Společnost Ledger potvrdila neoprávněný hardwarový implantát nejméně v jednom zařízení prodaném společností CryptoBilis, prodejcem z jihovýchodní Asie. Podle pondělního prohlášení společnosti byla kompromitovaná jednotka spojena s kryptoměnovými ztrátami u tohoto prodejce. Ledger uvádí, že potvrzené případy implantátu jsou omezené a jeho interní systémy zůstávají nedotčeny.
Co CryptoBilis skutečně prodal
CryptoBilis působí jako prodejce v jihovýchodní Asii a dodává hardwarové peněženky Ledger zákazníkům v regionu. Zařízení, které je středem pozornosti, je jediná jednotka – nejde o sériovou výrobu ani o dávku staženou z výrobní linky. Formulace Ledgeru je záměrná: „nejméně jedno zařízení“, „potvrzené případy jsou omezené“. To není totéž jako říci, že existuje pouze jedno. Znamená to, že společnost zatím ověřila jeden případ a nevylučuje další.
Ztráty spojené s tímto zařízením jsou kryptoměnové ztráty, což znamená, že něčí mince jsou pryč. Ledger neuvedl žádnou částku a v této fázi není jasné, zda postižený zákazník ztratil málo, nebo hodně. Jasné je, že implantát nepochází z výroby Ledgeru – byl vložen někde mezi továrnou a rukama kupujícího.
Proč je prodejce slabým článkem
Hardwarové peněženky jsou jen tak dobré, jak dobrý je dodavatelský řetězec, který je doručuje. Ledger zasílá zařízení zapečetěná; prodejci obdrží tyto zapečetěné krabice a předávají je dál. Pokud někdo s přístupem k inventáři otevře krabici, vymění desku za kompromitovanou a znovu zabalí obal, koncový uživatel to nemá jak snadno poznat, dokud se nepohnou prostředky.
To je scénář tohoto případu, alespoň v obrysech. Neoprávněný implantát v zařízení prodaném třetím prodejcem poukazuje na manipulaci mimo zdi Ledgeru. Společnost zdůrazňuje, že její interní systémy – servery, firmware pipeline, infrastruktura podporující Ledger Live a autentizaci zařízení – nebyly dotčeny. Nejde tedy o hack Ledgeru. Jde o fyzické kompromitování jednotky, která prošla rukama někoho jiného, než se dostala k zákazníkovi.
Ztráty a co Ledger neříká
Kryptoměnové ztráty spojené se zařízením jsou potvrzeny, ale podrobnosti jsou kusé. Nebyla zveřejněna žádná částka. Žádná časová osa, kdy ke ztrátám došlo. A zatím ani slovo o tom, zda byl postižený uživatel odškodněn. Veřejná linie Ledgeru je, že potvrzené případy jsou omezené – fráze, která plní dvě funkce najednou: uklidňuje širší uživatelskou základnu a ponechává prostor pro další případy, které mohou vyplout na povrch, jak vyšetřování pokračuje.
Pro každého, kdo si koupil Ledger prostřednictvím CryptoBilis, je praktickou otázkou, zda byla jeho konkrétní jednotka manipulována. Ledger neoznámil stažení dávky, seznam sériových čísel ani program výměny. Bez toho jsou kupující z prodejních kanálů odkázáni na kontrolu vlastních zařízení a čekání.
Kam to povede dál
Dalším konkrétním krokem je, aby Ledger řekl více o tom, jak byl implantát odhalen a co to znamená pro další zařízení prodaná stejným prodejcem. Potvrzené případy jsou dnes omezené. Zda toto číslo poroste, závisí na tom, co vyšetřování přinese – a zda CryptoBilis dokáže doložit každou jednotku, kterou prodal.
Prozatím je přímá rada stejná, jakou výrobci hardwarových peněženek opakují už léta: kupujte od výrobce nebo od důvěryhodného autorizovaného zdroje a ověřte své zařízení, než na něj pošlete jakékoli prostředky. Toto doporučení tomuto incidentu nezabránilo. Ale je to jediná ochrana, kterou uživatel má, když krabice v jeho ruce pochází z cizí police.
