Co Ledger potwierdził, dzień po dniu
Ledger potwierdził 10 października 2026 roku, że urządzenie poszkodowanego użytkownika zawierało nieautoryzowany implant sprzętowy, i mówi, że każdy potwierdzony przypadek prowadzi do urządzeń sprzedanych przez jednego odsprzedawcę z Azji Południowo-Wschodniej, CryptoBilis.
| Data | Co się stało |
|---|---|
| 16 września | Badacze mówią, że od tej daty pokazywali implant w urządzeniach Ledger, a manipulowane egzemplarze sprzedawano za prawie połowę ceny |
| 9 października | Ledger wszczyna dochodzenie po zgłoszeniach strat od użytkowników i prosi CryptoBilis o wstrzymanie sprzedaży i wysyłki urządzeń Ledger |
| 10 października | Ledger potwierdza, że "urządzenie jednego z poszkodowanych użytkowników zawierało nieautoryzowany implant sprzętowy" |
| 11 października | Ledger mówi, że wszystkie potwierdzone przypadki to urządzenia sprzedane przez CryptoBilis, a ich liczba jest "ograniczona" |
Ledger mówi, że nie ma żadnych oznak naruszenia własnych systemów ani usług, a The Verge pisze, że nic nie wskazuje, by dotknięte były portfele kupione bezpośrednio od Ledgera. Ledger nie powiedział, jak ani kiedy doszło do manipulacji, ani ile urządzeń ma implant.
Jak działa implant
Były szef Mt. Gox Mark Karpelès opublikował zdjęcie implantu w Ledger Nano X. Mówi, że siedzi za ekranem, przechwytuje obraz z wyświetlacza i naciśnięcia przycisków, by ustalić frazę seed, i wysyła ją atakującemu przez LTE za pomocą eSIM.
Tibane Labs, studio badawcze zajmujące się kryptowalutami, potwierdziło odkrycie i opisało dwa warianty. Jeden mieści się dzięki zamianie oryginalnej baterii na mniejszą, która zasila portfel i implant. Drugi działa na oryginalnej baterii i mieści się w gąbczastej wyściółce pod ekranem OLED. Płytka to profesjonalnie wykonany obwód elastyczny, według badaczy nie ręcznie zbudowany unikat, a w obu wariantach przewód anteny zdradzał ingerencję.
Tibane zdobyło swoje dwa egzemplarze w Amazon Japan, od chińskiego sprzedawcy wysyłającego z Malezji, oraz w Yahoo! Auctions Japan. Karpelès mówi, że jego trafił przez znaną platformę i chińskiego sprzedawcę, a nie przez kanały polecane przez Ledgera, i nie wymienił CryptoBilis. Ledger nie potwierdził, że implant tłumaczy każde opróżnienie portfela.
Jak duża jest strata i kto ją liczy
Nikt nie zweryfikował strat: trzy szacunki z blockchaina mieszczą się między 86 mln a około 93 mln dolarów, a Ledger nie potwierdził żadnego.
| Szacunek | Źródło | Zakres |
|---|---|---|
| Ponad 86 mln dolarów | Śledczy blockchaina Specter | Setki portfeli |
| Około 92,9 mln dolarów | Bitquery | 311 portfeli w pięciu sieciach |
| Około 93,4 mln dolarów | Yfarmx | 471 adresów |
Jako poszkodowani zgłaszani byli klienci, którzy kupowali przez CryptoBilis w Indonezji, Malezji i na Filipinach. Niepotwierdzony wpis na X twierdzi, że Ledger kupiony w MediaMarkt w Europie też może być zmanipulowany. Ledger tego nie potwierdził, a użytkownicy oglądający zdjęcia nie są zgodni: jedni mówią, że płytka nie pasuje do oryginalnego Ledgera, inni nie widzą takiego samego dodatkowego implantu. MediaMarkt jest oficjalnym odsprzedawcą Ledgera na kilku rynkach europejskich, w tym w Niemczech i Austrii.
Co powinien zrobić kupujący sprzęt zabezpieczający
Zmanipulowane urządzenie zabezpieczające unieważnia każdą kontrolę, która na nim działa, bo kontrola działa na sprzęcie, który atakujący już trzyma w ręku. Własny Genuine Check Ledgera nie wykrywa dodanego implantu, jeśli oryginalny Secure Element jest nienaruszony, więc zaliczony test niewiele dowodzi.
Kupujcie od producenta albo od odsprzedawcy, którego sami sprawdziliście na stronie producenta. Ledger odradza nieautoryzowanych odsprzedawców, a odsprzedawcom każe zaopatrywać się tylko autoryzowanymi kanałami i nigdy nie wprowadzać ponownie do sprzedaży zwróconych produktów. Relacje, które czytaliśmy, nie rozstrzygają, czy CryptoBilis był na liście Ledgera, więc dla urządzenia chroniącego pieniądze firmy kupujcie bezpośrednio.
Nigdy nie używajcie urządzenia, które przychodzi z już wydrukowaną lub zapisaną frazą odzyskiwania. Własne ostrzeżenie CryptoBilis mówi, że fraza musi zostać wygenerowana przez urządzenie podczas konfiguracji i zapisana przez użytkownika. Ledger radzi tym, którzy kupili u tego odsprzedawcy, nie zaczynać konfiguracji albo, jeśli już ją wykonano, przenieść aktywa na nowy signer z nowym seedem. Ledger mówi, że nigdy nie poprosi o waszą frazę z 24 słów.
Zastosujcie tę samą rutynę do tokenów, HSM i sprzętu sieciowego: zapisujcie numery seryjne przy odbiorze, otwierajcie opakowanie we dwoje i cenę bliską połowie cennikowej traktujcie jak ustalenie do sprawdzenia, a nie okazję.
Czytaj dalej: Nvidia zamienia Hugging Face w wąskie gardło | AMD przekracza 30 procent w każdym segmencie x86
