Insidente sa Supply Chain ng Ledger
Ang insidente sa supply chain ng Ledger ay bahagyang humupa, ngunit ang mga scammer ay nagsimula nang kumita mula rito. Naglabas ang kumpanya ng seguridad sa blockchain na SlowMist ng isang babala tungkol sa isang pekeng “Ledger firmware update” na kampanya na umaabuso sa fallout mula sa insidente ng CryptoBilis noong Oktubre 9.
Payo mula sa SlowMist
Ang kanilang payo ay tuwid: huwag kailanman mag-click sa mga link ng website para sa pag-update, at huwag kailanman ilagay ang iyong recovery phrase kahit saan. Ang posisyon ng Ledger ay hindi nagbago: hindi ka nito tatawagan, hindi ka nito i-DM, o hihingi ng iyong 24-word recovery phrase.
Firmware Updates
Ang mga firmware update ay pinangangasiwaan sa pamamagitan ng opisyal na Ledger Live app sa iyong sariling device, hindi sa pamamagitan ng mga link sa mga email. Kung ang isang mensahe ay nag-uudyok ng kagyat na aksyon, burahin ito. Sinumang naglagay ng recovery phrase sa isang pekeng domain ay dapat ituring na compromised ang wallet at agad na ilipat ang mga pondo sa isang bagong device na may bagong seed.
Pekeng Email
Sinabi ng SlowMist na ang kampanya ay mukhang napaka-totoo. Ipinapakita ng mga screenshot ang isang maayos na email na nagpapanggap bilang “The Ledger Team,” na nagsasabing mayroong firmware update na available para sa iyong device. Ang bitag ay nakaangkop sa sandali, sinasabi nitong ang update ay mahalaga upang protektahan laban sa tumataas na banta ng spyware, na binabanggit ang mga kamakailang insidente sa Malaysia, mga hindi awtorisadong third-party na aplikasyon, at potensyal na pagnanakaw ng pondo.
Apektadong Device
Ang email ay naglilista ng mga apektadong device: Nano S Plus, Nano X, Flex, Stax, at Nano Gen5. Nangako ito ng pinahusay na proteksyon laban sa spyware at mga mapanlinlang na app, pinahusay na mga proteksyon laban sa hindi awtorisadong pag-access, at mahahalagang security patches. Sa ibaba ay may itim na “Update Now” na button.
Pekeng Verification Flow
Ang pag-click dito ay nagdadala sa susunod na yugto: isang pekeng “Genuine check” na pahina na ginagaya ang tunay na verification flow ng Ledger. Dinadala nito ang mga biktima sa pagpili ng device at kahit na may kasamang mensahe na nagrerekomenda ng mga pagbili sa pamamagitan ng reseller network ng Ledger. Ito ay isang mapanlinlang na panghihiram ng eksaktong payo na narinig ng mga gumagamit mula nang mangyari ang insidente.
Huling Hakbang
Ang huling hakbang ay ang mahalaga: isang prompt para sa iyong recovery phrase. Ang mga phisher ay hindi kailangang mag-imbento ng kwento. Ibinigay na ito ng Ledger sa kanila. Sinabihan ang mga gumagamit na suriin ang kanilang mga device, i-update ang mga compromised signers, at sundin ang opisyal na gabay.
Pagbabala ng Ledger
Ang isang “security update” na email na dumating sa gitna ng panic na iyon ay hindi mukhang kahina-hinala sa maraming tao. Mukha itong susunod na hakbang. Nagbabala ang Ledger na maaaring samantalahin ng mga scammer ang kalituhan sa paligid ng insidente. Ang prediksyon na iyon ay naging totoo sa loob ng halos isang linggo.
