Ledger CEO legt hack uit en noemt het ‘geïsoleerd incident’

In een recente blogpost heeft Ledger CEO Pascal Gauthier gereageerd op de hack van 14 december die de Javascript-connectorbibliotheek van de wallet-aanbieder trof. Gauthier beschreef deze gebeurtenis als een “geïsoleerd incident” en zegde toe om de veiligheidscontroles binnen het bedrijf te versterken.

Exploit na ontdekking snel uitgeschakeld

De exploit, die minder dan twee uur duurde, werd binnen 40 minuten na de ontdekking uitgeschakeld. Gauthier benadrukte dat de hack beperkt was tot gedecentraliseerde applicaties (DApps) van derden. De oorzaak van de hack bleek een phishing-aanval te zijn gericht op een voormalige werknemer van Ledger. Interessant is dat in de gecompromitteerde code sporen van de identiteit van deze medewerker zijn aangetroffen. Gauthier verzekerde dat zowel de Ledger-hardware als het Ledger Live-platform niet beïnvloed zijn door dit incident.

Gauthier benadrukte verder de rigoureuze veiligheidspraktijken van het bedrijf, waarbij code-implementatie altijd een beoordeling door meerdere partijen vereist. “In 99% van onze interne systemen gelden sterke toegangscontroles, interne beoordelingen, en vereisen we meerdere handtekeningen voor code,” zei hij. Hij voegde eraan toe dat bij het vertrek van een werknemer, onmiddellijk alle toegang tot de Ledger-systemen wordt ingetrokken.

‘Ongelukkige geïsoleerde gebeurtenis’

Ondanks de erkenning van deze ‘ongelukkige geïsoleerde gebeurtenis’, beloofde Gauthier dat Ledger strengere beveiligingscontroles zal implementeren. Deze omvatten verbeteringen aan hun build-pijplijn en het koppelen van strenge software supply chain-beveiliging aan het NPM-distributiekanaal.

Gauthier waarschuwde dat een dergelijke hack ook anderen zou kunnen overkomen en bevestigde dat de nieuw uitgebrachte Ledger Connect Kit 1.1.8 veilig en klaar voor gebruik is. Hij bedankte organisaties zoals WalletConnect, Tether, Chainalysis en ZachXBT voor hun hulp tijdens deze periode.

Tot slot, hoewel de aanvankelijke schatting van de schade $484.000 bedroeg, meldde Web3-beveiligingsdienst Blockaid aan Cointelegraph dat dit bedrag tegen 20.00 uur UTC was gestegen tot $504.000. Ze waarschuwden dat elke Ethereum Virtual Machine-gebruiker die interactie heeft gehad met de betrokken DApps potentieel getroffen kan zijn door deze hack.