لجر به تفصیل شرح داده است که چگونه ایمپلنت‌های مجهز به LTE که در داخل کیف‌پول‌های سخت‌افزاری پنهان شده‌اند می‌توانند عبارت‌های بازیابی کاربران را افشا کنند. این افشاگری باعث شد CryptoBilis فروش کیف‌پول‌های حاوی ایمپلنت‌های جاسوسی را متوقف کند. Trezor و OneKey هر دو رابطه خود را با این فروشنده قطع کرده‌اند.
ایمپلنت‌ها چه کار می‌کنند
ایمپلنت‌ها از اتصال LTE برای انتقال بی‌صدا عبارت‌های بازیابی کیف‌پول پس از راه‌اندازی و شارژ دستگاه استفاده می‌کنند. گزارش لجر توضیح می‌دهد که سخت‌افزار دستکاری‌شده تا زمانی که فعال نشود، مانند یک کیف‌پول عادی به نظر می‌رسد و رفتار می‌کند. آن عبارت بازیابی نقطه شکست واحد برای هر تنظیمات خودحفاظتی است، بنابراین یک مسیر خروج بی‌صدا تقریباً بدترین حالت ممکن است.
CryptoBilis که دستگاه‌های آسیب‌دیده را فروخته بود، پس از افشاگری لجر فروش کیف‌پول‌های دارای ایمپلنت را متوقف کرد. این فروشنده به‌طور عمومی اعلام نکرده است که چه تعداد واحد به مشتریان رسیده یا سخت‌افزار اصلاح‌شده از کجا آمده است.
Trezor و OneKey کنار می‌کشند
Trezor و OneKey هر دو روابط خود را با CryptoBilis پایان دادند. هیچ‌یک از این دو فروشنده بیانیه‌ای درباره این تصمیم فراتر از خود قطع رابطه منتشر نکرده است. این اقدام CryptoBilis را حداقل برای حال حاضر بدون دو شریک تجاری عمده باقی می‌گذارد.
این واکنشی سریع است. قراردادهای فروشندگی معمولاً در همان هفته‌ای که یک گزارش امنیتی منتشر می‌شود لغو نمی‌شوند، به‌ویژه زمانی که خود فروشنده متهم به ساختن ایمپلنت‌ها نشده است. اما وقتی دسته محصول کیف‌پول سخت‌افزاری است — جایی که کل وعده این است که کلیدهای شما هرگز به اینترنت متصل نمی‌شوند — فروشنده‌ای که در حال ارسال رادیوهای LTE در داخل قاب است، یک مشکل اعتباری است که هیچ شریکی نمی‌خواهد در کنار آن قرار بگیرد.
دستگاه‌ها از کجا آمده‌اند
آنچه هنوز روشن نیست این است که چگونه ایمپلنت‌ها وارد زنجیره تأمین شده‌اند. گزارش لجر سخت‌افزار LTE را توصیف می‌کند اما نام سازنده یا کشور مبدأ را ذکر نمی‌کند. CryptoBilis به این موضوع که آیا واحدها قبل یا بعد از رسیدن به موجودی آن دستکاری شده‌اند، پرداخته است. تا زمانی که کسی به این سؤال پاسخ ندهد، هر فروشنده‌ای در حوزه کیف‌پول سخت‌افزاری یک سؤال باز دارد: آیا می‌توانید ثابت کنید دستگاهی که در جعبه است همان دستگاهی است که کارخانه را ترک کرده؟
برای کاربرانی که کیف‌پولی را از طریق CryptoBilis خریده‌اند، توصیه عملی ساده و ناخوشایند است — هر عبارت بازیابی که روی آن دستگاه وارد شده را در معرض خطر بدانید. انتقال وجوه به یک seed تازه تولیدشده روی سخت‌افزاری از فروشنده‌ای که هیچ ارتباطی با این فروشنده ندارد، پاکسازی استاندارد است، هرچند هیچ‌یک از شرکت‌های درگیر هنوز راهنمایی رسمی منتشر نکرده‌اند.
مشکل فروشنده
سازندگان کیف‌پول سخت‌افزاری سال‌هاست به مشتریان می‌گویند مستقیم یا از شرکای مجاز خرید کنند. CryptoBilis تا همین هفته یکی از آن شرکا برای Trezor و OneKey بود. این بخش ناخوشایند داستان است: دستکاری در یک کوچه تاریک رخ نداد، بلکه درست در داخل کانالی رخ داد که خود فروشندگان مشتریان را به سمت آن هدایت می‌کردند.
نه Trezor و نه OneKey اعلام نکرده‌اند که آیا سایر فروشندگان را حسابرسی خواهند کرد. لجر نشان نداده است که آیا قصد دارد تجزیه‌وتحلیل فنی کامل‌تری منتشر کند. CryptoBilis نیز از زمان توقف فروش سکوت کرده است — و این سؤال که چه تعداد کیف‌پول دستکاری‌شده هم‌اکنون در کشوهای مردم است، هنوز پاسخی ندارد.
