Ledger har redegjort for, hvordan LTE-aktiverede implantater skjult i hardware-punge kan afsløre brugernes recovery phrases. Afsløringen fik CryptoBilis til at stoppe salget af punge, der indeholder spionimplantaterne. Trezor og OneKey har begge brudt forbindelsen til forhandleren.
Hvad implantaterne gør
Implantaterne bruger LTE-forbindelse til i al hemmelighed at transmittere pungens recovery phrase, når en enhed er opsat og finansieret. Ledgers redegørelse forklarer, at det kompromitterede hardware ser ud og opfører sig som en normal pung, indtil den aktiveres. Den recovery phrase er det enkeltstående fejlpunkt for enhver selvopbevaringsopsætning, så en lydløs eksfiltreringsvej er omtrent så slemt, som det kan blive.
CryptoBilis, som solgte de berørte enheder, stoppede med at sælge punge med implantaterne efter Ledgers afsløring. Forhandleren har ikke offentligt sagt, hvor mange enheder der nåede kunderne, eller hvor det modificerede hardware stammer fra.
Trezor og OneKey trækker sig
Både Trezor og OneKey har afsluttet deres relationer til CryptoBilis. Ingen af leverandørerne har offentliggjort en udtalelse om beslutningen ud over selve bruddet. Flytningen efterlader CryptoBilis uden to store brandpartnere, i hvert fald for nu.
Det er en hurtig reaktion. Forhandleraftaler bliver normalt ikke revet i stykker i samme uge, som en sikkerhedsrapport lander, især ikke når forhandleren ikke er blevet anklaget for selv at have bygget implantaterne. Men når produktkategorien er hardware-punge — hvor hele salgsargumentet er, at dine nøgler aldrig rører internettet — er en forhandler, der er taget i at sende LTE-radioer indeni kabinettet, et omdømmeproblem, som ingen partner vil sidde ved siden af.
Hvor enhederne kom fra
Det er stadig uklart, hvordan implantaterne kom ind i forsyningskæden. Ledgers rapport beskriver LTE-hardwaret, men nævner ikke en producent eller et oprindelsesland. CryptoBilis har ikke adresseret, om enhederne blev manipuleret før eller efter, de nåede deres lager. Indtil nogen svarer på det, har enhver forhandler i hardware-pung-området et åbent spørgsmål på hænderne: kan du bevise, at enheden i æsken er den enhed, der forlod fabrikken?
For brugere, der har købt en pung gennem CryptoBilis, er det praktiske råd enkelt og ubehageligt — behandl enhver recovery phrase, der er indtastet på den enhed, som afsløret. At flytte midler til en nygenereret seed på hardware fra en leverandør uden forbindelse til forhandleren er den standardoprydning, selvom ingen af de involverede virksomheder endnu har udsendt formel vejledning.
Forhandlerproblemet
Producenter af hardware-punge har brugt år på at fortælle kunderne, at de skal købe direkte eller fra autoriserede partnere. CryptoBilis var en af disse partnere for Trezor og OneKey indtil denne uge. Det er den ubehagelige del af historien: manipulationen skete ikke i en mørk gyde, den skete inde i den kanal, som leverandørerne selv pegede kunderne mod.
Hverken Trezor eller OneKey har sagt, om de vil revidere andre forhandlere. Ledger har ikke indikeret, om de planlægger at offentliggøre en mere fuldstændig teknisk gennemgang. CryptoBilis har for deres del været tavse, siden de stoppede salget — og spørgsmålet om, hvor mange kompromitterede punge der allerede ligger i folks skuffer, har endnu ikke et svar.
