Ledger heeft gedetailleerd beschreven hoe LTE-implants die verborgen zitten in hardware wallets de herstelzinnen van gebruikers kunnen blootleggen. De onthulling leidde ertoe dat CryptoBilis de verkoop staakte van wallets met de spy-implants. Trezor en OneKey hebben beide hun banden met de reseller verbroken.
Wat de implants doen
De implants gebruiken LTE-connectiviteit om stilletjes de herstelzin van de wallet te verzenden zodra een apparaat is ingesteld en er geld op staat. Ledger legt in zijn rapport uit dat de gecompromitteerde hardware eruitziet en zich gedraagt als een normale wallet totdat deze wordt geactiveerd. Die herstelzin is het enige zwakke punt van elke self-custody-opstelling, dus een stille exfiltratieroute is ongeveer het ergste wat er is.
CryptoBilis, dat de getroffen apparaten verkocht, stopte na Ledgers onthulling met de verkoop van wallets met de implants. De reseller heeft niet publiekelijk gezegd hoeveel exemplaren klanten hebben bereikt of waar de aangepaste hardware vandaan kwam.
Trezor en OneKey stappen op
Trezor en OneKey hebben beide hun relatie met CryptoBilis beëindigd. Geen van beide leveranciers heeft een verklaring gepubliceerd over de beslissing buiten de beëindiging zelf. De stap laat CryptoBilis achter zonder twee grote merkpartners, althans voorlopig.
Dat is een snelle reactie. Resellerovereenkomsten worden meestal niet in dezelfde week verscheurd waarin een beveiligingsrapport verschijnt, vooral niet wanneer de reseller er niet van wordt beschuldigd de implants zelf te hebben gebouwd. Maar wanneer de productcategorie hardware wallets is — waar de hele propositie is dat je sleutels nooit het internet raken — is een reseller die betrapt wordt op het verzenden van LTE-radio's in de behuizing een reputatieprobleem waar geen enkele partner naast wil zitten.
Waar de apparaten vandaan kwamen
Wat nog onduidelijk is, is hoe de implants in de toeleveringsketen terechtkwamen. Ledgers rapport beschrijft de LTE-hardware maar noemt geen fabrikant of land van herkomst. CryptoBilis heeft niet ingegaan op de vraag of de exemplaren zijn gemanipuleerd voordat of nadat ze in zijn voorraad terechtkwamen. Totdat iemand dat beantwoordt, heeft elke reseller in de hardware wallet-sector een open vraag in handen: kun je bewijzen dat het apparaat in de doos het apparaat is dat de fabriek heeft verlaten?
Voor gebruikers die een wallet via CryptoBilis hebben gekocht, is het praktische advies simpel en onaangenaam — beschouw elke herstelzin die op dat apparaat is ingevoerd als blootgelegd. Het verplaatsen van geld naar een vers gegenereerde seed op hardware van een leverancier zonder band met de reseller is de standaardopschoning, hoewel geen van de betrokken bedrijven nog formele richtlijnen heeft uitgegeven.
Het resellerprobleem
Fabrikanten van hardware wallets hebben jarenlang klanten verteld om rechtstreeks of bij geautoriseerde partners te kopen. CryptoBilis was een van die partners voor Trezor en OneKey tot deze week. Dat is het ongemakkelijke deel van het verhaal: de manipulatie vond niet plaats in een donker steegje, maar binnen het kanaal waar de leveranciers zelf klanten naartoe stuurden.
Noch Trezor noch OneKey heeft gezegd of het andere resellers zal auditen. Ledger heeft niet aangegeven of het van plan is een volledigere technische uiteenzetting te publiceren. CryptoBilis is sinds het staken van de verkoop stil geworden — en de vraag hoeveel gecompromitteerde wallets al in de laden van mensen liggen, heeft nog geen antwoord.
