Implant w Ledgerze budzi obawy o łańcuch dostaw portfeli sprzętowych

Zespół bezpieczeństwa Donjon firmy Ledger wykrył złośliwy implant w portfelu sprzętowym sprzedawanym przez południowoazjatyckiego dystrybutora CryptoBilis. Podczas konfiguracji implant może przechwycić 24-wyrazową frazę odzyskiwania urządzenia i wysłać ją przez LTE za pomocą przygotowanej karty eSIM, narażając środki w portfelu na ryzyko. Ledger potwierdził, że problem dotyczy jednego urządzenia, i poinformował, że potwierdzone dotąd straty dotyczą portfeli sprzedanych przez CryptoBilis. Na czas trwania dochodzenia CryptoBilis wstrzymał sprzedaż urządzeń Ledger. Badacz aktywności on-chain Specter powiązał ponad 86 milionów dolarów z podejrzewanymi kradzieżami w sieciach Bitcoin, Ethereum i Tron, ale Ledger zaznaczył, że szacunki strat publikowane w internecie nie zostały jeszcze zweryfikowane. Ledger radzi kupującym, by nie konfigurowali podejrzanych urządzeń, i wzywa osoby, które już z nich korzystały, do przeniesienia środków na nowe urządzenie z nową frazą odzyskiwania. Incydent związany z portfelem sprzętowym wzbudził również szersze obawy dotyczące łańcucha dostaw. Badacz bezpieczeństwa Joe Grand ostrzegł, że wykrycie zaawansowanej fizycznej ingerencji może być trudne. Trezor stwierdził, że kontrole autentyczności i podpisane oprogramowanie układowe pomagają, ale nie wykluczają modyfikacji, oraz zapowiedział ograniczenie sieci sprzedawców. Eksperci zalecili dywersyfikację zaufania do dostawców i ulepszanie konstrukcji odpornych na manipulacje, podkreślając jednocześnie, że żaden środek nie eliminuje wszystkich zagrożeń. Ledger twierdzi, że implant nie zmienił jego Secure Element, systemu operacyjnego ani podpisów transakcji. Incydent uwidacznia zagrożenia dla bezpieczeństwa portfeli sprzętowych i fraz odzyskiwania, ale nie wskazuje na szerszy problem z siecią Bitcoin.