ארנק Ledger שני שעבר שיבוש מופיע ב-MediaMarkt כשהקונה דורש ריקול

קונה דיווח על מציאת ארנק חומרה Ledger שני שעבר שיבוש, שנרכש מ-MediaMarkt, וכעת הוא קורא לחברה לבצע ריקול של המכשירים הפגומים. לדברי הקונה, המכשיר נשלח ל-Ledger לבדיקה, והוא זיהה את המפיץ Aqipa כמקור היחידה שנפרצה.

הדיווח מסמן את המקרה המאומת השני של שיבוש הקשור למלאי הקמעונאי של MediaMarkt. תמיכת Ledger מתעקשת שמקרי השיבוש המאומתים שלה קשורים ל-CryptoBilis, מפיץ נפרד. עדותו של הקונה מציינת את Aqipa במקום, אי-התאמה שלא נפתרה בפומבי.

מה הקונה מצא

פרטי השיבוש עצמו נותרו מוגבלים. הקונה לא חשף בדיוק מה שונה בתוך האריזה או במכשיר, או מתי בוצעה הרכישה. מה שברור הוא שהארנק נרכש דרך MediaMarkt, קמעונאית אלקטרוניקה אירופית גדולה, ושהקונה מאמין שהוא הגיע פגום.

הקונה כעת דוחף לריקול שיכסה את יחידות ה-Ledger הפגומות שנמכרו דרך אותו ערוץ. זו בקשה משמעותית. ריקול ידרוש מ-MediaMarkt, מ-Ledger ומהמפיץ לתאם זיהוי אילו יחידות נפגעו — תהליך שאף אחד מהצדדים המעורבים לא הודיע עליו.

החוט של CryptoBilis

צוות התמיכה של Ledger הצביע על CryptoBilis כמפיץ שמאחורי מקרי השיבוש המאומתים שלה. עמדה זו לא השתנתה עם הדיווח החדש. אם הקונה צודק שמכשירו הגיע דרך Aqipa, הדבר מעלה שאלות אם הבעיה רחבה מכפי ש-Ledger הודתה.

MediaMarkt לא הגיבה בפומבי לגבי המכשיר השני. גם Aqipa לא. עמדת Ledger, כפי שהועברה בערוצי התמיכה, נותרת ממוקדת בקישור ל-CryptoBilis.

שיבוש ארנק חומרה כולל בדרך כלל מישהו שיירט מכשיר לפני שהגיע ללקוח — החלפת ביטוי גרעין (seed phrase) מאותחל מראש או שינוי אריזה כך שהקונה יקים בלי ידיעתו ארנק שהתוקף כבר שולט בו. זו בעיית שרשרת אספקה, לא ניצול פרצת קושחה, ולכן המפיץ כל כך חשוב במקרים אלה.

מדוע שאלת המפיץ חשובה

אם מכשירים משובשים נכנסו לשרשרת הקמעונאית דרך יותר ממפיץ אחד, היקף הבעיה גדל. עמדתה הפומבית של Ledger קושרת מקרים מאומתים ל-CryptoBilis. טענת הקונה לגבי Aqipa, אם תיבדק, תצביע על נקודת כניסה שנייה או על ייחוס שגוי במקום כלשהו בשרשרת.

אף אחת מהאפשרויות לא אומתה. Ledger לא אמרה אם היא חוקרת את הקישור ל-Aqipa ספציפית, והחברה לא הגיבה בפומבי לדרישת הריקול.

לכל מי שרכש Ledger דרך MediaMarkt, העצה המעשית לא השתנתה: יש לאמת את שלמות המכשיר לפני העברת כספים, לבדוק את האריזה לאיתור סימני שיבוש, וליצור ביטוי גרעין חדש במקום לסמוך על כזה שהגיע מלא מראש. הנקודה האחרונה היא מצב הכשל הנפוץ ביותר במקרים אלה.

המכשיר השני בדרכו ל-Ledger לבדיקה. בדיקה זו אמורה לקבוע אם השיבוש אמיתי ואם כן, מה בדיוק שונה. התוצאות גם יידעו אם קריאת הקונה לריקול תרוויח תאוצה.

עד ש-Ledger תפרסם את ממצאיה, שאלת המפיץ — CryptoBilis מול Aqipa — נותרת פתוחה. ללקוחות MediaMarkt שרכשו מכשירי Ledger בחודשים האחרונים אין הנחיה רשמית מעבר להוראות האימות העצמי הקיימות של Ledger.