MediaMarktSaturn đã rút ví phần cứng Ledger khỏi việc bán, nhà bán lẻ xác nhận, sau khi các báo cáo về việc can thiệp sản phẩm xuất hiện. Ledger cho biết họ đang điều tra những báo cáo đó và vấn đề vượt ra ngoài CryptoBilis, một nhà phân phối ở Đông Nam Á.
Động thái này khiến MediaMarktSaturn, một trong những chuỗi điện tử tiêu dùng lớn nhất châu Âu, trở thành nhà bán lẻ lớn đầu tiên ở phương Tây ngừng bán thiết bị Ledger vì lo ngại về chuỗi cung ứng. Đối với một công ty mà toàn bộ lời chào hàng là khóa riêng tư của bạn không bao giờ rời khỏi chip bảo mật, việc một đối tác bán lẻ rút lui là một vấn đề nghiêm trọng.
MediaMarktSaturn thực sự đã làm gì
Nhà bán lẻ đã gỡ sản phẩm Ledger khỏi việc bán. Họ chưa nói liệu việc rút này là tạm thời hay vĩnh viễn. Chưa có tuyên bố nào về việc liệu khách hàng hiện tại có được hoàn tiền hoặc thay thế hay không, và cũng không có thông tin về những mẫu Ledger cụ thể nào bị ảnh hưởng.
MediaMarktSaturn vận hành các cửa hàng trên khắp nước Đức và các thị trường châu Âu khác. Đây là một kênh có doanh số cao cho điện tử tiêu dùng, và ví phần cứng nằm trên kệ ngay cạnh máy tính xách tay và phụ kiện điện thoại. Đó chính là điểm mấu chốt của phân phối bán lẻ đối với Ledger — nó đưa việc tự lưu trữ đến trước những người chưa phải là dân chuyên crypto. Mất đi không gian kệ hàng đó là một đòn đau.
Cuộc điều tra của Ledger vượt ra ngoài một nhà phân phối
Ledger đang điều tra các báo cáo về việc can thiệp vào sản phẩm của mình vượt ra ngoài CryptoBilis. CryptoBilis là một nhà phân phối Đông Nam Á đã được liên kết với các thiết bị Ledger bị can thiệp. Công ty chưa cho biết có bao nhiêu đơn vị bị ảnh hưởng, thị trường nào bị tác động, hoặc cách thức can thiệp được thực hiện.
Phần cuối đó rất quan trọng. Can thiệp ví phần cứng thường có nghĩa là ai đó đã chặn một thiết bị trước khi nó đến tay người mua và thay thế bằng firmware bị xâm phạm, hoặc cài sẵn một cụm từ khôi phục (seed phrase) mà kẻ tấn công đã biết. Ledger chưa mô tả phương thức trong trường hợp này. Công ty cũng chưa nói liệu các thiết bị được bán qua MediaMarktSaturn có nằm trong số đang bị điều tra hay không.
Không có mốc thời gian cho việc điều tra sẽ kết thúc khi nào. Không có danh sách công khai các số sê-ri bị ảnh hưởng. Không có xác nhận về việc liệu vấn đề chỉ giới hạn ở các kênh phân phối bên thứ ba hay lan rộng hơn lên chuỗi cung ứng.
Tại sao việc rút hàng khỏi kệ bán lẻ lại là vấn đề lớn hơn một bài blog
Ledger đã dành nhiều năm để chống lại nhận thức rằng việc tự lưu trữ quá phức tạp và quá rủi ro đối với người bình thường. Phân phối bán lẻ được cho là sẽ giải quyết một nửa vấn đề đó. Khi một chuỗi như MediaMarktSaturn rút sản phẩm, đó là dấu hiệu cho thấy rủi ro không còn là lý thuyết nữa — ít nhất là đối với người mua đang cân nhắc giữa ví phần cứng và để tiền của họ trên sàn giao dịch.
MediaMarktSaturn chưa giải thích lý do của mình ngoài các báo cáo về can thiệp. Các nhà bán lẻ hiếm khi rút sản phẩm mà không có áp lực pháp lý hoặc trách nhiệm nào đó. Liệu áp lực đó đến từ khiếu nại của khách hàng, cơ quan quản lý, hay nhóm rủi ro của chính MediaMarktSaturn thì không rõ.
Những gì vẫn chưa được giải quyết
Ledger chưa công bố danh sách các thiết bị bị ảnh hưởng và chưa cho biết người mua có thể kiểm tra xem thiết bị của họ có an toàn hay không. CryptoBilis chưa phản hồi công khai về cuộc điều tra rộng hơn. MediaMarktSaturn chưa nói liệu họ có nhập lại thiết bị Ledger sau khi cuộc điều tra kết thúc hay không.
Điều cụ thể tiếp theo cần theo dõi là kết quả điều tra của Ledger — cụ thể là phạm vi. Nếu việc can thiệp vượt ra ngoài một nhà phân phối Đông Nam Á duy nhất, công ty sẽ phải giải thích cách nó lan đến các thị trường khác và họ đang làm gì để ngăn chặn. Cho đến khi có kết quả, mọi thiết bị Ledger nằm trong kho hoặc trên kệ đều đang trong tình trạng lấp lửng.
