Ledger ha descritto in dettaglio come impianti abilitati LTE nascosti all'interno di portafogli hardware potrebbero esporre le frasi di recupero degli utenti. La divulgazione ha spinto CryptoBilis a sospendere le vendite dei portafogli contenenti gli impianti spia. Trezor e OneKey hanno entrambi interrotto i rapporti con il rivenditore.
Cosa fanno gli impianti
Gli impianti utilizzano la connettività LTE per trasmettere silenziosamente le frasi di recupero del portafoglio una volta che un dispositivo è configurato e finanziato. La documentazione di Ledger spiega che l'hardware compromesso appare e si comporta come un portafoglio normale fino all'attivazione. Quella frase di recupero è il singolo punto di fallimento per qualsiasi configurazione di autocustodia, quindi un percorso di esfiltrazione silenzioso è praticamente il peggio che possa capitare.
CryptoBilis, che vendeva i dispositivi interessati, ha smesso di vendere portafogli con gli impianti dopo la divulgazione di Ledger. Il rivenditore non ha reso pubblico quante unità siano arrivate ai clienti né da dove provenga l'hardware modificato.
Trezor e OneKey si allontanano
Trezor e OneKey hanno entrambi posto fine ai loro rapporti con CryptoBilis. Nessuno dei due produttori ha pubblicato una dichiarazione sulla decisione al di là dell'interruzione stessa. La mossa lascia CryptoBilis senza due importanti partner di marca, almeno per ora.
È una risposta rapida. Gli accordi con i rivenditori di solito non vengono stracciati la stessa settimana in cui esce un rapporto sulla sicurezza, soprattutto quando il rivenditore non è stato accusato di aver costruito gli impianti stessi. Ma quando la categoria di prodotto è quella dei portafogli hardware — dove l'intera proposta è che le tue chiavi non tocchino mai internet — un rivenditore sorpreso a spedire radio LTE all'interno della scocca è un problema di reputazione accanto al quale nessun partner vuole sedersi.
Da dove provengono i dispositivi
Ciò che rimane poco chiaro è come gli impianti siano entrati nella catena di approvvigionamento. Il rapporto di Ledger descrive l'hardware LTE ma non nomina un produttore né un paese di origine. CryptoBilis non ha chiarito se le unità siano state manomesse prima o dopo essere arrivate nel suo inventario. Finché qualcuno non risponde a questa domanda, ogni rivenditore nel settore dei portafogli hardware ha una questione aperta: puoi dimostrare che il dispositivo nella confezione è il dispositivo che ha lasciato la fabbrica?
Per gli utenti che hanno acquistato un portafoglio tramite CryptoBilis, il consiglio pratico è semplice e sgradevole — trattare qualsiasi frase di recupero inserita su quel dispositivo come esposta. Spostare i fondi su un seed appena generato su hardware di un fornitore senza alcun collegamento con il rivenditore è la procedura di pulizia standard, anche se nessuna delle aziende coinvolte ha ancora emesso linee guida formali.
Il problema dei rivenditori
I produttori di portafogli hardware hanno passato anni a dire ai clienti di acquistare direttamente o da partner autorizzati. CryptoBilis era uno di quei partner per Trezor e OneKey fino a questa settimana. Questa è la parte scomoda della storia: la manomissione non è avvenuta in un vicolo buio, è avvenuta all'interno del canale verso cui i produttori stessi indirizzavano i clienti.
Né Trezor né OneKey hanno dichiarato se controlleranno altri rivenditori. Ledger non ha indicato se intende pubblicare un'analisi tecnica più completa. CryptoBilis, da parte sua, è rimasta in silenzio dopo aver sospeso le vendite — e la domanda su quanti portafogli compromessi siano già nei cassetti delle persone non ha ancora una risposta.
