Ledger, donanım cüzdanlarının içine gizlenen LTE destekli implantların kullanıcıların kurtarma ifadelerini nasıl açığa çıkarabileceğini ayrıntılı olarak açıkladı. Bu ifşa, CryptoBilis'in casus implantları içeren cüzdanların satışını durdurmasına yol açtı. Trezor ve OneKey, her ikisi de bu satıcıyla bağlarını kesti.
İmplantlar ne yapıyor
İmplantlar, bir cihaz kurulup fonlandıktan sonra cüzdan kurtarma ifadelerini sessizce iletmek için LTE bağlantısını kullanıyor. Ledger'ın yazısı, ele geçirilmiş donanımın etkinleştirilene kadar normal bir cüzdan gibi göründüğünü ve davrandığını açıklıyor. Bu kurtarma ifadesi, herhangi bir öz saklama kurulumu için tek hata noktasıdır, bu nedenle sessiz bir sızdırma yolu, olabilecek en kötü senaryodur.
Etkilenen cihazları satan CryptoBilis, Ledger'ın ifşasından sonra implantlı cüzdanların satışını durdurdu. Satıcı, kaç birimin müşterilere ulaştığını veya değiştirilmiş donanımın nereden geldiğini kamuoyuna açıklamadı.
Trezor ve OneKey ayrılıyor
Trezor ve OneKey, CryptoBilis ile olan ilişkilerini sonlandırdı. Hiçbir satıcı, bağlantının kendisinin ötesinde bu kararla ilgili bir açıklama yayınlamadı. Bu hamle, en azından şimdilik CryptoBilis'i iki büyük marka ortağından yoksun bırakıyor.
Bu hızlı bir yanıt. Satıcı anlaşmaları genellikle bir güvenlik raporunun yayınlandığı aynı hafta içinde yırtılıp atılmaz, özellikle de satıcı implantları kendisinin yaptığıyla suçlanmadığında. Ancak ürün kategorisi donanım cüzdanları olduğunda — ki tüm satış argümanı anahtarlarınızın asla internete dokunmadığıdır — kasasının içinde LTE radyoları gönderirken yakalanan bir satıcı, hiçbir ortağın yanında oturmak istemeyeceği bir itibar sorunudur.
Cihazlar nereden geldi
Hâlâ net olmayan şey, implantların tedarik zincirine nasıl girdiğidir. Ledger'ın raporu LTE donanımını tanımlıyor ancak bir üretici veya menşe ülke adı vermiyor. CryptoBilis, birimlerin envanterine ulaşmadan önce mi yoksa sonra mı kurcalandığına dair bir açıklama yapmadı. Biri bunu yanıtlayana kadar, donanım cüzdan alanındaki her satıcının elinde açık bir soru var: kutudaki cihazın fabrikadan çıkan cihaz olduğunu kanıtlayabilir misiniz?
CryptoBilis aracılığıyla bir cüzdan satın alan kullanıcılar için pratik tavsiye basit ve tatsız — o cihaza girilen herhangi bir kurtarma ifadesini açığa çıkmış olarak kabul edin. Fonları, satıcıyla hiçbir bağlantısı olmayan bir tedarikçiden alınan donanım üzerinde yeni oluşturulmuş bir tohuma taşımak standart temizleme yöntemidir, ancak ilgili şirketlerin hiçbiri henüz resmi bir rehberlik yayınlamadı.
Satıcı sorunu
Donanım cüzdan üreticileri yıllardır müşterilere doğrudan veya yetkili ortaklardan satın almalarını söylüyor. CryptoBilis, bu haftaya kadar Trezor ve OneKey için bu ortaklardan biriydi. Hikayenin rahatsız edici kısmı da bu: kurcalama karanlık bir sokakta değil, satıcıların müşterileri yönlendirdiği kanalın içinde gerçekleşti.
Ne Trezor ne de OneKey diğer satıcıları denetleyip denetlemeyeceğini söyledi. Ledger, daha kapsamlı bir teknik analiz yayınlamayı planlayıp planlamadığını belirtmedi. CryptoBilis ise satışları durdurduğundan beri sessizliğe gömüldü — ve insanların çekmecelerinde kaç tane ele geçirilmiş cüzdan olduğu sorusunun henüz bir yanıtı yok.
