জাল Ledger Nano S+ ২০টি চেইন জুড়ে ওয়ালেট নিষ্কাশন করছে

ব্রাজিল-ভিত্তিক একজন নিরাপত্তা গবেষক ২০টি ব্লকচেইন জুড়ে ওয়ালেট শূন্য করার জন্য দূষিত ফার্মওয়্যার এবং জাল অ্যাপ ব্যবহার করে একটি নকল Ledger Nano S+ অপারেশন উন্মোচন করেছেন।

ব্রাজিল-ভিত্তিক একজন নিরাপত্তা গবেষক এখন পর্যন্ত নথিভুক্ত সবচেয়ে পরিশীলিত নকল Ledger Nano S+ অপারেশনগুলির মধ্যে একটি উন্মোচন করেছেন। চীনা মার্কেটপ্লেস থেকে সংগৃহীত এই জাল ডিভাইসটিতে কাস্টম দূষিত ফার্মওয়্যার এবং একটি ক্লোন করা অ্যাপ ছিল। ব্যবহারকারীরা যে সকল সিড ফ্রেজ প্রবেশ করিয়েছিলেন, আক্রমণকারী তা অবিলম্বে চুরি করে নিয়েছিল।

গবেষক মূল্যের অসংগতির সন্দেহে ডিভাইসটি কিনেছিলেন। এটি খোলার পর, নকল প্রকৃতিটি স্পষ্ট ছিল। এটি ফেলে দেওয়ার পরিবর্তে, একটি সম্পূর্ণ টিয়ারডাউন অনুসরণ করা হয়েছিল।

চিপের ভিতরে কী লুকানো ছিল

প্রকৃত Ledger Nano S+ একটি ST33 সিকিউর এলিমেন্ট চিপ ব্যবহার করে। এই ডিভাইসটিতে পরিবর্তে একটি ESP32-S3 ছিল। চিপের চিহ্নগুলি শনাক্তকরণ আটকাতে শারীরিকভাবে ঘষে ফেলা হয়েছিল। ফার্মওয়্যার নিজেকে "Ledger Nano S+ V2.1" হিসেবে চিহ্নিত করেছে — একটি সংস্করণ যা বিদ্যমান নেই।

তদন্তকারীরা একটি মেমোরি ডাম্প পরিচালনা করার পরে সরল পাঠ্যে সংরক্ষিত সিড এবং PIN পেয়েছেন। ফার্মওয়্যার kkkhhhnnn[.]com-এ একটি কমান্ড-এন্ড-কন্ট্রোল সার্ভারে বীকন করেছে। এই হার্ডওয়্যারে প্রবেশ করানো যে কোনো সিড ফ্রেজ তাৎক্ষণিকভাবে বাইরে পাঠানো হয়েছিল।

ডিভাইসটি ওয়ালেট শূন্য করার জন্য প্রায় ২০টি ব্লকচেইন সমর্থন করে। এটি কোনো ছোট অপারেশন নয়।

পাঁচটি আক্রমণ ভেক্টর, একটি নয়

বিক্রেতা ডিভাইসের সাথে একটি পরিবর্তিত "Ledger Live" অ্যাপ বান্ডল করেছে। ডেভেলপাররা Hermes v96 ব্যবহার করে React Native দিয়ে অ্যাপটি তৈরি করেছে এবং একটি Android Debug সার্টিফিকেট দিয়ে স্বাক্ষর করেছে। আক্রমণকারীরা বৈধ স্বাক্ষর পাওয়ার বিষয়ে বিরক্ত হননি।

অ্যাপটি APDU কমান্ডগুলি আটকাতে XState-এ হুক করে। এটি নীরবে ডেটা বের করতে গোপন XHR অনুরোধ ব্যবহার করে। তদন্তকারীরা দুটি অতিরিক্ত কমান্ড-এন্ড-কন্ট্রোল সার্ভার চিহ্নিত করেছেন: s6s7smdxyzbsd7d7nsrx[.]icu এবং ysknfr[.]cn।

এটি শুধুমাত্র Android-এ সীমাবদ্ধ নয়। একই অপারেশন Windows-এর জন্য একটি .EXE এবং macOS-এর জন্য একটি .DMG বিতরণ করে, যা Moonlock দ্বারা AMOS/JandiInstaller-এর অধীনে ট্র্যাক করা প্রচারাভিযানের অনুরূপ। একটি iOS TestFlight সংস্করণও প্রচলিত, যা App Store পর্যালোচনা সম্পূর্ণভাবে বাইপাস করে — একটি কৌশল যা পূর্বে CryptoRom স্ক্যামের সাথে সম্পর্কিত। মোট পাঁচটি ভেক্টর: হার্ডওয়্যার, Android, Windows, macOS, iOS।

