Ledger a detaliat modul în care implanturile cu LTE ascunse în portofelele hardware ar putea expune frazele de recuperare ale utilizatorilor. Dezvăluirea a determinat CryptoBilis să oprească vânzările portofelelor care conțin implanturile spion. Atât Trezor, cât și OneKey au rupt legăturile cu revânzătorul.
Ce fac implanturile
Implanturile folosesc conectivitatea LTE pentru a transmite în secret frazele de recuperare ale portofelului odată ce un dispozitiv este configurat și alimentat cu fonduri. Raportul Ledger explică faptul că hardware-ul compromis arată și se comportă ca un portofel normal până când este activat. Acea frază de recuperare este singurul punct de eșec pentru orice configurație de auto-custodie, așa că o cale de exfiltrare silențioasă este cam cel mai rău scenariu posibil.
CryptoBilis, care a vândut dispozitivele afectate, a oprit vânzarea portofelelor cu implanturi după dezvăluirea Ledger. Revânzătorul nu a declarat public câte unități au ajuns la clienți sau de unde provine hardware-ul modificat.
Trezor și OneKey se retrag
Atât Trezor, cât și OneKey și-au încheiat relațiile cu CryptoBilis. Niciunul dintre furnizori nu a publicat o declarație cu privire la această decizie dincolo de ruperea legăturii în sine. Mișcarea lasă CryptoBilis fără doi parteneri majori de brand, cel puțin pentru moment.
Aceasta este o reacție rapidă. Acordurile cu revânzătorii nu sunt de obicei anulate în aceeași săptămână în care apare un raport de securitate, mai ales când revânzătorul nu a fost acuzat că ar fi construit el însuși implanturile. Dar când categoria de produs este portofele hardware — unde întreaga promisiune este că cheile tale nu ating niciodată internetul — un revânzător prins livrând radiouri LTE în interiorul carcasei este o problemă de reputație pe lângă care niciun partener nu vrea să stea.
De unde provin dispozitivele
Ceea ce rămâne neclar este modul în care implanturile au ajuns în lanțul de aprovizionare. Raportul Ledger descrie hardware-ul LTE, dar nu numește un producător sau o țară de origine. CryptoBilis nu a abordat dacă unitățile au fost modificate înainte sau după ce au ajuns în inventarul său. Până când cineva răspunde la asta, fiecare revânzător din spațiul portofelelor hardware are o întrebare deschisă: poți demonstra că dispozitivul din cutie este dispozitivul care a plecat din fabrică?
Pentru utilizatorii care au cumpărat un portofel prin CryptoBilis, sfatul practic este simplu și neplăcut — tratați orice frază de recuperare introdusă pe acel dispozitiv ca fiind expusă. Mutarea fondurilor către un seed generat recent pe hardware de la un furnizor fără legătură cu revânzătorul este curățarea standard, deși niciuna dintre companiile implicate nu a emis încă îndrumări oficiale.
Problema revânzătorului
Producătorii de portofele hardware au petrecut ani de zile spunând clienților să cumpere direct sau de la parteneri autorizați. CryptoBilis a fost unul dintre acei parteneri pentru Trezor și OneKey până în această săptămână. Aceasta este partea inconfortabilă a poveștii: modificarea nu s-a întâmplat într-o alee întunecată, ci în interiorul canalului către care furnizorii înșiși îndreptau clienții.
Nici Trezor, nici OneKey nu au spus dacă vor audita alți revânzători. Ledger nu a indicat dacă intenționează să publice o analiză tehnică mai amplă. CryptoBilis, la rândul său, a tăcut după oprirea vânzărilor — iar întrebarea câte portofele compromise sunt deja în sertarele oamenilor nu are încă un răspuns.
