Ledger підтвердила наявність несанкціонованого апаратного імпланту щонайменше в одному пристрої, проданому CryptoBilis — реселером із Південно-Східної Азії. Згідно із заявою компанії від понеділка, скомпрометований пристрій пов'язують із втратами криптовалюти в реселера. Ledger стверджує, що підтверджені випадки імпланту обмежені, а її внутрішні системи залишаються неушкодженими.
Що насправді продав CryptoBilis
CryptoBilis діє як реселер у Південно-Східній Азії, постачаючи апаратні гаманці Ledger клієнтам у регіоні. Пристрій, що опинився в центрі уваги, — це одиничний екземпляр, а не виробнича партія і не серія, знята з конвеєра. Формулювання Ledger навмисне обережне: «щонайменше один пристрій», «підтверджені випадки обмежені». Це не те саме, що сказати, ніби він лише один. Це означає, що компанія наразі підтвердила один випадок і не виключає інших.
Втрати, пов'язані з цим пристроєм, є втратами криптовалюти, тобто чиїсь монети зникли. Ledger не називає суму, і на цьому етапі незрозуміло, чи постраждалий клієнт втратив мало чи багато. Зрозуміло одне: імплант не походить із власного виробництва Ledger — його було впроваджено десь між заводом і руками покупця.
Чому реселер є слабкою ланкою
Апаратні гаманці настільки надійні, наскільки надійний ланцюг постачання, що їх доставляє. Ledger відвантажує пристрої запечатаними; реселери отримують ці запечатані коробки й передають їх далі. Якщо хтось із доступом до запасів відкриває коробку, замінює плату на скомпрометовану та знову запечатує упаковку, кінцевий користувач не має очевидного способу це помітити, доки кошти не почнуть рухатися.
Саме такий сценарій тут, принаймні в загальних рисах. Несанкціонований імплант у пристрої, проданому стороннім реселером, вказує на втручання поза межами Ledger. Компанія наголошує, що її внутрішні системи — сервери, конвеєр прошивок, інфраструктура, що підтримує Ledger Live та автентифікацію пристроїв — не були порушені. Тож це не злам Ledger. Це фізична компрометація екземпляра, який пройшов через чужі руки, перш ніж потрапити до клієнта.
Втрати й те, про що Ledger мовчить
Втрати криптовалюти, пов'язані з пристроєм, підтверджено, але деталей обмаль. Суму не розкрито. Не вказано й часові рамки, коли ці втрати сталися. І поки що немає інформації, чи було відшкодовано збитки постраждалому користувачу. Публічна позиція Ledger полягає в тому, що підтверджені випадки обмежені — фраза, яка виконує дві функції одночасно: заспокоює ширшу базу користувачів і залишає простір для появи нових випадків у міру продовження розслідування.
Для тих, хто купив Ledger через CryptoBilis, практичне питання полягає в тому, чи був їхній конкретний пристрій скомпрометований. Ledger не оголосила ні відкликання партії, ні списку серійних номерів, ні програми заміни. Без цього покупці через реселерський канал залишаються сам на сам із перевіркою власних пристроїв і очікуванням.
Що буде далі
Наступний конкретний крок — це докладніша заява Ledger про те, як було виявлено імплант і що це означає для інших пристроїв, проданих через того ж реселера. Сьогодні підтверджені випадки обмежені. Чи зросте їхня кількість, залежить від того, що виявить розслідування, і від того, чи зможе CryptoBilis відзвітувати за кожен проданий пристрій.
Наразі пряма порада залишається тією ж, яку виробники апаратних гаманців повторюють роками: купуйте у виробника або в авторизованого джерела, якому довіряєте, і перевіряйте свій пристрій, перш ніж надсилати на нього кошти. Ця порада не запобігла цьому інциденту. Але це єдиний захист, який має користувач, коли коробка в його руках походить із чужої полиці.
