Ledger i XRP: luka, implant i wielomilionowe straty

Ledger pod presją po serii alarmujących doniesień

Rynek kryptowalut w ostatnich dniach skupił się na dwóch powiązanych wątkach bezpieczeństwa. Z jednej strony producent portfeli sprzętowych Ledger potwierdził, że w jednym z objętych sprawą urządzeń wykryto nieautoryzowany implant sprzętowy. Z drugiej – ujawniono poważną lukę w kodzie XRP, która przez lata mogła teoretycznie pozwalać na wygenerowanie ogromnej liczby tokenów z niczego.

Obie sprawy wywołały duże poruszenie, bo dotyczą fundamentów bezpieczeństwa w krypto: sprzętowej ochrony kluczy prywatnych oraz integralności kodu odpowiedzialnego za emisję aktywów.

Ledger: atak nie tylko w Azji

Według dostępnych informacji problem zaczął się od urządzeń sprzedawanych przez autoryzowanego resellera CryptoBilis w Azji Południowo-Wschodniej. Ledger poinformował, że bada zgłoszenia o utracie środków przez użytkowników, którzy nie inicjowali żadnych transakcji. Następnie firma potwierdziła, że w co najmniej jednym z takich portfeli znalazł się nieautoryzowany implant.

Wstępne szacunki wskazują, że straty mogły sięgnąć ponad 86 mln dolarów, a w innych analizach pojawia się wartość około 93,4 mln dolarów. W ataku miały ucierpieć środki w różnych aktywach, m.in. w Bitcoinie, Ethereum i Tronie.

Ledger podkreślił, że jego własna infrastruktura, systemy i usługi nie zostały naruszone. Problem ma dotyczyć łańcucha dystrybucji i zmodyfikowanych urządzeń od resellera. CryptoBilis wstrzymał sprzedaż portfeli sprzętowych do czasu zakończenia dochodzenia.

Firma zaleciła użytkownikom, którzy kupili urządzenia z tego kanału, aby:

nie uruchamiać jeszcze konfiguracji nowego urządzenia,
a jeśli portfel został już skonfigurowany, rozważyć przeniesienie aktywów na nowy signer i użycie nowego seed phrase.

Wskazano też, że osoby posiadające informacje pomocne w śledztwie mogą kontaktować się z programem bounty producenta.

Podejrzenia rozszerzają się na Europę

Sprawa nabrała jeszcze większego rozgłosu, gdy pojawiły się sygnały, że podobnie zmodyfikowane urządzenie zostało kupione w Europie, w jednym z dużych sklepów detalicznych. Użytkownik, który opublikował zdjęcia portfela, twierdził, że implant był starszą wersją układu znanego już z azjatyckiego tropu.

Co ważne, urządzenie miało przechodzić standardowe testy autentyczności oprogramowania, co mogło uśpić czujność nabywcy. To właśnie ten detal jest szczególnie niepokojący: jeśli zmodyfikowany sprzęt potrafi przejść walidację, samo sprawdzenie po stronie softu może nie wystarczyć.

Były prezes Mt. Gox, Mark Karpeles, zwrócił uwagę na oznaczenie anteny w urządzeniu, sugerujące wariant przeznaczony dla innego regionu i innych częstotliwości mobilnych. Na ten moment Ledger nie potwierdził, czy europejski przypadek jest częścią tego samego ataku, ale sprawa pokazuje, że problem może być szerszy niż początkowo sądzono.

Krytyczna luka w XRP: od 2015 roku w kodzie

Równolegle ujawniono poważny błąd w ekosystemie XRP Ledger. Z opublikowanych informacji wynika, że luka mogła istnieć już od 2015 roku i w skrajnym scenariuszu pozwalała na wygenerowanie ogromnej liczby XRP w jednej transakcji.

Według przekazanych danych problem został zgłoszony 22 września, a poprawkę wdrożono 25 września. Warto podkreślić, że nie ma obecnie dowodów na to, iż luka została faktycznie wykorzystana przez atakujących.

W jednej z analiz wskazano, że potencjalnie mogło chodzić nawet o 18 bilionów XRP utworzonych „z powietrza”, czyli wielokrotnie więcej niż całkowita podaż tego aktywa. Inne opisy mówiły o ryzyku sięgającym wartości całej kapitalizacji rynkowej XRP.

RippleX, zespół rozwijający część infrastruktury XRP, zamknął lukę aktualizacją, choć reakcja społeczności była mieszana. Część obserwatorów zwracała uwagę, że z perspektywy bezpieczeństwa tak poważny błąd powinien zostać zakomunikowany bardziej otwarcie.

Dlaczego ta historia jest ważna dla rynku

Oba przypadki pokazują, że w krypto zagrożenie nie zawsze pochodzi z ataku na giełdę czy smart contract. Czasem problem zaczyna się znacznie niżej:

w łańcuchu dostaw sprzętu,
w warstwie firmware lub hardware,
albo w kodzie protokołu, który latami działał bez wykrycia błędu.

Dla użytkowników najważniejszy wniosek jest prosty: nawet portfel sprzętowy nie daje pełnego spokoju, jeśli urządzenie zostało zmodyfikowane przed trafieniem do rąk klienta. Z kolei w przypadku XRP sprawa przypomina, że nawet duże i dojrzałe sieci blockchain mogą mieć ukryte błędy, które przez lata pozostają niezauważone.

Na co zwracać uwagę

W obliczu takich wydarzeń szczególnie istotne stają się podstawowe zasady bezpieczeństwa:

kupowanie portfeli sprzętowych wyłącznie z pewnych kanałów,
sprawdzanie, czy urządzenie nie nosi śladów ingerencji,
unikanie używanego lub niepewnego sprzętu,
szybka reakcja, jeśli pojawi się podejrzenie naruszenia bezpieczeństwa,
regularne śledzenie komunikatów producenta i zespołów rozwijających dany projekt.

Choć na rynku nie widać jeszcze paniki, skala obu spraw sprawia, że temat bezpieczeństwa znów trafia do centrum uwagi. W praktyce to właśnie on, a nie same wahania cen, często decyduje o realnym ryzyku po stronie użytkownika.