Een geraffineerde nieuwe aanval op hardware wallet Ledger
Precies een jaar geleden werd Bitcoin hardware wallet provider Ledger het slachtoffer van een hackaanval. Als gevolg van deze aanval werden de gegevens van wel een miljoen gebruikers die de Ledger portemonnee gebruikten blootgelegd. Deze gegevens omvatten e-mailadressen, telefoons, en namen. In het geval van 200.000 mensen bevatten de gegevens ook huisadressen. Het lijkt erop dat de criminelen niet vertragen. Momenteel krijgen slachtoffers van de vorige aanval valse elektronische apparaten toegestuurd, namelijk hardware portemonnees die gebruikt worden om Bitcoin in op te slaan, en die bedoeld zijn om de fondsen die het slachtoffer bezit over te nemen. Wees voorzichtig!
Gegevenslek van juli 2020
De vorige aanval die de criminelen uitvoerden was niet zo geraffineerd. Zoals we in de vorige paragraaf vermeldden, werden gevoelige gegevens van gebruikers die de Ledger portemonnee gebruikten “gelekt” naar de wereld. Deze gebruikers ontvingen vervolgens phishing e-mails waarin de hackers probeerden te phishen naar sleutelwoorden die gebruikt worden om privésleutels te achterhalen. Uiteraard was dit gericht op het stelen van Bitcoins die de aangevallen persoon in bezit had.
Juni 2021 – Een geraffineerde aanval op Bitcoin (BTC) houders
Terwijl de vorige aanval strategisch leek op een klassieke poging om te phishen naar gevoelige gegevens, is de aanval die nu op Bitcoin (BTC) houders wordt uitgevoerd veel geraffineerder. In de vorige paragraaf meldden we dat na een gegevenslek in juli 2020 de thuisadressen van sommige Ledger gebruikers bloot kwamen te liggen. Naar deze adressen sturen de criminelen zogenaamd echte wallets waarnaar je, zo beweren ze, je geld onmiddellijk moet overmaken om het veilig te bewaren.
Hoe zie je het verschil tussen een echte hardware wallet en een neppe?
De neppe versie wordt bezorgd in een identieke verpakking als het origineel. De kit bevat een brief geschreven door Ledger CEO Pascal Gauthier, een gebruikershandleiding, en het Ledger Nano X apparaat zelf.
Ondanks de veronderstelde volledigheid van de kit zijn er echter enkele tekenen die erop wijzen dat dit gewoon weer een poging tot oplichting is. Ten eerste bevat de brief die geschreven is door de CEO, Pascal Gauthier, spel- en grammaticale fouten. Ten tweede zie je bij het openen van het toestel dat de bouwkwaliteit sterk verschilt van het origineel. Het lijkt erop dat er binnenin de “hardware wallet” een gewone… flash drive zit. Alleen wordt die uit het omhulsel gehaald en in de Ledger Nano X wallet gestoken.
Als je het apparaat op je computer aansluit, moet je 24 sleutelwoorden (private key) invoeren in de Ledger Live app. In wezen is dit de grootste rode vlag die een gebruiker kan waarschuwen dat iemand zijn geld probeert te stelen. Ledger heeft een verklaring uitgegeven waarin gebruikers gewaarschuwd worden om nooit sleutelwoorden in te voeren. Ook wordt bepaald dat de originele producten van Ledger nooit om sleutelwoorden vragen.
