Представители компании Ledger сообщили детали утечки данных с платформы. По предварительным сведениям, речь может идти о потере доступа к информации о примерно миллионе пользователей. Сам инцидент был зафиксирован приблизительно две недели назад, но компания не распространяла данные о нем для проведения независимого расследования.
Утечка данных Ledger
В первую очередь специалисты компании решили рассказать, как именно удалось получить доступ к данным пользователей. В середине месяца независимый эксперт, который отслеживает изменения в системах безопасности Ledger , сообщил о некой уязвимости, открывающей доступ к личной информации юзеров. В ходе проверки данные подтвердились, ввиду чего компания разу же начала принимать меры, изменяя правила шифрования. Позднее специалист выявил и взлом криптовалютных кошельков.
Производитель аппаратных устройств для программного обеспечения Ledger также сообщил о выявлении проблемы. Уже 25 июня она была устранена, но преступники получили доступ к базе данных, содержащей почтовые адреса, номера телефонов и даже имена всех клиентов компании, купивших физические устройства. В этом злоумышленникам помог API-ключ, который компания уже деактивировала, но призвала разработчиков не сталкиваться с ним на оуспенсорс-сервисах.
Предыстория взлома
Релиз программного обеспечения Ledger Live версии 2.0. Благодаря апдейту ПО научилось самостоятельно скачивать обновления и устанавливать их на аппаратные кошельки. То же самое касалось и смежных приложений для компьютеров или смартфонов. По мнению многих экспертов, именно публикация исходного кода программного обеспечения позволила злоумышленникам взломать сервера компании через API, установив вредоносный софт на устройства персонала производителей софта.
Изначально сообщалось о потере доступа к данным примерно 9,5 тысячи человек, но со временем количество пострадавших начало увеличиваться. Хотя база данных насчитывает около 1 миллиона электронных адресов, Ledger сообщил, что ситуация находится под контролем. По последней информации, все клиенты, сведения о которых попали в общий доступ, получили уведомления о необходимости сменить пароли на электронных адресах и всех аккаунтах, привязанных к ним.
Средства не пострадали
В Ledger отметили, что личные данные не использовались для идентификации пользователей, ввиду чего все их средства находятся в полной безопасности. Материалы применялись исключительно для составления базы данных, что подразумевают законодательные правила во многих странах. В частности, в США владельцы криптовалютных кошельков для работы на биржах и с обменниками должны быть верифицированы.
В ходе поиска и исправления уязвимости специалисты пояснили, что взлом был произведен во время кампании Bug bounty, проводимой 14 июля. Сейчас площадка полностью защищена, ввиду чего всеми ее приложениями и аппаратными устройствами можно пользоваться абсолютно безопасно.
Ранее сообщалось, что доходы майнеров Ethereum за месяц выросли на 60%.
