Злоумышленники сумели подделать аппаратный криптовалютный кошелёк и вывести с него по меньшей мере 1,33 BTC в то время, как оригинал устройства был отключён от Интернета и лежал в сейфе владельца.
В день хищения денег их настоящий хозяин каких-либо операций не совершал, так что пропажу заметил не сразу, и расследование велось не по самым свежим следам.
Эксперты «Лаборатории Касперского» установили, что владелец купил этот аппаратный кошелёк уже заряженным. При покупке он проверил заводскую упаковку и голографические наклейки и убедился, что всё выглядит нетронутым и не вызывающим сомнений. И только при вскрытии аппарата эксперты заметили следы вмешательства.
Оказалось, что полагающаяся устройству ультразвуковая сварка была сломана, вместо неё половинки устройств удерживали вместе клей и двусторонний скотч. Вскрытие устройства также показало, что штатный микроконтроллер был заменён другим, с изменёнными загрузчиком и прошивкой. А управление защитными механизмами злоумышленники, поработавшие над устройством, и вовсе убрали.
При сбросе или инициализации после покупки кошелёк, как полагается, генерировал сид-фразу, однако устройство подменяло её на одну из 20 заготовок, заложенных в подменной прошивке. В результате преступникам оставалось подобрать ключ, перебрав ограниченный набор известных им 1280 вариантов.
Таким образом, мошенники изначально держали устройство под контролем, выдавая его при продаже за новое. Аппаратные кошельки пользуются репутацией одного из самых надёжных вариантов хранения криптовалют, однако преступники нашли способ взлома: они могут продавать заряженные под себя или и вовсе поддельные устройства.
