Kripto zajednicu je pogodio jedan od tehnički najsofisticiranijih i najopasnijih napada u povijesti.

Nepoznati počinitelji izveli su sofisticirani napad na lanac opskrbe tvrtke Ledger CryptoBilis, u kojem je iz 324 novčanika preko noći ispražnjeno čak 102 milijuna dolara u različitim kriptovalutama.

Pričekali dva tjedna

Za razliku od uobičajenih hakerskih napada koji se odvijaju putem interneta, ovaj se napad oslanjao na fizičku sabotažu samog hardvera prije nego što je uopće stigao do krajnjih kupaca.

Meta napada bio je Ledger, renomirani francuski brend koji proizvodi hardverske novčanike (takozvane cold wallets). Ti su uređaji dizajnirani s jednim glavnim ciljem: držati privatne ključeve i recovery phrase (24 riječi za oporavak) potpuno izolirane od interneta kako bi se spriječili kibernetički napadi.

Sve pogođene žrtve kupile su svoje Ledger uređaje preko tvrtke CryptoBilis, koja je bila službeni i ovlašteni regionalni distributer za područje Jugoistočne Azije (Indonezija, Malezija i Filipini). Budući da je distributer bio legitiman, kupci nisu imali razloga sumnjati u sigurnost proizvoda.

Napad je bio izuzetno sofisticiran. Negdje na putu od tvornice do skladišta distributera, napadači su fizički presreli pakete, otvorili uređaje i u kućište Ledgera ugradili neautorizirani hardverski čip (implantat). Ovaj minijaturni čip bio je programiran da doslovno “čita” i snima ono što se prikazuje na malom ekranu uređaja.

Kada bi korisnik prvi put pokrenuo Ledger i generirao svojih jedinstvenih 24 riječi (master ključ), čip bi ih presreo. Unutar čipa nalazila se mikro SIM kartica koja je te riječi tajno, putem mobilne mreže, poslala napadaču. Fascinantno je da implantat uopće nije dirao Ledgerov sigurni čip niti je mijenjao njegov službeni softver. Zbog toga je uređaj prošao sve softverske provjere autentičnosti koje Ledger aplikacija provodi pri spajanju na računalo.

partnerstvo

Dacia u suradnji s RK Zagrebom: klubu na raspolaganju 10 Dustera i jedan Bigster

kupnja

Do 480 km dosega i prostran prtljažnik: upoznajte MGS5 EV

Zanimljivo je kako su počinitelji bili strpljivi i nisu odmah prebacili kriptovalute, znajući da bi se to brzo otkrilo. Puna dva tjedna su čekali i onda, u petak, 9. listopada 2026., aktivirali skriptu. Unutar samo nekoliko minuta, automatizirani sustav je s pomoću ukradenih ključeva istovremeno ispraznio 324 novčanika na čak šest različitih blockchain mreža (TRON, Bitcoin, Ethereum, Solana, BNB Chain i Polygon).

Ova akcija iznimno podsjeća na izraelsku operaciju “Pager” iz 2024. protiv Hezbollaha. Tada su izraelski agenti u pagere namijenjene Hezbollahu stavili eksploziv. Prvo su fizički presreli pošiljku pagera namijenjenih članovima Hezbollaha. U njih su sakrili eksploziv i detonator pretvorivši ih u bombu. Pageri su pri tome normalno radili neko vrijeme, a onda su slanjem radio-signala aktivirali eksploziv u svim pagerima te ubili i ranili na stotine Hezbollahovih operativaca.

Oba napada dokazuju da fizički posjed uređaja u nekom trenutku lanca distribucije eliminira bilo kakvu softversku ili kriptografsku zaštitu. Ako napadač ima pristup kutiji i uređaju prije vas, on može zaobići najnaprednije sigurnosne protokole na svijetu – bilo da se radi o vojnom kriptiranom pageru ili najsigurnijem hardverskom novčaniku za kriptovalute.

Prema najnovijim forenzičkim podacima obavještajnih i analitičkih tvrtki, u ovom napadu pogođeno je ukupno 324 novčanika (kripto-adresa), s kojih je u samo jednom danu ispražnjeno 102 milijuna dolara.

Iako je Ledger u svojim službenim očitovanjima naglasio da su svi potvrđeni slučajevi gubitka novca i krađe ključeva izolirani na uređaje kupljene preko distributera CryptoBilis u Jugoistočnoj Aziji, situacija se u proteklih 48 sati zakomplicirala te postoje ozbiljne indicije da se napad počeo širiti i izvan te regije.

Izvan Azije pojavili su se prvi vrlo zabrinjavajući izvještaji. Jedan korisnik u Europi javno je priložio dokaze i fotografije dvaju Ledger uređaja kupljenih u maloprodajnim trgovinama koji su imali identične fizičke modifikacije – dodatne žice i ugrađen LTE modul za mobilnu mrežu.

Reagirajući na ove događaje, veliki njemački trgovački lanac elektronike MediaMarkt Saturn hitno je zaustavio prodaju svih Ledger uređaja nakon što je i kod njih uočen barem jedan novčanik s ugrađenim “spy” implantatom. Prijavljen je i sumnjiv, potencijalno modificiran uređaj (model Ledger Flex) kupljen izravno u zračnoj luci u Singapuru.

Izvršni direktor Pascal Gauthier izjavio je u objavi na društvenim mrežama da Ledger provjerava svoje kontrole zaštite koje se primjenjuju kako na izravnu prodaju, tako i na mrežu preprodavača.

U svojoj objavi na društvenim mrežama, tehnički direktor Charles Guillemet izjavio je da Ledger preispituje svoje mjere zaštite od neovlaštenih preinaka te pozvao sve koji smatraju da je njihov uređaj možda izmijenjen da prouče tvrtkine smjernice za provjeru i pošalju sve sumnjive uređaje natrag u Ledger.

Nisu dirali softver

Mnogi korisnici opravdano se pitaju kako je moguće da je uređaj prošao Ledgerovu službenu softversku provjeru autentičnosti (Genuine Check) prilikom prvog spajanja na aplikaciju. No, mehanizam napada izveden je tako da hakeri nisu mijenjali tvornički softver niti su dirali glavni sigurnosni čip koji generira i štiti kriptografiju.

Budući da je sigurnosni čip ostao netaknut i originalan, sustav je uređaj prepoznao kao “siguran i originalan”. Mikročip-implantat je bio postavljen isključivo kao hardverski parazit koji će skinuti lozinku od 24 riječi na zaslonu, dok ih ugrađena eSIM kartica neprimjetno šalje napadačima preko lokalne mobilne (LTE) mreže.