Ledger พบอุปกรณ์ฝังตัวที่ไม่ได้รับอนุญาตในอุปกรณ์ที่ขายโดยตัวแทนจำหน่าย CryptoBilis

Ledger ยืนยันการพบอุปกรณ์ฝังตัวฮาร์ดแวร์ที่ไม่ได้รับอนุญาตในอุปกรณ์อย่างน้อยหนึ่งเครื่องที่ขายโดย CryptoBilis ซึ่งเป็นตัวแทนจำหน่ายในเอเชียตะวันออกเฉียงใต้ หน่วยที่ถูกบุกรุกนี้เชื่อมโยงกับการสูญเสียคริปโตที่ตัวแทนจำหน่ายตามคำแถลงของบริษัทเมื่อวันจันทร์ Ledger กล่าวว่ากรณีที่ยืนยันการฝังตัวมีจำนวนจำกัด และระบบภายในของบริษัทยังไม่ได้รับผลกระทบ

CryptoBilis ขายอะไรจริงๆ

CryptoBilis ดำเนินธุรกิจเป็นตัวแทนจำหน่ายในเอเชียตะวันออกเฉียงใต้ โดยจัดส่งกระเป๋าเงินฮาร์ดแวร์ Ledger ให้กับลูกค้าในภูมิภาคนี้ อุปกรณ์ที่เป็นศูนย์กลางของเรื่องนี้คือเครื่องเดียว — ไม่ใช่การผลิตเป็นล็อต ไม่ใช่ชุดที่ถูกดึงออกจากสายการผลิต ถ้อยคำของ Ledger จงใจเลือกใช้: "อย่างน้อยหนึ่งเครื่อง" "กรณีที่ยืนยันมีจำนวนจำกัด" นั่นไม่เหมือนกับการบอกว่ามีเพียงเครื่องเดียว แต่หมายความว่าบริษัทตรวจสอบยืนยันได้หนึ่งเครื่องจนถึงตอนนี้ และไม่ตัดความเป็นไปได้ว่าจะมีมากกว่านั้น

ความสูญเสียที่เชื่อมโยงกับอุปกรณ์นี้คือความสูญเสียคริปโต หมายความว่าเหรียญของใครบางคนหายไป Ledger ไม่ได้ระบุตัวเลข และในขั้นนี้ยังไม่ชัดเจนว่าลูกค้าที่ได้รับผลกระทบสูญเสียน้อยหรือมาก สิ่งที่ชัดเจนคือการฝังตัวไม่ได้มาจากการผลิตของ Ledger เอง — มันถูกแทรกเข้ามาที่ไหนสักแห่งระหว่างโรงงานกับมือของผู้ซื้อ

ทำไมตัวแทนจำหน่ายจึงเป็นจุดอ่อน

กระเป๋าเงินฮาร์ดแวร์จะดีได้เพียงเท่าห่วงโซ่อุปทานที่ส่งมอบมันมา Ledger จัดส่งอุปกรณ์ที่ปิดผนึกไว้ ตัวแทนจำหน่ายได้รับกล่องที่ปิดผนึกเหล่านั้นและส่งต่อ หากผู้ที่มีสิทธิ์เข้าถึงสินค้าคงคลังเปิดกล่อง เปลี่ยนแผงวงจรที่ถูกบุกรุกเข้าไป และปิดผนึกบรรจุภัณฑ์ใหม่ ผู้ใช้ปลายทางก็ไม่มีทางรู้ได้ชัดเจนจนกว่าเงินจะถูกเคลื่อนย้าย

นั่นคือสถานการณ์ในที่นี้ อย่างน้อยก็ในเค้าโครง การฝังตัวที่ไม่ได้รับอนุญาตในอุปกรณ์ที่ขายโดยตัวแทนจำหน่ายบุคคลที่สามชี้ไปที่การถูกแทรกแซงนอกกำแพงของ Ledger เอง บริษัทเน้นย้ำว่าระบบภายใน — เซิร์ฟเวอร์, ไปป์ไลน์เฟิร์มแวร์, โครงสร้างพื้นฐานที่รองรับ Ledger Live และการยืนยันตัวตนอุปกรณ์ — ไม่ได้ถูกแตะต้อง ดังนั้นนี่ไม่ใช่การแฮ็ก Ledger แต่เป็นการบุกรุกทางกายภาพของหน่วยที่ผ่านมือคนอื่นก่อนถึงมือลูกค้า

ความสูญเสีย และสิ่งที่ Ledger ไม่ได้บอก

ความสูญเสียคริปโตที่เชื่อมโยงกับอุปกรณ์ได้รับการยืนยันแล้ว แต่รายละเอียดยังมีน้อย ไม่มีการเปิดเผยตัวเลข ไม่มีกรอบเวลาว่าความสูญเสียเหล่านั้นเกิดขึ้นเมื่อใด และยังไม่มีคำตอบว่าผู้ใช้ที่ได้รับผลกระทบได้รับการชดเชยหรือไม่ แถลงการณ์สาธารณะของ Ledger คือกรณีที่ยืนยันมีจำนวนจำกัด — วลีที่ทำหน้าที่สองอย่างพร้อมกัน: สร้างความมั่นใจให้ฐานผู้ใช้โดยรวม และเปิดช่องให้มีกรณีเพิ่มเติมปรากฏขึ้นขณะการสอบสวนดำเนินต่อไป

สำหรับใครก็ตามที่ซื้อ Ledger ผ่าน CryptoBilis คำถามในทางปฏิบัติคือหน่วยของพวกเขาถูกแทรกแซงหรือไม่ Ledger ยังไม่ได้ประกาศเรียกคืนเป็นล็อต รายการหมายเลขซีเรียล หรือโครงการเปลี่ยนเครื่อง หากไม่มีสิ่งเหล่านั้น ผู้ซื้อผ่านช่องทางตัวแทนจำหน่ายก็ได้แต่ตรวจสอบอุปกรณ์ของตนเองและรอ

จากนี้ไปจะเป็นอย่างไร

ขั้นตอนที่เป็นรูปธรรมต่อไปคือ Ledger ต้องเปิดเผยมากขึ้นว่าการฝังตัวถูกตรวจพบได้อย่างไร และมันหมายความว่าอย่างไรสำหรับอุปกรณ์อื่นที่ขายผ่านตัวแทนจำหน่ายรายเดียวกัน กรณีที่ยืนยันมีจำนวนจำกัดในวันนี้ ตัวเลขนั้นจะเพิ่มขึ้นหรือไม่ขึ้นอยู่กับสิ่งที่การสอบสวนค้นพบ — และขึ้นอยู่กับว่า CryptoBilis สามารถชี้แจงทุกหน่วยที่ขายไปได้หรือไม่

สำหรับตอนนี้ คำแนะนำโดยตรงยังคงเป็นสิ่งที่ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์ย้ำมาหลายปี: ซื้อจากผู้ผลิตหรือแหล่งที่เชื่อถือได้ซึ่งได้รับอนุญาต และตรวจสอบอุปกรณ์ของคุณก่อนส่งเงินใดๆ เข้าไป คำแนะนำนั้นไม่ได้หยุดยั้งเหตุการณ์นี้ แต่เป็นเพียงการป้องกันเดียวที่ผู้ใช้มีเมื่อกล่องในมือมาจากชั้นวางของคนอื่น