לדג'ר אישרה שכל מכשיר שנפרץ באירוע ניקוז הארנקים בשבוע שעבר נמכר דרך CryptoBilis, משווק שבסיסו בדרום-מזרח אסיה. החברה חשפה את הממצא בשעה 17:13 UTC ב-11 באוקטובר, יומיים לאחר שהזהירה לראשונה מפני ניקוז פעיל הפוגע בארנקי משתמשים.
לדג'ר תיארה את מספר המכשירים שנפגעו כמוגבל. היא לא ציינה כמה ארנקים נפגעו, כמה כספים אבדו, או כיצד המכשירים נפרצו מלכתחילה.
מה על לקוחות CryptoBilis לעשות כעת
העצה של לדג'ר מתפצלת לשני מסלולים בהתאם לשאלה אם הלקוח פתח את הקופסה.
אם המכשיר לא בשימוש, אין לאתחל אותו. אם כבר הוגדר, יש להעביר את הכספים ל-seed חדש במכשיר שנרכש ישירות מלדג'ר. זו המלצת החברה, שפורסמה לצד הגילוי.
ארנק החומרה מבצע גם בדיקת Genuine Check קריפטוגרפית המאמתת שהיסוד המאובטח בתוך המכשיר אותנטי. מדריך האותנטיות של לדג'ר כבר ממליץ לרכוש ישירות מלדג'ר או דרך רשת המפיצים והמשווקים המורשים שלה.
CryptoBilis הפסיקה למכור ארנקי חומרה, לפי הצהרת לדג'ר.
הערוצים של לדג'ר עצמה לא נפגעו
לדג'ר אומרת שהמערכות וערוצי המכירה הישירה שלה לא הושפעו. הבעיה, כפי שהחברה מציגה אותה, נמצאת אצל משווק צד שלישי ולא בשרשרת האספקה שלה — הבחנה שחשובה למשתמשים שקנו ישירות מלדג'ר.
החברה פועלת עם הרשויות הרלוונטיות ויוצרת קשר ישירות עם משתמשים שנפגעו.
היא גם הודתה ל-SEAL 911 על התמיכה במהלך התגובה, ואמרה שהיא בוחנת את בקרות המשווקים המורשים שלה תוך קידום הגנות חומרה.
שתי השאלות שנותרו פתוחות
כיצד המכשירים נפרצו נותר ללא מענה. כך גם מספר המשתמשים שאיבדו כספים. לדג'ר לא נקבה במספר לאף אחד מהשניים, והמילה "מוגבל" עושה עבודה רבה בהצהרה שלה.
מה שברור: וקטור התקיפה עבר דרך ערוץ משווק, לא דרך המחסנים של לדג'ר עצמה. זו בעיית שרשרת אספקה שלובשת צורה של בעיית מוצר, והיא מעלה שאלות לא נוחות לגבי עד כמה הפיקוח של יצרן משתרע אל החנויות שמזיזות את הקופסאות שלו.
לדג'ר ביקשה מכל מי שיש לו מידע רלוונטי ליצור קשר עם צוות האבטחה שלה ואומרת שהיא עדיין חוקרת.
נוכלים כבר מסתובבים
לדג'ר הזהירה שנוכלים עשויים להשתמש באירוע כעילה לפגוע במשתמשים. המסר שלה חד: היא לעולם לא תתקשר אליך, לא תשלח הודעה ישירה, ולעולם לא תבקש frase שחזור של 24 מילים.
החברה גם הזכירה למשווקים ולמפיצים מורשים לרכוש מלאי רק דרך ערוצים רשמיים ולעולם לא להחזיר מוצרים שהוחזרו למלאי — נוהג שגרתי שבמקרה זה יהווה סיכון ממשי.
לדג'ר קראה לחוקרים, לספקים ולאחרים לשתף פעולה בשיפורי אבטחה רחבים יותר.
לעת עתה, לקוחות CryptoBilis עם קופסה אטומה מתבקשים להשאיר אותה אטומה. כל מי שכבר איתחל מכשיר מערוץ זה צריך להתייחס ל-seed כשרוף ולעבור לחומרה שנרכשה במקום אחר. עד שלדג'ר תנקוב בסיבה, זה הצעד הקונקרטי היחיד שיש למשתמשים.
