MediaMarktSaturn stáhl hardwarové peněženky Ledger z prodeje, potvrdil maloobchodník poté, co se objevily zprávy o manipulaci s produkty. Společnost Ledger uvádí, že tyto zprávy nyní vyšetřuje a že problém přesahuje rámec CryptoBilis, distributora v jihovýchodní Asii.
Tímto krokem se MediaMarktSaturn, jeden z největších evropských řetězců spotřební elektroniky, stal prvním velkým západním maloobchodníkem, který přestal prodávat zařízení Ledger kvůli obavám o dodavatelský řetězec. Pro společnost, jejíž celá prezentace stojí na tom, že vaše soukromé klíče nikdy neopustí bezpečný čip, je odstoupení maloobchodního partnera vážným problémem.
Co MediaMarktSaturn skutečně udělal
Maloobchodník odstranil produkty Ledger z prodeje. Neuvedl, zda je stažení dočasné, nebo trvalé. Zatím žádné prohlášení o tom, zda stávající zákazníci mohou získat náhradu nebo výměnu, a žádná informace o tom, kterých konkrétních modelů Ledger se to týká.
MediaMarktSaturn provozuje prodejny v Německu a dalších evropských trzích. Je to velkoobjemový kanál pro spotřební elektroniku a hardwarové peněženky leží na pultech hned vedle notebooků a příslušenství k telefonům. To je smyslem maloobchodní distribuce pro Ledger – dostává samosprávu majetku před lidi, kteří ještě nejsou krypto-native. Ztráta tohoto prostoru na pultech bolí.
Vyšetřování Ledgeru je širší než jeden distributor
Ledger vyšetřuje zprávy o manipulaci se svými produkty i mimo CryptoBilis. CryptoBilis je distributor v jihovýchodní Asii, který byl spojen s manipulovanými zařízeními Ledger. Společnost neuvedla, kolik jednotek je zapojeno, kterých trhů se to týká ani jak byla manipulace provedena.
Poslední část je důležitá. Manipulace s hardwarovou peněženkou obvykle znamená, že někdo zachytil zařízení předtím, než se dostalo ke kupujícímu, a vyměnil firmware za kompromitovaný nebo předem nahrál seed frázi, kterou útočník již zná. Ledger v tomto případě metodu nepopsal. Také neuvedl, zda zařízení prodávaná prostřednictvím MediaMarktSaturn patří mezi ta, která jsou vyšetřována.
Neexistuje žádný časový plán, kdy vyšetřování skončí. Žádný veřejný seznam postižených sériových čísel. Žádné potvrzení, zda je problém omezen na distribuční kanály třetích stran, nebo zda zasahuje hlouběji do dodavatelského řetězce.
Proč je stažení z maloobchodu větší problém než blogový příspěvek
Ledger roky bojuje s vnímáním, že samospráva majetku je pro běžné lidi příliš složitá a příliš riskantní. Maloobchodní distribuce měla polovinu tohoto problému vyřešit. Když řetězec jako MediaMarktSaturn stáhne produkt, signalizuje to, že riziko už není teoretické – alespoň ne pro kupujícího, který se rozhoduje mezi hardwarovou peněženkou a ponecháním mincí na burze.
MediaMarktSaturn své důvody nad rámec zpráv o manipulaci nevysvětlil. Maloobchodníci jen zřídka stahují produkty bez určitého právního nebo odpovědnostního tlaku. Zda přišel od stížností zákazníků, od regulátora nebo od vlastního rizikového týmu MediaMarktSaturn, není jasné.
Co zůstává nevyřešeno
Ledger nezveřejnil seznam postižených zařízení a neuvedl, jak mohou kupující zkontrolovat, zda je jejich jednotka v bezpečí. CryptoBilis veřejně nereagoval na širší vyšetřování. MediaMarktSaturn neuvedl, zda po dokončení vyšetřování obnoví prodej zařízení Ledger.
Další konkrétní věcí, kterou je třeba sledovat, jsou zjištění vyšetřování Ledgeru – konkrétně jeho rozsah. Pokud manipulace přesáhla jediného distributora v jihovýchodní Asii, bude muset společnost vysvětlit, jak se dostala na další trhy a co dělá, aby tomu zabránila. Dokud se tak nestane, každé zařízení Ledger ve skladu nebo na pultech je v nejistotě.
