Gebruikers cryptowallet Ledger bestolen na phishingaanval op ex-medewerker
Gebruikers van Ledger zijn voor honderdduizenden dollars aan cryptovaluta bestolen nadat criminelen via een phishingaanval op een ex-medewerker van de cryptowallet-aanbieder een malafide versie van de Ledger Connect Kit konden verspreiden. Dat heeft Ledger bekendgemaakt. Ledger biedt verschillende apparaten voor het opslaan van cryptovaluta. De Ledger Connect Kit is een JavaScript-library waarmee gebruikers hun Ledger-cryptowallet kunnen koppelen aan third-party apps, ook wel wallet-connected websites genoemd.
Gisteren werd een voormalige Ledger-werknemer slachtoffer van een phishingaanval, waarbij de aanvallers toegang tot zijn NPMJS-account kregen. Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via de npm Registry biedt het een groot archief met openbare, besloten en commerciële package.
Nadat de aanvallers toegang tot het account van de ex-werknemer hadden gekregen konden ze een besmette versie van de Ledger Connect Kit verspreiden. Deze versie gebruikte een malafide WalletConnect-project om geld van Ledger-gebruikers naar de wallet van de aanvallers te routeren. Volgens Ledger was de malafide code zo'n vijf uur actief en is er voor zover nu bekend gedurende een periode van twee uur cryptovaluta gestolen. Volgens crypto-onderzoeker ZachXBT gaat het om een bedrag van ruim 600.000 dollar. Ledger stelt dat het slachtoffers van de aanval gaat helpen bij het terugkrijgen van hun geld en dat de aanval was beperkt tot third-party apps die van de Ledger Connect Kit gebruikmaken.
Hoe het kan dat een ex-medewerker over een account beschikt waarmee het mogelijk is om zelf malafide versies van de software te verspreiden claimt Ledger dat dit eigenlijk niet hoort te kunnen. Nieuwe versies zouden pas kunnen worden verspreid als die door meerdere partijen zijn bekeken. Daarnaast zou elke medewerker die het bedrijf verlaat geen toegang meer tot Ledger-systemen moeten hebben. Waarom het in dit geval niet is gebeurd laat Ledger niet weten, dat alleen spreekt over een 'geïsoleerd incident'. Er is inmiddels een schone versie van de Ledger Connect Kit uitgerold en de 'secrets' om code via Ledger's GitHub te verspreiden zijn geroteerd.
Nee. Het zou moeten zijn dat Ledger het geld aan de klanten vergoed en dan zelf probeert het geld terug te krijgen. Zij zien hier de prioriteiten blijkbaar verkeerd.
Iemand een suggestie voor een betrouwbaarder alternatief ?
Iemand een suggestie voor een betrouwbaarder alternatief ?
ABN Amro misschien?
Iemand een suggestie voor een betrouwbaarder alternatief ?
Die hele rage van cryptomunten is ontstaan vanuit de libertarische wens om zonder overheidsbemoeienis toch iets betrouwbaars te creëren. Je ziet hoe dat uitpakt: instabiele munten, diefstal die niet vergoed wordt, wallets waar mensen door een ongelukje nooit meer bij kunnen. Leuk voor als je kickt op gokken en speculeren, maar als je betrouwbaarheid zoekt is er reden om je achter je oren te krabben over de vraag hoe het komt dat de gevestigde orde zoveel betrouwbaarder blijkt te kunnen zijn.
ABN Amro misschien?
Die willen stoppen met hun e.dentifier - hetgeen de laatste meerwaarde van hun product was.
Rabo of ING dus maar.
Iemand een suggestie voor een betrouwbaarder alternatief ?
Die hele rage van cryptomunten is ontstaan vanuit de libertarische wens om zonder overheidsbemoeienis toch iets betrouwbaars te creëren. Je ziet hoe dat uitpakt: instabiele munten, diefstal die niet vergoed wordt, wallets waar mensen door een ongelukje nooit meer bij kunnen. Leuk voor als je kickt op gokken en speculeren, maar als je betrouwbaarheid zoekt is er reden om je achter je oren te krabben over de vraag hoe het komt dat de gevestigde orde zoveel betrouwbaarder blijkt te kunnen zijn.
Het beeld wat je hier schetst gebeurd toch ook in de traditionele markten zelfs onder toezicht van alle autoriteiten (AFM, DNB, ECB, etc). Waar mensen zijn en de mogelijkheid zich aandient daar wordt nu eenmaal gefraudeerd. Er zijn niet voor niets ook in de traditionele markten allemaal regels. Als het puur over Bitcoin en de achterliggende techniek hebben, dan is daar nog nies mee gebeurd. Alles wat je leest gaat over 3e partijen en diensten die hieromheen worden aangeboden. In het hele prille begin zaten er in het protocol wat schoonheidsfoutjes, maar die zijn er allang uitgehaald. Inmiddels is het een zeer stabiel netwerk. Wat ook steeds meer omarmd wordt en verweven in de traditionele marten. Het is helemaal niet verkeerd als iets in een (technisch) protocol is vastgelegd (zeker niet als en een global karakter heeft). Ik ben overigens niet tegen overheidstoezicht hoor (acceptatie, regulatie, regelgeving), is belangrijk. Het is alleen niet zo zwart-wit als je het hier neerzet.
Wanneer je bij een degelijke partij zit met Bitcoin val je gewoon onder het garantiedeposito hoor. Er zijn er op Nederlandse bodem welke gewoon geregistreerd zijn bij DNB en inmiddels ook bij de toezichthoudende partijen in Frankrijk en Duitsland.
Er zijn ook hele grote interstitiële beleggingspartijen geïnteresseerd om te kunnen handelen dat is niet omdat het niets waard zou zijn.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