প্রকৃত পরীক্ষা এখানে আপনাকে বাঁচাতে পারবে না

Ledger-এর অফিসিয়াল গাইডেন্স নিশ্চিত করে যে প্রকৃত ডিভাইসগুলি উৎপাদনের সময় সেট করা একটি গোপন ক্রিপ্টোগ্রাফিক কী বহন করে। Ledger Wallet-এর Ledger Genuine Check প্রতিবার একটি ডিভাইস সংযুক্ত হলে এই কী যাচাই করে। Ledger-এর সাপোর্ট ডকুমেন্টেশন অনুসারে, শুধুমাত্র একটি প্রকৃত ডিভাইস সেই পরীক্ষা পাস করতে পারে।

সমস্যাটি সরল। উৎপাদনের সময় একটি আপস যেকোনো সফটওয়্যার পরীক্ষাকে অকেজো করে দেয়। দূষিত ফার্মওয়্যার প্রত্যাশিত আচরণের যথেষ্ট অনুকরণ করে মৌলিক পরীক্ষা অতিক্রম করতে। গবেষক টিয়ারডাউনে এটি সরাসরি নিশ্চিত করেছেন।

অতীতে Ledger ব্যবহারকারীদের লক্ষ্য করে সরবরাহ শৃঙ্খল আক্রমণ বারবার দেখিয়েছে যে শুধুমাত্র প্যাকেজিং-স্তরের যাচাইকরণ অপর্যাপ্ত। BitcoinTalk-এ নথিভুক্ত কেসগুলি রেকর্ড করে যে তৃতীয় পক্ষের মার্কেটপ্লেস থেকে জাল হার্ডওয়্যার ওয়ালেটের কারণে স্বতন্ত্র ব্যবহারকারীরা $২,০০,০০০-এর বেশি হারিয়েছেন।

এই ডিভাইসগুলি কোথায় বিক্রি হচ্ছে

তৃতীয় পক্ষের মার্কেটপ্লেসগুলি প্রাথমিক বিতরণ চ্যানেল। Amazon তৃতীয় পক্ষের বিক্রেতা, eBay, Mercado Livre, JD, এবং AliExpress সবগুলির আপসকৃত হার্ডওয়্যার ওয়ালেট তালিকাভুক্ত করার নথিভুক্ত ইতিহাস রয়েছে, গবেষক r/ledgerwallet-এ Reddit পোস্টে উল্লেখ করেছেন।

মূল্য বিন্দুটি ইচ্ছাকৃতভাবে সন্দেহজনক। এটিই টোপ। একটি অ-অফিসিয়াল উৎস একটি ডিল হিসাবে ছাড়যুক্ত Ledger অফার করে না—এটি আক্রমণকারীর লাভের জন্য একটি আপসকৃত পণ্য বিক্রি করে।

Ledger-এর অফিসিয়াল চ্যানেলগুলি হল Ledger.com-এ এর নিজস্ব ই-কমার্স সাইট এবং ১৮টি দেশ জুড়ে যাচাইকৃত Amazon স্টোর। অন্য কোথাও সত্যতার কোনো গ্যারান্টি নেই।

গবেষক এরপর কী করছেন

দলটি Ledger-এর Donjon দল এবং এর ফিশিং বাউন্টি প্রোগ্রামের জন্য একটি ব্যাপক প্রযুক্তিগত রিপোর্ট প্রস্তুত করেছে, এবং Ledger তার অভ্যন্তরীণ বিশ্লেষণ সম্পূর্ণ করার পরে এটি সম্পূর্ণ লেখা প্রকাশ করবে।

গবেষক সরাসরি বার্তার মাধ্যমে অন্যান্য নিরাপত্তা পেশাদারদের কাছে IOC উপলব্ধ করেছেন। যে কেউ সন্দেহজনক উৎস থেকে একটি ডিভাইস ক্রয় করেছেন তারা শনাক্তকরণ সহায়তার জন্য যোগাযোগ করতে পারেন।

মূল লাল পতাকাগুলি সহজ থাকে। ডিভাইসের সাথে অন্তর্ভুক্ত একটি পূর্ব-উৎপন্ন সিড ফ্রেজ একটি স্ক্যাম। ব্যবহারকারীদের একটি অ্যাপে সিড ফ্রেজ টাইপ করতে বলা ডকুমেন্টেশন একটি স্ক্যাম। উভয় ক্ষেত্রে অবিলম্বে ডিভাইসটি ধ্বংস করুন।

পোস্ট Counterfeit Ledger Nano S+ Drains Wallets Across 20 Chains প্রথম Live Bitcoin News-এ প্রকাশিত হয়েছে।