OneKey, CryptoBilis ile ortaklığını sona erdirerek tedarikçiyle bağlarını kopardı ve etkilenebilecek kullanıcılara ücretsiz cüzdan değişimi teklif ediyor. Donanım cüzdan üreticisi, bu kararın büyük ölçekli varlık hırsızlıklarına yol açabilecek tedarik zinciri güvenlik risklerinden kaynaklandığını belirtti.
Bu hamle, sessiz bir satıcı ilişkisini kamuya açık bir uyarıya dönüştürüyor. OneKey, tedarik zincirinin tam olarak nasıl tehlikeye girdiğini detaylandırmadı, ancak duyurusundaki dil oldukça net: riskler, tam bir bağlantı kesintisini ve şirket masrafıyla değişimleri haklı çıkaracak kadar ciddiydi.
CryptoBilis, OneKey için ne yaptı?
CryptoBilis, OneKey'in zincirinde bir tedarikçi veya ortak olarak faaliyet gösteriyordu. Bu rolün ayrıntıları duyuruda belirtilmedi. Önemli olan, OneKey'in ilişkinin devam edemeyeceğine karar vermesi ve riskin yalnızca yeni siparişlerle sınırlı olmaması. Mevcut kullanıcılara, yalnızca etkilenen kanaldan alım yapmayı durdurmaları değil, cüzdanlarını değiştirmeleri söyleniyor.
Donanım cüzdanlarındaki tedarik zinciri saldırıları özellikle tehlikelidir. Ele geçirilmiş bir cihaz, bir müşteriye ulaşmadan önce kurcalanmış olabilir, yani kullanıcının özel anahtarları ilk günden itibaren açığa çıkabilir. Cüzdan iyi görünür. İyi çalışır. Sonra fonlar kaybolur.
Ücretsiz değişimler, ancak detaylar yetersiz
OneKey, etkilenen kullanıcılara ücretsiz cüzdan değişimi sunuyor. Bir donanım cüzdan şirketi için bu doğru karar — müşterilerden kendi yaratmadıkları bir güvenlik sorununu çözmeleri için ödeme yapmalarını istemek daha zor satılabilir. Ancak duyuru bazı soruları açık bırakıyor. Kaç cüzdan kapsam dahilinde? Kullanıcılar etkilenip etkilenmediklerini nasıl bilecek? Teslim süresi ne kadar? OneKey bunları kamuya açıklamadı, en azından henüz değil.
CryptoBilis kanallarından satın alan kullanıcılar, OneKey aksini söyleyene kadar etkilenen grupta olduklarını varsaymalıdır. Şirket bir seri numarası kontrol aracı veya parti listesi yayınlamadı. Bu tür ayrıntılar genellikle ilk duyurudan sonra gelir, bu yüzden bir güncelleme bekleyin.
Donanım cüzdanları için daha büyük sorun
Donanım cüzdan üreticileri güven satar. Tüm satış argümanı, anahtarlarınızın asla internete bağlı bir cihaza dokunmamasıdır. Bir tedarik zinciri ortağı bir yükümlülük haline geldiğinde, üretici yanlış bir şey yapmamış olsa bile güven zarar görür. OneKey, hızlı hareket ederek ve değişim maliyetini üstlenerek bunun önüne geçmeye çalışıyor.
Bunun yeterli olup olmadığı hikayenin nasıl geliştiğine bağlı. Ele geçirilmiş cihazlar belirli bir parti veya bölgeyle sınırlıysa, hasar kontrol edilebilir. Maruziyet daha genişse, OneKey bağları koparmak için neden şimdiye kadar beklediğini açıklamak zorunda kalacak.
Şirket sorunu ilk ne zaman öğrendiğini söylemedi. Kullanıcıların soracağı bir sonraki soru bu ve OneKey'in başka biri yanıtlamadan önce yanıtlaması gereken soru.
