Ledger Donanım Cüzdanlarında Gizli LTE Çipi: Kurtarma Cümlesi Ekrandan Çalındı

Donanım cüzdanı meselesinde yıllardır tekrarlanan bir öğüt vardır: anahtarların cihazdan hiç çıkmaz, yazılımla bile kurtarma cümleni dışarı aktaramazsın. Bu hafta Ledger'dan gelen haber, öğüdün doğru ama eksik olduğunu hatırlattı. Yazılım değil, donanımın kendisi kurcalanırsa denklem değişiyor.

Olay ne?

Ledger, Güneydoğu Asya merkezli CryptoBilis isimli bayi üzerinden satılan bazı cihazlarda yetkisiz bir donanım implantı bulunduğunu doğruladı. Implant, kurulum sırasında ekranda gösterilen 24 kelimelik kurtarma cümlesini okuyup gömülü bir eSIM ile LTE üzerinden saldırganlara gönderiyor. Yani cihazın güvenli elemanına (Secure Element) ya da yazılımına dokunmadan, sadece ekranı okuyarak tohumu dışarı çıkarıyor.

İşin can sıkıcı yanı: implant güvenli elemanı değiştirmediği için, kurcalanmış cihazlar Ledger'ın özgünlük kontrollerini hala geçebiliyor. Implantın dağıtım zincirinde, büyük olasılıkla elle yerleştirildiği değerlendiriliyor.

Zarar ne kadar?

Zincir üstü (on-chain) incelemeler, Bitcoin, Ethereum ve Tron genelinde en az 86 milyon dolar çalındığını tahmin ediyor; bazı tahminler 93 milyon dolara kadar çıkıyor. Ledger etkilenen cihaz sayısını "sınırlı" diye tanımlıyor ama net bir rakam vermedi. 13 Ekim'de Güneydoğu Asya ve Hong Kong'daki bayilere satışları durdurma çağrısı yaptı; CryptoBilis tüm Ledger satış ve sevkiyatlarını askıya aldı. Avrupa'da büyük bir elektronik perakendecisi de önlem olarak cihazları raftan çekti.

Önemli ayrım: bu bir yazılım açığı değil

Burayı net anlamak lazım, çünkü sosyal medyada "Ledger hacklendi, yazılımı güvensiz" diye yanlış özetleniyor. Olayda:

• Ledger'ın sunucuları ele geçirilmedi.
  
• Cihaz yazılımında (firmware) uzaktan sömürülen bir açık yok.
  
• İşlem imzalama, Secure Element veya PIN mekanizması kırılmadı.
  

Saldırı tamamen bir tedarik zinciri / fiziksel kurcalama saldırısı. Bu yüzden yazılım yaması diye bir çözüm de yok; tek çözüm cihazı değiştirip yeni bir kurtarma cümlesiyle baştan kurmak.

Ledger'ın tavsiyesi

• Söz konusu bayiden alıp henüz kurmadıysanız kurmayın.
  
• Kurduysanız, doğruluğundan emin olduğunuz yeni bir cihazda yeni bir kurtarma cümlesi oluşturup varlıkları oraya taşıyın.
  
• Eski (ekranda görünmüş) kurtarma cümlesini asla geri yüklemeyin.
  

Buradan çıkan genel ders

Benim aklımda kalan birkaç madde:

• Donanım cüzdanını yalnızca üreticiden ya da üreticinin resmi listesindeki satıcılardan alın. Bu olayda "yetkili bayi" bile etkilenmiş durumda, o yüzden paketi ve cihazı teslim alırken kurcalanma izine bakmak artık lüks değil.
  
• Kurtarma cümlesi bir kez "güvenilmeyen bir cihazda görüntülendiyse" o cümle yakılmış sayılır. Fiziksel erişim, tehdit modelinin en sık atlanan ayağı.
  
• Kurumsal saklama (custody) tarafındaysanız, cihaz menşei ve kurcalanma kontrollerini onboarding sürecine ekleyin.
  

Donanım güvenliği tarafında çalışan varsa, bu tip implantların tespiti için pratik yöntemleri (X-ray, güç tüketimi anomalisi, RF taraması vb.) yorumlarda konuşmak isterim.

Kaynakça

• BleepingComputer - Ledger confirms hardware wallet spy implant behind crypto thefts: https://www.bleepingcomputer.com/news/se...to-thefts/
  
• CoinDesk - Ledger finds covert cellular implant stole hardware wallet recovery phrases from screens: https://www.coindesk.com/tech/2026/10/13...le-network
  

Görsel: Motokoka, Wikimedia Commons, lisans CC BY-SA 4.0 - https://commons.wikimedia.org/wiki/File:...ncy_01.jpg