Ledger telah memperincikan bagaimana implan berkemampuan LTE yang tersembunyi di dalam dompet perkakasan boleh mendedahkan frasa pemulihan pengguna. Pendedahan itu menyebabkan CryptoBilis menghentikan penjualan dompet yang mengandungi implan perisik tersebut. Trezor dan OneKey kedua-duanya telah memutuskan hubungan dengan penjual semula itu.
Apa yang dilakukan oleh implan tersebut
Implan tersebut menggunakan sambungan LTE untuk menghantar frasa pemulihan dompet secara senyap sebaik sahaja peranti disediakan dan dimasukkan dana. Tulisan Ledger menjelaskan bahawa perkakasan yang terjejas kelihatan dan berkelakuan seperti dompet biasa sehingga ia diaktifkan. Frasa pemulihan itu adalah titik kegagalan tunggal bagi mana-mana persediaan kustodi kendiri, jadi laluan eksfiltrasi senyap adalah semudah yang boleh dibayangkan.
CryptoBilis, yang menjual peranti terjejas, berhenti menjual dompet dengan implan tersebut selepas pendedahan Ledger. Penjual semula itu tidak menyatakan secara terbuka berapa banyak unit yang sampai kepada pelanggan atau dari mana perkakasan yang diubah suai itu berasal.
Trezor dan OneKey menarik diri
Trezor dan OneKey kedua-duanya menamatkan hubungan mereka dengan CryptoBilis. Tiada vendor yang menerbitkan kenyataan mengenai keputusan itu selain daripada pemutusan hubungan itu sendiri. Langkah itu meninggalkan CryptoBilis tanpa dua rakan jenama utama, sekurang-kurangnya buat masa ini.
Itu adalah tindak balas yang pantas. Perjanjian penjual semula biasanya tidak dibatalkan pada minggu yang sama laporan keselamatan diterbitkan, terutamanya apabila penjual semula itu tidak dituduh membina implan itu sendiri. Tetapi apabila kategori produk itu adalah dompet perkakasan — di mana keseluruhan tawaran adalah bahawa kunci anda tidak pernah menyentuh internet — penjual semula yang didapati menghantar radio LTE di dalam selongsong adalah masalah reputasi yang tidak mahu didekati oleh mana-mana rakan kongsi.
Dari mana peranti itu berasal
Apa yang masih tidak jelas ialah bagaimana implan itu masuk ke dalam rantaian bekalan. Laporan Ledger menerangkan perkakasan LTE itu tetapi tidak menamakan pengeluar atau negara asal. CryptoBilis tidak menjelaskan sama ada unit itu telah diusik sebelum atau selepas ia sampai ke inventori mereka. Sehingga seseorang menjawabnya, setiap penjual semula dalam ruang dompet perkakasan mempunyai soalan terbuka di tangan mereka: bolehkah anda membuktikan peranti di dalam kotak itu adalah peranti yang keluar dari kilang?
Bagi pengguna yang membeli dompet melalui CryptoBilis, nasihat praktikal adalah mudah dan tidak menyenangkan — anggap mana-mana frasa pemulihan yang dimasukkan pada peranti itu sebagai terdedah. Memindahkan dana ke benih yang baru dijana pada perkakasan daripada vendor yang tiada kaitan dengan penjual semula itu adalah pembersihan standard, walaupun tiada syarikat yang terlibat telah mengeluarkan panduan rasmi setakat ini.
Masalah penjual semula
Pengeluar dompet perkakasan telah menghabiskan bertahun-tahun memberitahu pelanggan supaya membeli secara terus atau daripada rakan kongsi yang sah. CryptoBilis adalah salah satu rakan kongsi itu bagi Trezor dan OneKey sehingga minggu ini. Itulah bahagian yang tidak selesa dalam cerita ini: pengusikan itu tidak berlaku di lorong gelap, ia berlaku di dalam saluran yang vendor sendiri arahkan pelanggan ke arahnya.
Tiada Trezor mahupun OneKey menyatakan sama ada ia akan mengaudit penjual semula lain. Ledger tidak menunjukkan sama ada ia merancang untuk menerbitkan pecahan teknikal yang lebih lengkap. CryptoBilis, dari pihaknya, telah berdiam diri sejak menghentikan penjualan — dan persoalan berapa banyak dompet terjejas yang sudah berada di dalam laci orang ramai masih belum mempunyai jawapan.
