Ledger ยืนยันว่าอุปกรณ์ที่ถูกบุกรุกทุกเครื่องในเหตุการณ์กระเป๋าเงินถูกดูดเงินเมื่อสัปดาห์ที่แล้ว ถูกขายผ่าน CryptoBilis ตัวแทนจำหน่ายในเอเชียตะวันออกเฉียงใต้ บริษัทเปิดเผยการค้นพบนี้เมื่อเวลา 17:13 UTC ของวันที่ 11 ตุลาคม สองวันหลังจากที่บริษัทได้เตือนครั้งแรกเกี่ยวกับการดูดเงินที่ยังดำเนินอยู่ซึ่งส่งผลกระทบต่อกระเป๋าเงินของผู้ใช้
Ledger ระบุว่าจำนวนอุปกรณ์ที่ได้รับผลกระทบมีจำกัด บริษัทไม่ได้ระบุว่ามีกี่กระเป๋าเงินที่ถูกโจมตี สูญเสียไปเท่าใด หรืออุปกรณ์ถูกบุกรุกได้อย่างไรตั้งแต่แรก
ลูกค้า CryptoBilis ควรทำอะไรตอนนี้
คำแนะนำของ Ledger แบ่งออกเป็นสองแนวทาง ขึ้นอยู่กับว่าลูกค้าได้เปิดกล่องหรือยัง
หากอุปกรณ์ยังไม่ได้ใช้งาน อย่าเริ่มต้นการตั้งค่า หากตั้งค่าเรียบร้อยแล้ว ให้ย้ายเงินไปยัง seed ใหม่บนอุปกรณ์ที่ซื้อโดยตรงจาก Ledger นั่นคือคำแนะนำของบริษัทที่ออกมาพร้อมกับการเปิดเผยข้อมูล
กระเป๋าเงินฮาร์ดแวร์ยังทำการตรวจสอบความถูกต้องทางคริปโตกราฟีที่เรียกว่า Genuine Check ซึ่งยืนยันว่า secure element ภายในอุปกรณ์เป็นของแท้ คู่มือการตรวจสอบความถูกต้องของ Ledger แนะนำให้ซื้อโดยตรงจาก Ledger หรือผ่านตัวแทนจำหน่ายและเครือข่ายตัวแทนจำหน่ายที่ได้รับอนุญาตอยู่แล้ว
CryptoBilis หยุดขายกระเป๋าเงินฮาร์ดแวร์แล้ว ตามแถลงการณ์ของ Ledger
ช่องทางของ Ledger เองไม่ได้รับผลกระทบ
Ledger กล่าวว่าระบบและช่องทางการขายตรงของบริษัทไม่ได้รับผลกระทบ ปัญหาตามที่บริษัทอธิบายนั้นอยู่ที่ตัวแทนจำหน่ายบุคคลที่สาม ไม่ใช่ห่วงโซ่อุปทานของบริษัทเอง — ความแตกต่างนี้สำคัญสำหรับผู้ใช้ที่ซื้อโดยตรงจาก Ledger
บริษัทกำลังทำงานร่วมกับหน่วยงานที่เกี่ยวข้องและติดต่อผู้ใช้ที่ได้รับผลกระทบโดยตรง
บริษัทยังให้เครดิต SEAL 911 สำหรับการสนับสนุนระหว่างการตอบสนอง และกล่าวว่ากำลังทบทวนการควบคุมตัวแทนจำหน่ายที่ได้รับอนุญาตพร้อมทั้งพัฒนาการป้องกันระดับฮาร์ดแวร์
สองคำถามที่ยังคงเปิดอยู่
อุปกรณ์ถูกบุกรุกได้อย่างไรยังไม่มีคำตอบ เช่นเดียวกับจำนวนผู้ใช้ที่สูญเสียเงิน Ledger ไม่ได้ระบุตัวเลขใด ๆ และคำว่า "จำกัด" ทำงานหนักมากในแถลงการณ์ของบริษัท
สิ่งที่ชัดเจนคือ: เส้นทางการโจมตีวิ่งผ่านช่องทางตัวแทนจำหน่าย ไม่ใช่คลังสินค้าของ Ledger เอง นั่นคือปัญหาห่วงโซ่อุปทานที่แต่งตัวเป็นปัญหาผลิตภัณฑ์ และมันสร้างคำถามที่ไม่สบายใจเกี่ยวกับขอบเขตการกำกับดูแลของผู้ผลิตที่ขยายไปถึงร้านค้าที่เคลื่อนย้ายกล่องของตนได้ไกลเพียงใด
Ledger ขอให้ผู้ที่มีข้อมูลที่เกี่ยวข้องติดต่อทีมความปลอดภัยของบริษัท และกล่าวว่ายังคงสอบสวนอยู่
มิจฉาชีพเริ่มล้อมวงแล้ว
Ledger เตือนว่าอาชญากรอาจใช้เหตุการณ์นี้เป็นข้ออ้างในการโจมตีผู้ใช้ ข้อความของบริษัทตรงไปตรงมา: บริษัทจะไม่โทรหาคุณ ไม่ส่งข้อความโดยตรง และไม่ขอวลีกู้คืน 24 คำ
บริษัทยังเตือนตัวแทนจำหน่ายและผู้จัดจำหน่ายที่ได้รับอนุญาตให้จัดหาสินค้าคงคลังผ่านช่องทางราชการเท่านั้น และห้ามนำผลิตภัณฑ์ที่ถูกส่งคืนกลับเข้าสต็อก — แนวปฏิบัติปกติที่ในกรณีนี้จะเป็นความเสี่ยงที่เกิดขึ้นจริง
Ledger เรียกร้องให้นักวิจัย ผู้จำหน่าย และอื่น ๆ ร่วมมือกันปรับปรุงความปลอดภัยในวงกว้าง
สำหรับตอนนี้ ลูกค้า CryptoBilis ที่มีกล่องปิดผนึกอยู่ได้รับคำแนะนำให้ปล่อยให้ปิดผนึกไว้ ใครก็ตามที่เริ่มต้นการตั้งค่าอุปกรณ์จากช่องทางนั้นแล้วควรถือว่า seed ถูกเผาและย้ายไปยังฮาร์ดแวร์ที่ซื้อจากที่อื่น จนกว่า Ledger จะระบุสาเหตุ นั่นคือขั้นตอนที่เป็นรูปธรรมเพียงอย่างเดียวที่ผู้ใช้มี
