Ledger potwierdził nieautoryzowany implant sprzętowy w co najmniej jednym urządzeniu sprzedanym przez CryptoBilis, resellera z Azji Południowo-Wschodniej. Według oświadczenia firmy z poniedziałku, skompromitowana jednostka została powiązana ze stratami kryptowalut u resellera. Ledger twierdzi, że potwierdzone przypadki implantu są ograniczone, a jego systemy wewnętrzne pozostają nienaruszone.
Co faktycznie sprzedał CryptoBilis
CryptoBilis działa jako reseller w Azji Południowo-Wschodniej, dostarczając portfele sprzętowe Ledger klientom w regionie. Urządzenie w centrum sprawy to pojedyncza sztuka — nie seria produkcyjna, nie partia zdjęta z linii fabrycznej. Sformułowanie Ledger jest celowe: „co najmniej jedno urządzenie”, „potwierdzone przypadki są ograniczone”. To nie to samo, co stwierdzenie, że jest tylko jedno. Oznacza, że firma zweryfikowała jak dotąd jedno i nie wyklucza kolejnych.
Straty związane z tym urządzeniem to straty kryptowalut, co oznacza, że czyjeś monety przepadły. Ledger nie podał kwoty, a na tym etapie nie jest jasne, czy poszkodowany klient stracił niewiele, czy dużo. Jasne jest natomiast, że implant nie pochodzi z własnej produkcji Ledger — został wprowadzony gdzieś między fabryką a rękami kupującego.
Dlaczego reseller jest słabym ogniwem
Portfele sprzętowe są tak dobre, jak łańcuch dostaw, który je dostarcza. Ledger wysyła urządzenia zapieczętowane; resellerzy otrzymują te zapieczętowane pudełka i przekazują je dalej. Jeśli ktoś mający dostęp do zapasów otworzy pudełko, podmieni płytę na skompromitowaną i ponownie zapieczętuje opakowanie, użytkownik końcowy nie ma oczywistego sposobu, by to zauważyć, dopóki środki nie zostaną przeniesione.
Taki jest scenariusz w tym przypadku, przynajmniej w zarysie. Nieautoryzowany implant w urządzeniu sprzedanym przez zewnętrznego resellera wskazuje na manipulację poza murami Ledger. Firma podkreśla, że jej systemy wewnętrzne — serwery, pipeline firmware'u, infrastruktura wspierająca Ledger Live i uwierzytelnianie urządzeń — nie zostały naruszone. Więc to nie jest hack Ledger. To fizyczne naruszenie jednostki, która przeszła przez czyjeś ręce, zanim dotarła do klienta.
Straty i to, czego Ledger nie mówi
Straty kryptowalut związane z urządzeniem są potwierdzone, ale szczegóły są skąpe. Nie ujawniono żadnej kwoty. Brak osi czasu, kiedy te straty wystąpiły. I jak dotąd żadnej informacji, czy poszkodowany użytkownik otrzymał rekompensatę. Publiczne stanowisko Ledger jest takie, że potwierdzone przypadki są ograniczone — fraza, która spełnia dwie funkcje naraz: uspokaja szerszą bazę użytkowników i pozostawia miejsce na pojawienie się kolejnych przypadków w miarę kontynuowania śledztwa.
Dla każdego, kto kupił Ledger przez CryptoBilis, praktyczne pytanie brzmi, czy ich konkretna jednostka została zmodyfikowana. Ledger nie ogłosił wycofania partii, listy numerów seryjnych ani programu wymiany. Bez tego kupujący w kanale resellerskim pozostają z koniecznością sprawdzania własnych urządzeń i czekaniem.
Co dalej
Następnym konkretnym krokiem jest to, by Ledger powiedział więcej o tym, jak wykryto implant i co to oznacza dla innych urządzeń sprzedanych przez tego samego resellera. Potwierdzone przypadki są dziś ograniczone. Czy ta liczba wzrośnie, zależy od tego, co ujawni śledztwo — i czy CryptoBilis jest w stanie rozliczyć każdą sprzedaną jednostkę.
Na razie bezpośrednia rada jest ta sama, którą producenci portfeli sprzętowych powtarzają od lat: kupuj od producenta lub zaufanego autoryzowanego źródła i zweryfikuj swoje urządzenie, zanim wyślesz na nie jakiekolwiek środki. Ta wskazówka nie zapobiegła temu incydentowi. Ale to jedyna ochrona, jaką ma użytkownik, gdy pudełko w jego rękach pochodzi z czyjejś półki.
