Ledger har bekräftat att en sändning manipulerade hårdvaruplånböcker sålda av CryptoBilis kan passera företagets Genuine Check-verifiering. De modifierade enheterna lämnar den säkra chippen och operativsystemet orörda, vilket innebär att den vanliga integritetskontrollen returnerar ett rent resultat trots att hårdvaran har ändrats. Den inplanterade komponenten överför återställningsfraser via LTE.
Det är den delen som spelar roll. Genuine Check är verktyget som Ledger säger till användare att köra för att bekräfta att en enhet inte har manipulerats. Om det inte kan upptäcka denna modifiering är den trygghet det ger snävare än vad de flesta antar.
Vad manipuleringen faktiskt gör
Den tillagda hårdvaran sitter bredvid chippen och OS:et snarare än att ersätta eller ändra något av dem. Ledger säger att det säkra elementet och firmware förblir oförändrade. Implantatets uppgift är att fånga upp seed-fraser och skicka ut dem över en mobil dataanslutning, vilket innebär att plånboken kan se ut och bete sig normalt ända tills pengar flyttas.
Eftersom modifieringen är på hårdvarunivå och utanför chippens normala verifieringsväg har Genuine Check inget att flagga. Kontrollen autentiserar chippen. Den inspekterar inte varje komponent på kortet.
Varför Genuine Check missar det
Ledgers Genuine Check fungerar genom att verifiera det säkra elementets kryptografiska signatur. Det är ett starkt test för förfalskade chip och klonad firmware. Det är inte, och var aldrig designat för att vara, en fullständig nedmontering av den fysiska enheten. En skicklig angripare med tillgång till leveranskedjan kan lägga till kretsar som chippen aldrig ser.
Företaget har varit tydligt med att den här typen av manipulering faller utanför vad kontrollen kan utesluta. Det är ett ärligt medgivande, men det drar också en gräns för vad användare bör förvänta sig av ett verktyg som många behandlar som ett sista skyddsnät.
CryptoBilis-kopplingen
De drabbade plånböckerna såldes av CryptoBilis, en återförsäljare. Den detaljen spelar roll eftersom den pekar på ett leveranskedjeproblem snarare än en brist i Ledgers egen tillverkning. Enheter som passerar tredje part innan de når kunder är bara så pålitliga som parterna själva.
Ledger har inte sagt hur många enheter det rör sig om eller hur den komprometterade hårdvaran hamnade i CryptoBilis lager. Det är de uppenbara öppna frågorna, och företaget har ännu inte besvarat dem.
Vad detta innebär för dig som har en återförsåld Ledger
Om du köpte en Ledger från en återförsäljare istället för direkt från företaget, avgör inte ett godkänt Genuine Check saken. Det enda tillförlitliga försvaret mot ett hårdvaruimplantat är att själv generera din återställningsfras på enheten och aldrig acceptera en förinitierad plånbok. En enhet som anländer med en redan inställd seed-fras bör betraktas som komprometterad, punkt slut.
Ledgers råd har länge varit att köpa direkt och att initiera sin egen enhet. Den här episoden ger det rådet en konkret anledning snarare än en allmän.
Företaget har ännu inte sagt om det kommer att uppdatera Genuine Check för att upptäcka den här typen av modifiering, eller om det planerar att gå vidare mot CryptoBilis angående det komprometterade lagret. Tills något av detta sker är gapet mellan vad Genuine Check verifierar och vad användare tror att det verifierar det som är värt att hålla ögonen på.
