Ledger ka detajuar se si implantet me LTE të fshehura brenda portofolave harduerikë mund të ekspozojnë frazat e rikuperimit të përdoruesve. Zbulimi nxiti CryptoBilis të ndalojë shitjet e portofolave që përmbajnë implantet spiune. Trezor dhe OneKey kanë ndërprerë të dy lidhjet me rishitësin.
Çfarë bëjnë implantet
Implantet përdorin lidhjen LTE për të transmetuar fshehurazi frazat e rikuperimit të portofolit sapo një pajisje të konfigurohet dhe të mbushet me fonde. Shkrimi i Ledger shpjegon se hardueri i kompromentuar duket dhe sillet si një portofol normal derisa të aktivizohet. Ajo frazë rikuperimi është pika e vetme e dështimit për çdo konfigurim vetë-kujdestarie, kështu që një rrugë e heshtur eksfiltrimi është pothuajse aq e keqe sa mund të jetë.
CryptoBilis, i cili shiste pajisjet e prekura, ndaloi shitjen e portofolave me implantet pas zbulimit të Ledger. Rishitësi nuk ka thënë publikisht sa njësi arritën te klientët ose nga ka ardhur hardueri i modifikuar.
Trezor dhe OneKey tërhiqen
Trezor dhe OneKey përfunduan të dy marrëdhëniet e tyre me CryptoBilis. Asnjë prej shitësve nuk ka publikuar një deklaratë për vendimin përtej vetë ndërprerjes së lidhjeve. Ky veprim e lë CryptoBilis pa dy partnerë të mëdhenj të markës, të paktën për tani.
Ky është një reagim i shpejtë. Marrëveshjet e rishitësve zakonisht nuk shkëputen të njëjtën javë kur publikohet një raport sigurie, veçanërisht kur rishitësi nuk është akuzuar se i ka ndërtuar vetë implantet. Por kur kategoria e produktit është portofolë harduerikë — ku e gjithë premisa është që çelësat tuaj nuk prekin kurrë internetin — një rishitës i kapur duke dërguar radio LTE brenda kutisë është një problem reputacioni me të cilin asnjë partner nuk dëshiron të ulet pranë.
Nga kanë ardhur pajisjet
Ajo që mbetet e paqartë është se si implantet hynë në zinxhirin e furnizimit. Raporti i Ledger përshkruan harduerin LTE por nuk emëron një prodhues ose një vend origjine. CryptoBilis nuk është shprehur nëse njësitë u manipuluan para ose pasi arritën në inventarin e tij. Derisa dikush t'i përgjigjet kësaj, çdo rishitës në hapësirën e portofolave harduerikë ka një pyetje të hapur në duar: a mund të provoni se pajisja në kuti është pajisja që doli nga fabrika?
Për përdoruesit që blenë një portofol përmes CryptoBilis, këshilla praktike është e thjeshtë dhe e pakëndshme — trajtoni çdo frazë rikuperimi të futur në atë pajisje si të ekspozuar. Zhvendosja e fondeve në një farë të sapogjeneruar në harduer nga një shitës pa lidhje me rishitësin është pastrimi standard, megjithëse asnjë nga kompanitë e përfshira nuk ka lëshuar udhëzime formale ende.
Problemi i rishitësit
Prodhuesit e portofolave harduerikë kanë kaluar vite duke u thënë klientëve të blejnë direkt ose nga partnerë të autorizuar. CryptoBilis ishte një nga ata partnerë për Trezor dhe OneKey deri këtë javë. Kjo është pjesa e pakëndshme e historisë: manipulimi nuk ndodhi në një rrugicë të errët, ndodhi brenda kanalit ku vetë shitësit i drejtuan klientët.
As Trezor dhe as OneKey nuk kanë thënë nëse do të auditojnë rishitës të tjerë. Ledger nuk ka treguar nëse planifikon të publikojë një analizë teknike më të plotë. CryptoBilis, nga ana e tij, është heshtur që nga ndalimi i shitjeve — dhe pyetja se sa portofolë të kompromentuar janë tashmë në sirtarët e njerëzve nuk ka ende një përgjigje.
