Η Ledger επιβεβαίωσε ότι οι μονάδες hardware wallet που πούλησε η CryptoBilis περιέχουν ένα hardware implant σχεδιασμένο να κλέβει φράσεις ανάκτησης. Η επιβεβαίωση ήρθε μετά από έρευνα στις επηρεαζόμενες συσκευές, και η MediaMarkt έχει πλέον αναστείλει τις πωλήσεις των compromised μονάδων Ledger σε όλη την Ευρώπη.
Το implant είναι μια φυσική τροποποίηση, όχι ένα σφάλμα firmware. Αυτή η διάκριση έχει σημασία γιατί σημαίνει ότι το συνηθισμένο software update δεν μπορεί να το διορθώσει. Μόλις εκτεθεί μια φράση ανάκτησης, το πορτοφόλι έχει compromiserθεί μόνιμα.
Τι κάνει στην πραγματικότητα το implant
Σύμφωνα με την επιβεβαίωση της Ledger, το implant στοχεύει τη φράση ανάκτησης — τις 12 ή 24 λέξεις που ελέγχουν την πρόσβαση σε ένα πορτοφόλι. Αν έχετε εισαγάγει τη φράση σας σε μια από αυτές τις μονάδες, το seed θα πρέπει να θεωρείται καμένο. Η ίδια η συσκευή μπορεί να φαίνεται και να συμπεριφέρεται κανονικά, και γι' αυτό ακριβώς είναι επικίνδυνο.
Η CryptoBilis πούλησε τις επηρεαζόμενες μονάδες ως τρίτος λιανοπωλητής. Η Ledger δεν έχει δηλώσει πόσες συσκευές βρίσκονται σε κυκλοφορία ή ποιες συγκεκριμένες παρτίδες επηρεάζονται. Η εταιρεία επίσης δεν έχει διευκρινίσει πώς το implant εισήχθη στην εφοδιαστική αλυσίδα. Η απόφαση της MediaMarkt να αποσύρει το απόθεμα υποδηλώνει ότι το πρόβλημα δεν περιορίζεται σε μία μόνο παρτίδα ή περιοχή.
Η κίνηση της MediaMarkt και τι σηματοδοτεί
Η MediaMarkt ανέστειλε τις πωλήσεις στην Ευρώπη μετά την επιβεβαίωση της Ledger. Ο λιανοπωλητής δεν έχει σχολιάσει αν θα προσφέρει επιστροφές χρημάτων ή αντικαταστάσεις, και δεν είναι σαφές αν άλλοι Ευρωπαίοι λιανοπωλητές ακολουθούν. Προς το παρόν, η MediaMarkt είναι ο μόνος επώνυμος λιανοπωλητής που έχει ενεργήσει.
Ο χρόνος δεν είναι καλός για τη Ledger. Τα hardware wallets υποτίθεται ότι είναι η ασφαλής επιλογή — αυτό που αγοράζετε ακριβώς επειδή δεν εμπιστεύεστε τα ανταλλακτήρια ή την online αποθήκευση. Μια παραβίαση της εφοδιαστικής αλυσίδας υπονομεύει άμεσα αυτό το επιχείρημα, και είναι πιο δύσκολο να δικαιολογηθεί από μια ευπάθεια λογισμικού.
Τι πρέπει να κάνουν οι χρήστες τώρα
Αν αγοράσατε ένα Ledger μέσω της CryptoBilis, σταματήστε να το χρησιμοποιείτε. Μην εισαγάγετε τη φράση ανάκτησής σας σε αυτό. Αν το έχετε κάνει ήδη, μεταφέρετε τα κεφάλαιά σας σε ένα νέο πορτοφόλι με μια φρέσκια φράση seed το συντομότερο δυνατό. Η Ledger δεν έχει δημοσιεύσει πλήρη λίστα με τους επηρεαζόμενους σειριακούς αριθμούς ή κωδικούς παρτίδας, οπότε δεν υπάρχει τρόπος να ελέγξετε μια συγκεκριμένη μονάδα ακόμα.
Η εταιρεία δεν έχει δηλώσει αν θα αντικαταστήσει τις επηρεαζόμενες συσκευές ή πώς σκοπεύει να χειριστεί την αποτυχία της εφοδιαστικής αλυσίδας. Η CryptoBilis δεν έχει εκδώσει δημόσια δήλωση. Η αναστολή της MediaMarkt είναι η μόνη συγκεκριμένη ενέργεια που έχει λάβει λιανοπωλητής μέχρι στιγμής.
Τα αναπάντητα ερωτήματα
Τρία πράγματα παραμένουν ασαφή. Πρώτον, πώς το implant μπήκε στην εφοδιαστική αλυσίδα εξαρχής. Δεύτερον, πόσες συσκευές επηρεάζονται. Τρίτον, αν άλλοι λιανοπωλητές πούλησαν το ίδιο compromised απόθεμα. Η επιβεβαίωση της Ledger απαντά στο τι, αλλά όχι στο πώς ή στο πόσες.
Προς το παρόν, η πρακτική συμβουλή είναι απλή: αν το Ledger σας προήλθε από την CryptoBilis, θεωρήστε το compromised. Το επόμενο συγκεκριμένο βήμα θα είναι η Ledger να δημοσιεύσει τους επηρεαζόμενους αριθμούς παρτίδας ή ένα πρόγραμμα αντικατάστασης. Μέχρι να συμβεί αυτό, οι χρήστες είναι αναγκασμένοι να μαντεύουν.
