لجر تأیید کرده است که مجموعه‌ای از کیف‌پول‌های سخت‌افزاری دستکاری‌شده که توسط CryptoBilis فروخته شده‌اند، می‌توانند از تأییدیه Genuine Check (بررسی اصالت) این شرکت عبور کنند. دستگاه‌های اصلاح‌شده تراشه امن و سیستم‌عامل را دست‌نخورده باقی می‌گذارند، به این معنی که بررسی یکپارچگی استاندارد نتیجه‌ای پاک برمی‌گرداند، حتی اگر سخت‌افزار تغییر کرده باشد. قطعه کاشته‌شده عبارات بازیابی را از طریق LTE ارسال می‌کند.
این همان بخشی است که اهمیت دارد. Genuine Check ابزاری است که لجر به کاربران می‌گوید برای اطمینان از دستکاری‌نشدن دستگاه اجرا کنند. اگر نتواند این تغییر را تشخیص دهد، اطمینانی که ارائه می‌دهد محدودتر از آن چیزی است که بیشتر مردم تصور می‌کنند.
دستکاری در واقع چه کاری انجام می‌دهد
سخت‌افزار اضافه‌شده در کنار تراشه و سیستم‌عامل قرار می‌گیرد، نه به جای آن‌ها و نه با تغییر آن‌ها. لجر می‌گوید عنصر امن و فریم‌ور بدون تغییر باقی می‌مانند. وظیفه قطعه کاشته‌شده گرفتن عبارات بازیابی و ارسال آن‌ها از طریق اتصال داده موبایل است، به این معنی که کیف‌پول می‌تواند ظاهر و رفتار عادی داشته باشد تا درست لحظه‌ای که وجوه جابه‌جا می‌شوند.
از آنجا که تغییر در سطح سخت‌افزار و خارج از مسیر تأیید عادی تراشه است، Genuine Check چیزی برای علامت‌گذاری ندارد. این بررسی تراشه را احراز هویت می‌کند. هر قطعه‌ای روی برد را بازرسی نمی‌کند.
چرا Genuine Check آن را از دست می‌دهد
Genuine Check لجر با تأیید امضای رمزنگاری عنصر امن کار می‌کند. این یک آزمون قوی برای تراشه‌های تقلبی و فریم‌ور شبیه‌سازی‌شده است. اما این یک بازرسی کامل فیزیکی دستگاه نیست و هرگز برای این منظور طراحی نشده بود. یک مهاجم ماهر با دسترسی به زنجیره تأمین می‌تواند مدارهایی اضافه کند که تراشه هرگز آن‌ها را نمی‌بیند.
این شرکت به صراحت اعلام کرده است که این نوع دستکاری خارج از محدوده توانایی این بررسی برای رد کردن است. این یک اعتراف صادقانه است، اما همچنین خطی زیر انتظارات کاربران از ابزاری می‌کشد که بسیاری آن را آخرین خط دفاعی می‌دانند.
ارتباط با CryptoBilis
کیف‌پول‌های آسیب‌دیده توسط CryptoBilis، یک فروشنده واسطه، فروخته شده بودند. این جزئیات مهم است زیرا به یک مشکل زنجیره تأمین اشاره دارد نه نقص در تولید خود لجر. دستگاه‌هایی که قبل از رسیدن به مشتری از طرف‌های ثالث عبور می‌کنند، تنها به اندازه خود آن طرف‌ها قابل اعتماد هستند.
لجر نگفته است که چند واحد درگیر هستند یا چگونه سخت‌افزار آلوده به موجودی CryptoBilis راه یافته است. این‌ها سؤالات آشکار بی‌پاسخ هستند و شرکت هنوز به آن‌ها پاسخ نداده است.
این برای هر کسی که یک لجر بازفروش‌شده دارد چه معنایی دارد
اگر یک لجر را از یک فروشنده واسطه به جای خرید مستقیم از شرکت خریداری کرده‌اید، عبور از Genuine Check مسئله را حل نمی‌کند. تنها دفاع قابل اعتماد در برابر یک قطعه کاشته‌شده سخت‌افزاری این است که عبارت بازیابی خود را روی دستگاه خودتان تولید کنید و هرگز کیف‌پول از پیش راه‌اندازی‌شده را نپذیرید. دستگاهی که با یک عبارت بازیابی از قبل تنظیم‌شده می‌رسد باید کاملاً آلوده تلقی شود.
راهنمایی لجر از دیرباز خرید مستقیم و راه‌اندازی دستگاه توسط خودتان بوده است. این ماجرا به آن توصیه دلیلی مشخص می‌دهد نه کلی.
این شرکت هنوز نگفته است که آیا Genuine Check را برای تشخیص این دسته از تغییرات به‌روزرسانی خواهد کرد یا آیا قصد دارد علیه CryptoBilis به خاطر موجودی آلوده اقدام قانونی انجام دهد. تا زمانی که یکی از این دو اتفاق بیفتد، شکاف بین آنچه Genuine Check تأیید می‌کند و آنچه کاربران فکر می‌کنند تأیید می‌کند، چیزی است که باید تحت نظر باشد.
