Hvad Ledger har bekræftet, dag for dag
Ledger bekræftede den 10. oktober 2026, at en berørt brugers enhed indeholdt et uautoriseret hardwareimplantat, og siger, at hvert bekræftet tilfælde kan spores til enheder solgt via én sydøstasiatisk forhandler, CryptoBilis.
| Dato | Hvad der skete |
|---|---|
| 16. september | Forskere siger, at de har vist implantatet i Ledger-enheder siden denne dato, med manipulerede enheder til salg for næsten halv pris |
| 9. oktober | Ledger indleder en undersøgelse efter brugeres meldinger om tab og beder CryptoBilis stoppe salg og forsendelse af Ledger-enheder |
| 10. oktober | Ledger bekræfter, at "en af de berørte brugeres enheder indeholdt et uautoriseret hardwareimplantat" |
| 11. oktober | Ledger siger, at alle bekræftede tilfælde er enheder solgt via CryptoBilis, og at antallet er "begrænset" |
Ledger siger, at det ikke har tegn på, at egne systemer eller tjenester er kompromitteret, og The Verge skriver, at der ikke er tegn på, at wallets købt direkte hos Ledger er berørt. Ledger har ikke sagt, hvordan eller hvornår der blev pillet ved dem, eller hvor mange enheder der har et implantat.
Sådan virker implantatet
Den tidligere Mt. Gox-chef Mark Karpelès offentliggjorde et foto af implantatet i en Ledger Nano X. Han siger, at det sidder bag skærmen, opfanger skærmvisningen og knaptrykkene for at udlede seed-frasen og sender den til angriberen via LTE gennem et eSIM.
Tibane Labs, et kryptoforskningsstudie, bekræftede fundet og beskrev to varianter. Den ene passer ind ved at udskifte det originale batteri med et mindre, der forsyner både wallet og implantat. Den anden kører på det originale batteri og sidder i skumpolstringen under OLED-skærmen. Kortet er et professionelt fremstillet fleksibelt kredsløb, ifølge forskerne ikke et håndlavet unikum, og i begge varianter røbede antennekablet indgrebet.
Tibane fik sine to enheder fra Amazon Japan, fra en kinesisk sælger, der sendte fra Malaysia, og fra Yahoo! Auctions Japan. Karpelès siger, at hans kom via en kendt platform og en kinesisk sælger, ikke via Ledgers anbefalede kanaler, og han nævnte ikke CryptoBilis. Ledger har ikke bekræftet, at implantatet forklarer hver tømning.
Hvor stort tabet er, og hvem der tæller
Ingen har verificeret tabene: tre skøn fra blockchainen ligger mellem 86 millioner og omkring 93 millioner dollar, og Ledger har ikke bekræftet nogen af dem.
| Skøn | Kilde | Omfang |
|---|---|---|
| Over 86 millioner dollar | Blockchain-efterforskeren Specter | Hundreder af wallets |
| Omkring 92,9 millioner dollar | Bitquery | 311 wallets på fem chains |
| Omkring 93,4 millioner dollar | Yfarmx | 471 adresser |
Kunder, der købte via CryptoBilis i Indonesien, Malaysia og Filippinerne, blev meldt som berørt. Et ubekræftet opslag på X påstår, at en Ledger købt hos MediaMarkt i Europa også kan være manipuleret. Ledger har ikke bekræftet det, og brugere, der undersøger billederne, er uenige: nogle siger, at kortet ikke ligner en ægte Ledger, andre ser ikke det samme ekstra implantat. MediaMarkt er officiel Ledger-forhandler på flere europæiske markeder, blandt andet Tyskland og Østrig.
Hvad en køber af sikkerhedshardware bør gøre
En manipuleret sikkerhedsenhed sætter enhver kontrol ud af kraft, der kører på den, for kontrollen kører på hardware, angriberen allerede har i hånden. Ledgers eget Genuine Check kan ikke opdage et tilføjet implantat, hvis det oprindelige Secure Element er intakt, så en bestået test beviser lidt.
Køb hos producenten eller hos en forhandler, du selv har verificeret på producentens eget websted. Ledger fraråder uautoriserede forhandlere og siger til forhandlere, at de kun må købe ind via autoriserede kanaler og aldrig sætte returnerede produkter på lager igen. De rapporter, vi har læst, afgør ikke, om CryptoBilis stod på Ledgers liste, så køb direkte til en enhed, der beskytter virksomhedens penge.
Brug aldrig en enhed, der ankommer med en gendannelsesfrase, der allerede er trykt eller skrevet. CryptoBilis' egen advarsel siger, at frasen skal genereres af enheden under opsætningen og skrives ned af brugeren. Ledger råder alle, der købte hos denne forhandler, til ikke at starte opsætningen eller, hvis den er gjort, til at flytte aktiver til en ny signer med et nyt seed. Ledger siger, at det aldrig vil bede om din frase på 24 ord.
Brug samme rutine på tokens, HSM'er og netværksudstyr: notér serienumre ved modtagelsen, åbn emballagen sammen med en anden og se en pris omkring halvdelen af listeprisen som et fund, ikke som et godt køb.
Læs videre: Nvidia gør Hugging Face til en flaskehals | AMD runder 30 procent i hvert eneste x86-segment
