Ledger har detaljerat hur LTE-aktiverade implantat gömda inuti hårdvaruplånböcker kan exponera användarnas återställningsfraser. Avslöjandet fick CryptoBilis att stoppa försäljningen av plånböcker som innehöll spionimplantaten. Trezor och OneKey har båda brutit banden med återförsäljaren.
Vad implantaten gör
Implantaten använder LTE-anslutning för att i tysthet överföra plånbokens återställningsfraser när en enhet har ställts in och fyllts på med medel. Ledgers rapport förklarar att den komprometterade hårdvaran ser ut och beter sig som en vanlig plånbok tills den aktiveras. Den återställningsfrasen är den enda sårbarheten i varje självförvaringslösning, så en tyst exfiltreringsväg är ungefär så illa det blir.
CryptoBilis, som sålde de drabbade enheterna, slutade sälja plånböcker med implantaten efter Ledgers avslöjande. Återförsäljaren har inte offentligt sagt hur många enheter som nådde kunder eller var den modifierade hårdvaran kom ifrån.
Trezor och OneKey lämnar
Trezor och OneKey avslutade båda sina relationer med CryptoBilis. Ingen av tillverkarna har publicerat ett uttalande om beslutet utöver själva brytningen. Draget lämnar CryptoBilis utan två stora varumärkespartner, åtminstone för närvarande.
Det är en snabb reaktion. Återförsäljaravtal brukar inte rivas upp samma vecka som en säkerhetsrapport publiceras, särskilt inte när återförsäljaren inte har anklagats för att själv ha byggt implantaten. Men när produktkategorin är hårdvaruplånböcker – där hela säljargumentet är att dina nycklar aldrig når internet – är en återförsäljare som ertappas med att skeppa LTE-radios inuti höljet ett rykteproblem som ingen partner vill sitta bredvid.
Var enheterna kom ifrån
Vad som fortfarande är oklart är hur implantaten hamnade i leveranskedjan. Ledgers rapport beskriver LTE-hårdvaran men namnger ingen tillverkare eller ursprungsland. CryptoBilis har inte kommenterat huruvida enheterna manipulerades före eller efter att de nådde deras lager. Tills någon svarar på det har varje återförsäljare inom hårdvaruplånboksbranschen en öppen fråga på sina händer: kan du bevisa att enheten i lådan är den enhet som lämnade fabriken?
För användare som köpte en plånbok via CryptoBilis är det praktiska rådet enkelt och obehagligt – behandla varje återställningsfras som angetts på den enheten som exponerad. Att flytta medel till en nygenererad seed på hårdvara från en tillverkare utan koppling till återförsäljaren är den vanliga saneringen, även om ingen av de inblandade företagen ännu har utfärdat formell vägledning.
Återförsäljarproblemet
Tillverkare av hårdvaruplånböcker har i åratal uppmanat kunder att köpa direkt eller från auktoriserade partner. CryptoBilis var en av dessa partner för Trezor och OneKey fram till denna vecka. Det är den obekväma delen av historien: manipuleringen skedde inte i en mörk gränd, den skedde inom den kanal som tillverkarna själva hänvisade kunder till.
Varken Trezor eller OneKey har sagt om de kommer att granska andra återförsäljare. Ledger har inte antytt om de planerar att publicera en mer fullständig teknisk analys. CryptoBilis har i sin tur varit tysta sedan de stoppade försäljningen – och frågan om hur många komprometterade plånböcker som redan ligger i folks byrålådor har ännu inget svar.
