истцы утверждали, что Ledger и его партнер электронной торговли Shopify в то время не обеспечили адекватные меры защиты персональных данных, оставив пользователей в опасности.

После инцидента с утечкой в 2020 году большое количество пользователей получило фишинг-письма, выдающие себя за официальный Ledger, утверждая, что требуется «обновить прошивку» или «проверить учетную запись», чтобы обманом заставить пользователей ввести 24-словную семенную фразу. Некоторые пользователи потеряли десятки тысяч или даже миллионы долларов в криптовалютных активах. В более экстремальных случаях пользователи подвергались физическому преследованию из-за раскрытия адреса и были вынуждены сдать аппаратный кошелек.

Хотя в настоящее время неясно, достигнет ли масштаб этого инцидента Global-e компании Ledger уровня 2020 года, он, несомненно, вновь привлечет внимание рынка к тому, как компании криптовалют и их поставщики услуг третьей стороны обрабатывают персональные данные пользователей. Для компаний, производящих аппаратные кошельки, которые рассматривают безопасность как основную конкурентную преимущество, любая утечка данных может подорвать доверие пользователей.

Практическая защита от целевого фишинг-мошенничества

Эксперты по безопасности предупреждают, что хотя сами средства в кошельке Ledger пользователя остаются в безопасности, утекшие имена и контактная информация, вероятно, будут использованы для целевого социального инженерного мошенничества. Пользователи должны быть особенно бдительны в отношении любых подозрительных сообщений, требующих предоставления семенной фразы или авторизации в ближайшее время. Безопасность цепочки поставок становится скрытой угрозой, пользователи Ledger должны остерегаться фишинга.

Целевой фишинг характеризуется высокой степенью персонализации. Мошенники будут использовать ваше настоящее имя, историю покупок и контактную информацию, выдавая себя за официального представителя службы поддержки Ledger и утверждая, что в вашем кошельке есть проблемы с безопасностью, требующие «срочной обработки». Такие высоко персонализированные мошеннические сообщения намного более убедительны, чем рассылаемая спам-почта.

Ledger официально никогда не будет активно просить пользователя предоставить семенную фразу или приватный ключ. Любое письмо, СМС или телефонный звонок, якобы поступивший от Ledger и требующий предоставления конфиденциальной информации, на 100% является мошенничеством. Правильный способ действия - просто закрыть подозрительное сообщение, посетить официальный веб-сайт Ledger, чтобы проверить информацию, или активно связаться с официальным каналом обслуживания клиентов.

Для пользователей, у которых подтверждена утечка персональных данных, рекомендуется немедленно изменить пароль электронной почты, связанный с Ledger, включить двухфакторную аутентификацию и оставаться скептичным ко всем контактам, якобы поступившим от Ledger, в течение следующих нескольких месяцев. Если вы получите подозрительное сообщение, вы можете сделать снимок экрана и сообщить об этом официальному Ledger или блокчейн-детективу ZachXBT.