A Ledger megerősítette, hogy legalább egy, a CryptoBilis délkelet-ázsiai viszonteladó által értékesített eszközben engedélyezetlen hardveres implantátum található. A kompromittált egységet a viszonteladónál elszenvedett kriptoveszteségekkel hozták összefüggésbe a vállalat hétfői közleménye szerint. A Ledger szerint a megerősített implantátum-esetek száma korlátozott, és belső rendszerei érintetlenek.
Mit értékesített valójában a CryptoBilis
A CryptoBilis délkelet-ázsiai viszonteladóként működik, amely Ledger hardvertárcákat juttat el a régió ügyfeleihez. A középpontban álló eszköz egyetlen egység – nem egy gyártási sorozat, nem egy gyárból lekerült tétel. A Ledger megfogalmazása szándékos: „legalább egy eszköz”, „a megerősített esetek korlátozottak”. Ez nem azt jelenti, hogy csak egy van. Azt jelenti, hogy a vállalat eddig egyet ellenőrzött, és nem zárja ki a továbbiakat.
Az eszközhöz kapcsolódó veszteségek kriptoveszteségek, vagyis valakinek a érméi eltűntek. A Ledger nem adott meg számot, és ebben a szakaszban nem világos, hogy az érintett ügyfél keveset vagy sokat veszített-e. Az viszont világos, hogy az implantátum nem a Ledger saját gyártásából származik – valahol a gyár és a vevő kezei között került bele.
Miért a viszonteladó a gyenge láncszem
A hardvertárcák csak annyira jók, mint az őket szállító ellátási lánc. A Ledger lezárt eszközöket szállít; a viszonteladók megkapják ezeket a lezárt dobozokat, és továbbadják őket. Ha valaki, aki hozzáfér a készlethez, kinyit egy dobozt, kicseréli a lapkát egy kompromittáltra, és újrazárja a csomagolást, a végfelhasználónak nincs nyilvánvaló módja ezt észrevenni, amíg a pénzeszközök el nem mozdulnak.
Ez a forgatókönyv itt, legalábbis nagy vonalakban. Egy harmadik fél viszonteladó által értékesített eszközben talált engedélyezetlen implantátum a Ledger saját falain kívüli manipulációra utal. A vállalat hangsúlyozza, hogy belső rendszerei – a szerverek, a firmware-folyamat, a Ledger Live-ot és az eszközhitelesítést támogató infrastruktúra – érintetlenek. Tehát ez nem a Ledger feltörése. Ez egy olyan egység fizikai kompromittálása, amely valaki más kezén ment keresztül, mielőtt eljutott az ügyfélhez.
A veszteségek, és amit a Ledger nem mond
Az eszközhöz kapcsolódó kriptoveszteségek megerősítettek, de a részletek szűkösek. Nem hoztak nyilvánosságra számadatot. Nincs idővonal arra vonatkozóan, mikor történtek ezek a veszteségek. És még nincs szó arról sem, hogy az érintett felhasználót kártalanították-e. A Ledger nyilvános álláspontja az, hogy a megerősített esetek korlátozottak – ez a kifejezés egyszerre két feladatot lát el: megnyugtatja a szélesebb felhasználói bázist, és teret hagy további esetek felszínre kerülésének a nyomozás folytatásával.
Mindenki számára, aki a CryptoBilisen keresztül vásárolt Ledgert, a gyakorlati kérdés az, hogy az adott egységüket manipulálták-e. A Ledger nem jelentett be tétel-visszahívást, sorozatszám-listát vagy csereprogramot. Enélkül a viszonteladói csatornán vásárlók saját eszközeik ellenőrzésére és várakozásra vannak utalva.
Merre tovább
A következő konkrét lépés a Ledger részéről, hogy többet mondjon arról, hogyan észlelték az implantátumot, és mit jelent ez a ugyanazon viszonteladón keresztül értékesített többi eszközre nézve. A megerősített esetek ma korlátozottak. Hogy ez a szám növekszik-e, attól függ, mire jut a nyomozás – és hogy a CryptoBilis el tud-e számolni minden általa értékesített egységgel.
Egyelőre a közvetlen tanács ugyanaz, amit a hardvertárca-gyártók évek óta ismételnek: a gyártótól vagy egy megbízható, engedélyezett forrásból vásároljon, és ellenőrizze eszközét, mielőtt bármilyen pénzeszközt küldene rá. Ez az útmutatás nem akadályozta meg ezt az incidenst. De ez az egyetlen védelem, amivel a felhasználó rendelkezik, amikor a kezében lévő doboz valaki más polcáról származik.
