Ledger szczegółowo opisał, w jaki sposób implanty LTE ukryte w portfelach sprzętowych mogą ujawniać frazy odzyskiwania użytkowników. Ujawnienie to skłoniło CryptoBilis do wstrzymania sprzedaży portfeli zawierających szpiegowskie implanty. Zarówno Trezor, jak i OneKey zerwały współpracę z tym resellerem.
Co robią implanty
Implanty wykorzystują łączność LTE, aby po cichu przesyłać frazy odzyskiwania portfela, gdy urządzenie zostanie skonfigurowane i zasilone środkami. W artykule Ledger wyjaśniono, że skompromitowany sprzęt wygląda i zachowuje się jak normalny portfel, dopóki nie zostanie aktywowany. Ta fraza odzyskiwania jest jedynym punktem awarii dla każdej konfiguracji samodzielnego przechowywania, więc cicha ścieżka eksfiltracji jest tak zła, jak to tylko możliwe.
CryptoBilis, który sprzedawał dotknięte urządzenia, zaprzestał sprzedaży portfeli z implantami po ujawnieniu przez Ledger. Reseller nie poinformował publicznie, ile jednostek trafiło do klientów ani skąd pochodził zmodyfikowany sprzęt.
Trezor i OneKey odchodzą
Zarówno Trezor, jak i OneKey zakończyły swoje relacje z CryptoBilis. Żaden z dostawców nie opublikował oświadczenia w sprawie tej decyzji poza samym zerwaniem współpracy. Posunięcie to pozostawia CryptoBilis bez dwóch głównych partnerów marki, przynajmniej na razie.
To szybka reakcja. Umowy z resellerami zwykle nie są zrywane w tym samym tygodniu, w którym pojawia się raport o bezpieczeństwie, zwłaszcza gdy reseller nie został oskarżony o samodzielne zbudowanie implantów. Ale gdy kategorią produktu są portfele sprzętowe — gdzie cała obietnica polega na tym, że twoje klucze nigdy nie dotykają internetu — reseller przyłapany na wysyłaniu radia LTE wewnątrz obudowy stanowi problem reputacyjny, obok którego żaden partner nie chce siedzieć.
Skąd pochodzą urządzenia
Nadal niejasne jest, w jaki sposób implanty trafiły do łańcucha dostaw. Raport Ledger opisuje sprzęt LTE, ale nie podaje nazwy producenta ani kraju pochodzenia. CryptoBilis nie odniósł się do tego, czy jednostki zostały zmodyfikowane przed czy po dotarciu do jego zapasów. Dopóki ktoś nie odpowie na to pytanie, każdy reseller w branży portfeli sprzętowych ma otwarte pytanie: czy możesz udowodnić, że urządzenie w pudełku to urządzenie, które opuściło fabrykę?
Dla użytkowników, którzy kupili portfel przez CryptoBilis, praktyczna rada jest prosta i nieprzyjemna — każdą frazę odzyskiwania wprowadzoną na tym urządzeniu należy traktować jako ujawnioną. Przeniesienie środków na świeżo wygenerowany seed na sprzęcie od dostawcy niemającego powiązań z resellerem to standardowe czyszczenie, choć żadna z zaangażowanych firm nie wydała jeszcze formalnych wytycznych.
Problem resellerów
Producenci portfeli sprzętowych od lat mówią klientom, aby kupowali bezpośrednio lub od autoryzowanych partnerów. CryptoBilis był jednym z takich partnerów dla Trezor i OneKey do tego tygodnia. To jest niewygodna część tej historii: manipulacja nie miała miejsca w ciemnej uliczce, lecz w kanale, na który sami dostawcy kierowali klientów.
Ani Trezor, ani OneKey nie powiedziały, czy zamierzają auditować innych resellerów. Ledger nie wskazał, czy planuje opublikować pełniejszy opis techniczny. CryptoBilis ze swojej strony milczy od czasu wstrzymania sprzedaży — a pytanie, ile skompromitowanych portfeli znajduje się już w szufladach ludzi, wciąż nie ma odpowiedzi.
