Ledger детально описала, як імпланти з підтримкою LTE, приховані всередині апаратних гаманців, можуть розкрити фрази відновлення користувачів. Це розкриття змусило CryptoBilis припинити продаж гаманців із шпигунськими імплантами. Trezor і OneKey розірвали зв'язки з цим реселером.
Що роблять імпланти
Імпланти використовують LTE-з'єднання, щоб тихо передавати фрази відновлення гаманця після того, як пристрій налаштовано та поповнено. У звіті Ledger пояснюється, що скомпрометоване обладнання виглядає та поводиться як звичайний гаманець, доки його не активовано. Ця фраза відновлення є єдиною точкою відмови для будь-якої конфігурації самозберігання, тому тихий шлях витоку — це чи не найгірший сценарій.
CryptoBilis, який продавав постраждалі пристрої, припинив продаж гаманців з імплантами після розкриття Ledger. Реселер публічно не повідомив, скільки одиниць потрапило до клієнтів або звідки походить модифіковане обладнання.
Trezor і OneKey відходять
Trezor і OneKey припинили свої відносини з CryptoBilis. Жоден із виробників не опублікував заяви щодо цього рішення, окрім самого факту розриву. Цей крок залишає CryptoBilis без двох великих брендів-партнерів, принаймні наразі.
Це швидка реакція. Угоди з реселерами зазвичай не розриваються того ж тижня, коли з'являється звіт про безпеку, особливо коли реселера не звинувачують у створенні імплантів. Але коли категорія продукту — апаратні гаманці, де вся суть полягає в тому, що ваші ключі ніколи не торкаються інтернету, реселер, спійманий на постачанні LTE-радіо всередині корпусу, стає репутаційною проблемою, поруч з якою жоден партнер не хоче опинитися.
Звідки взялися пристрої
Досі незрозуміло, як імпланти потрапили в ланцюг постачання. У звіті Ledger описано LTE-обладнання, але не названо виробника чи країну походження. CryptoBilis не повідомив, чи були пристрої змінені до або після того, як потрапили на його склад. Доки хтось не відповість на це, кожен реселер у сфері апаратних гаманців має відкрите питання: чи можете ви довести, що пристрій у коробці — це той самий пристрій, який вийшов із заводу?
Для користувачів, які придбали гаманець через CryptoBilis, практична порада проста й неприємна — вважайте будь-яку фразу відновлення, введену на цьому пристрої, скомпрометованою. Переказ коштів на щойно згенерований seed на обладнанні від виробника, не пов'язаного з реселером, є стандартним заходом очищення, хоча жодна з залучених компаній ще не опублікувала офіційних рекомендацій.
Проблема реселерів
Виробники апаратних гаманців роками радять клієнтам купувати напряму або в авторизованих партнерів. CryptoBilis був одним із таких партнерів для Trezor і OneKey до цього тижня. Ось неприємна частина історії: втручання сталося не в темному провулку, а всередині каналу, на який самі виробники вказували клієнтам.
Ні Trezor, ні OneKey не повідомили, чи планують перевіряти інших реселерів. Ledger не вказала, чи має намір опублікувати повніший технічний аналіз. CryptoBilis, зі свого боку, замовк після припинення продажів — і питання, скільки скомпрометованих гаманців уже лежить у шухлядах людей, досі не має відповіді.
