Kriptovaliutų aparatinės piniginės gamintoja „Ledger“ patvirtino, kad dalyje įrenginių, parduotų per platintoją CryptoBilis, aptiktas fizinis implantas. Pasak bendrovės saugumo komandos „Donjon“, jis įrenginio pradinės sąrankos metu gali nuskaityti ekrane rodomą 24 žodžių atkūrimo frazę ir perduoti ją per mobilųjį ryšį.
„Ledger“ teigimu, implantas nėra susijęs su paties įrenginio programinės įrangos pakeitimais: nebuvo modifikuotas saugusis lustas ir „Ledger“ operacinė sistema, taip pat nebuvo tiesiogiai keičiami pasirašomi pervedimai ar parašai. Vis dėlto pavogta atkūrimo frazė yra kritinis pažeidimas, nes suteikia galimybę perimti kriptoturto valdymą be papildomo vartotojo patvirtinimo.
Bendrovė šį patvirtinimą pateikė po to, kai viešojoje erdvėje pasirodė informacija apie lėšų praradimus, siejamus su per CryptoBilis įsigytais įrenginiais. „Ledger“ pabrėžia, kad internete platinami nuostolių dydžiai yra trečiųjų šalių vertinimai, o galutinis paveiktų vartotojų skaičius ir bendra suma kol kas nėra patikrinti.
„Internete cirkuliuojantys skaičiai yra trečiųjų šalių, o „Ledger“ jų dar pilnai nepatikrino“, – sakė bendrovė savo pranešime.
„Ledger“ taip pat nurodė neturinti požymių, kad būtų pažeista jos infrastruktūra, vidinės sistemos ar paslaugos. Anot bendrovės, problema yra susijusi su konkrečiais tiekimo grandinės ir perpardavimo kanalų atvejais, todėl CryptoBilis paprašyta laikinai sustabdyti prekybą ir siuntas, kol bus baigtas aparatinės įrangos tyrimas.
Poveikis prekybai Europoje
Atskirai pranešta, kad „MediaMarkt Saturn“ nuo spalio 13 dienos sustabdė „Ledger“ įrenginių pardavimą tiek fizinėse parduotuvėse, tiek internetu Europoje. Sprendimas priimtas po kliento Vokietijoje pranešimo apie aptiktą įtartiną modifikaciją, nors šiame konkrečiame atvejyje apie lėšų praradimą nepranešta.
Situacija dar kartą primena pagrindinę taisyklę kriptoturto saugumo srityje: atkūrimo frazė turi likti tik pas vartotoją ir niekada negali būti fotografuojama, siunčiama ar įvedama į nepatikimas sistemas. Jei kyla įtarimų dėl įrenginio autentiškumo, ekspertai rekomenduoja jo nenaudoti, nefiksuoti slaptų duomenų ekrane ir dėl tolimesnių veiksmų pirmiausia koordinuoti sprendimus su teisėsauga.
Ką daro rinka ir gamintojai
Incidentas paskatino ir kitus aparatinės piniginės gamintojus griežtinti perpardavėjų kontrolę. Pavyzdžiui, „Trezor“ nurodė neturinti duomenų apie paveiktus savo įrenginius, tačiau prevenciškai pašalino CryptoBilis iš savo platintojų sąrašo ir pranešė peržiūrinti platinimo tinklą.
Kita bendrovė „OneKey“ taip pat paskelbė nutraukusi CryptoBilis įgaliojimus ir pradėjusi platesnį partnerių patikrinimą. Pasak įmonės, daliai per šį pardavėją įsigytų įrenginių siūlomas nemokamas pakeitimas, siekiant sumažinti riziką vartotojams.