Sahte Ledger(Ledger) Donanım Cüzdanı Alarmı: Tedarik Zinciri Saldırıları Kripto Kullanıcılarını Vuruyor

Brezilyalı bir güvenlik araştırmacısı, kripto para kullanıcılarını hedef alan ‘sahte Ledger(Ledger) donanım cüzdanı’ dolandırıcılığı konusunda sert bir uyarı yaptı. Son dönemde *kendi saklama(self-custody)* yöntemini tercih edenlere yönelik *tedarik zinciri saldırıları*, *sahte uygulamalar* ve *onay dolandırıcılıkları* giderek daha sofistike hale gelirken, donanım cüzdanların güvenliğine duyulan ‘güven’ de sorgulanmaya başladı.

13’ünde (yerel saatle), Cointelegraph’a göre Reddit’teki ‘ledgerwallet’ kanalında ‘Past_Computer2901’ takma adıyla paylaşım yapan bu araştırmacı, Çin merkezli bir çevrim içi pazar yerinden Ledger Nano S Plus(Ledger Nano S Plus) modelini resmi fiyata yakın bir bedelle satın aldığını ancak kutuyu açtıktan sonra ürünün *sahte* olduğunu fark ettiğini açıkladı. Kutu tasarımı ve satış sayfası *orijinal ürün* izlenimi veriyordu. Cihaz Ledger Live(Ledger Live) yazılımına bağlandığında ise ‘gerçek ürün doğrulama(Genuine Check)’ adımında başarısız oldu. Araştırmacı cihazı söktüğünde, *değiştirilmiş donanım ve ürün yazılımı*, ayrıca gizlenmiş Wi-Fi ve Bluetooth antenleri bulunduğunu ortaya çıkardı.

Bu dolandırıcılık yöntemi özellikle *ilk kez donanım cüzdan kullanacak* kişileri hedef alıyor. Kutu içindeki QR kodu tarandığında kullanıcı, kötü amaçlı bir ‘Ledger Live’ sürümünü indirmeye yönlendiriliyor. Sahte uygulama, uydurma bir ‘Genuine Check’ ekranıyla *tohum kelime grubu (seed phrase / kurtarma ifadesi)* talep ediyor. Kullanıcının girdiği bu kurtarma ifadesi, saldırganların cüzdandaki tüm varlıkları istedikleri zaman boşaltabilmesine olanak tanıyor. Araştırmacı, “Ledger Live mutlaka sadece ‘ledger.com’ adresinden indirilmeli ve donanım cüzdanlar da sadece ‘ledger.com’ veya yetkili kanallardan alınmalı” uyarısında bulundu.

Son dönemde kripto para alanındaki güvenlik olayları, basit *oltalama (phishing)* saldırılarının ötesine geçerek *tedarik zinciri* ve *uygulama dağıtım kanallarına* kadar uzanıyor. Bu ayın başında, sahte bir Ledger Live uygulaması Apple App Store’a sızmayı başarmış, 50’den fazla kullanıcının buraya kurtarma ifadesini girmesiyle yaklaşık 9,5 milyon dolar tutarında kayıp yaşanmıştı. Uygulama, zarar ortaya çıktıktan sonra mağazadan kaldırıldı. Sektör paydaşları, *donanım cüzdan satın alma aşamasından* başlayarak *uygulamanın yüklenmesi* ve *ilk kurulum/ doğrulama* süreçlerinin her adımında yüksek düzeyde şüphecilik ve dikkat gerektiğini vurguluyor.

Bu son vaka, ‘*çevrim dışı saklama(offline storage)*’ yönteminin tek başına *mutlak güvenlik* sağlamadığını bir kez daha ortaya koyuyor. Orijinal ürün doğrulama mekanizmalarını atlatacak şekilde tasarlanan sahte cihazların piyasaya sürülmesi, kripto para kullanıcılarının hem *satın alma kanalı* hem de *ilk kurulum aşamasında* daha sıkı kontrol adımları uygulamasını zorunlu hale getiriyor. Kullanıcıların, cihazın fiziksel bütünlüğünü, yazılımın indirilme kaynağını ve ilk doğrulama süreçlerini *bağımsız olarak teyit etmesi*, varlıklarını korumak için artık temel bir gereklilik haline gelmiş durumda.