MediaMarktSaturn вилучив з продажу апаратні гаманці Ledger, підтвердив рітейлер, після появи повідомлень про втручання в продукти. Ledger заявляє, що наразі розслідує ці повідомлення і що проблема виходить за межі CryptoBilis — дистриб'ютора з Південно-Східної Азії.
Цей крок робить MediaMarktSaturn, одну з найбільших мереж побутової електроніки в Європі, першим великим західним рітейлером, який припинив продаж пристроїв Ledger через побоювання щодо ланцюга поставок. Для компанії, чия головна обіцянка полягає в тому, що ваші приватні ключі ніколи не залишають захищений чіп, відхід роздрібного партнера є серйозною проблемою.
Що насправді зробив MediaMarktSaturn
Рітейлер зняв продукти Ledger з продажу. Він не повідомив, чи це вилучення є тимчасовим чи постійним. Наразі немає заяви про те, чи можуть існуючі клієнти отримати повернення коштів або заміну, і немає інформації про те, які саме моделі Ledger постраждали.
MediaMarktSaturn управляє магазинами по всій Німеччині та інших європейських ринках. Це канал з великим обсягом продажів побутової електроніки, і апаратні гаманці стоять на полиці поруч із ноутбуками та аксесуарами для телефонів. У цьому й сенс роздрібного розповсюдження для Ledger — це ставить самостійне зберігання перед людьми, які ще не є досвідченими користувачами криптовалют. Втрата цього місця на полиці болюча.
Розслідування Ledger ширше, ніж один дистриб'ютор
Ledger розслідує повідомлення про втручання в його продукти, які виходять за межі CryptoBilis. CryptoBilis — це дистриб'ютор з Південно-Східної Азії, який пов'язують із скомпрометованими пристроями Ledger. Компанія не повідомила, скільки пристроїв задіяно, які ринки постраждали або як було здійснено втручання.
Останнє має значення. Втручання в апаратний гаманець зазвичай означає, що хтось перехопив пристрій до того, як він потрапив до покупця, і замінив прошивку на скомпрометовану або попередньо завантажив сід-фразу, яку атакуючий уже знає. Ledger не описав метод у цьому випадку. Він також не повідомив, чи пристрої, продані через MediaMarktSaturn, входять до тих, що розслідуються.
Немає термінів завершення розслідування. Немає публічного списку постраждалих серійних номерів. Немає підтвердження, чи проблема обмежується каналами стороннього розповсюдження, чи сягає далі в ланцюгу поставок.
Чому вилучення з роздрібної полиці — це більша проблема, ніж допис у блозі
Ledger роками боровся з уявленням, що самостійне зберігання є занадто складним і занадто ризикованим для звичайних людей. Роздрібне розповсюдження мало вирішити половину цієї проблеми. Коли така мережа, як MediaMarktSaturn, знімає продукт, це сигналізує, що ризик більше не є теоретичним — принаймні не для покупця, який вибирає між апаратним гаманцем і залишенням своїх монет на біржі.
MediaMarktSaturn не пояснив своїх мотивів, окрім повідомлень про втручання. Рітейлери рідко знімають продукти без певного юридичного тиску або тиску щодо відповідальності. Чи це сталося через скарги клієнтів, регулятора чи власної команди з управління ризиками MediaMarktSaturn — незрозуміло.
Що ще не вирішено
Ledger не опублікував список постраждалих пристроїв і не повідомив, як покупці можуть перевірити, чи їхній пристрій безпечний. CryptoBilis публічно не відповів на ширше розслідування. MediaMarktSaturn не повідомив, чи відновить продаж пристроїв Ledger після завершення перевірки.
Наступне конкретне, за чим варто стежити, — це результати розслідування Ledger, зокрема його масштаб. Якщо втручання вийшло за межі одного дистриб'ютора з Південно-Східної Азії, компанії доведеться пояснити, як воно потрапило на інші ринки і що вона робить, щоб це зупинити. До того моменту кожен пристрій Ledger, що лежить на складі або на полиці, перебуває в невизначеності.
