MediaMarktSaturn сняла с продажи аппаратные кошельки Ledger, подтвердил ритейлер, после появления сообщений о вмешательстве в продукты. Ledger заявляет, что сейчас расследует эти сообщения и что проблема выходит за рамки CryptoBilis, дистрибьютора в Юго-Восточной Азии.
Этот шаг делает MediaMarktSaturn, одну из крупнейших сетей бытовой электроники в Европе, первым крупным западным ритейлером, прекратившим продажу устройств Ledger из-за опасений по поводу цепочки поставок. Для компании, чья вся концепция строится на том, что ваши приватные ключи никогда не покидают защищённый чип, отход розничного партнёра — серьёзная проблема.
Что именно сделала MediaMarktSaturn
Ритейлер убрал продукты Ledger из продажи. Он не сообщил, является ли это изъятие временным или постоянным. Пока нет заявлений о том, могут ли существующие клиенты получить возврат средств или замену, и нет информации о том, какие конкретные модели Ledger были затронуты.
MediaMarktSaturn управляет магазинами по всей Германии и на других европейских рынках. Это канал с высоким объёмом продаж бытовой электроники, и аппаратные кошельки стоят на полке прямо рядом с ноутбуками и аксессуарами для телефонов. В этом и смысл розничного распространения для Ledger — оно представляет самостоятельное хранение людям, которые ещё не являются криптоэнтузиастами. Потеря этого места на полке ощутима.
Расследование Ledger шире, чем один дистрибьютор
Ledger расследует сообщения о вмешательстве в свои продукты за пределами CryptoBilis. CryptoBilis — это дистрибьютор в Юго-Восточной Азии, который был связан с устройствами Ledger с вмешательством. Компания не сообщила, сколько устройств затронуто, какие рынки пострадали или как было осуществлено вмешательство.
Последнее имеет значение. Вмешательство в аппаратный кошелёк обычно означает, что кто-то перехватил устройство до того, как оно попало к покупателю, и заменил прошивку на скомпрометированную или предварительно загрузил seed-фразу, которую злоумышленник уже знает. Ledger не описал метод в этом случае. Он также не сообщил, входят ли устройства, проданные через MediaMarktSaturn, в число тех, что расследуются.
Нет сроков завершения расследования. Нет публичного списка затронутых серийных номеров. Нет подтверждения того, ограничена ли проблема сторонними каналами распространения или затрагивает более высокие уровни цепочки поставок.
Почему изъятие из розницы — это больше, чем пост в блоге
Ledger годами боролся с восприятием, что самостоятельное хранение слишком сложно и слишком рискованно для обычных людей. Розничное распространение должно было исправить половину этой проблемы. Когда такая сеть, как MediaMarktSaturn, снимает продукт с продажи, это сигнализирует, что риск больше не теоретический — по крайней мере, для покупателя, который решает между аппаратным кошельком и оставлением своих монет на бирже.
MediaMarktSaturn не объяснил свои причины beyond сообщений о вмешательстве. Ритейлеры редко снимают продукты с продажи без некоторого юридического давления или давления из-за ответственности. Было ли это вызвано жалобами клиентов, регулятором или собственной командой по управлению рисками MediaMarktSaturn, неясно.
Что ещё не решено
Ledger не опубликовал список затронутых устройств и не сообщил, как покупатели могут проверить, безопасно ли их устройство. CryptoBilis публично не отреагировал на более широкое расследование. MediaMarktSaturn не сообщил, будет ли он пополнять запасы устройств Ledger после завершения проверки.
Следующее конкретное, за чем стоит следить, — это результаты расследования Ledger, в частности его масштаб. Если вмешательство вышло за пределы одного дистрибьютора в Юго-Восточной Азии, компании придётся объяснить, как оно достигло других рынков и что она делает, чтобы остановить это. Пока это не прояснится, каждое устройство Ledger, находящееся на складе или на полке, находится в подвешенном состоянии.
