Implantat i Ledger väcker oro för hårdvaruplånböckers leveranskedja

Ledgers säkerhetsteam Donjon upptäckte ett skadligt implantat i en hårdvaruplånbok som såldes av den sydostasiatiska återförsäljaren CryptoBilis. Implantatet kan fånga upp enhetens återställningsfras på 24 ord under konfigureringen och skicka den via LTE med hjälp av ett förinstallerat eSIM, vilket utsätter plånbokens tillgångar för risk. Ledger bekräftade att en berörd enhet har identifierats och uppgav att verifierade förluster hittills gäller plånböcker som sålts av CryptoBilis. CryptoBilis har slutat sälja Ledger-enheter medan utredningen pågår. Onchain-utredaren Specter kopplade misstänkta stölder på mer än 86 miljoner dollar till Bitcoin, Ethereum och Tron, men Ledger säger att uppskattningar av förluster som cirkulerar på nätet ännu inte har verifierats. Ledger råder köpare att inte konfigurera misstänkta enheter och uppmanar alla som har använt en sådan att flytta sina tillgångar till en ny enhet med en ny återställningsfras. Händelsen med hårdvaruplånboken har också väckt bredare oro kring leveranskedjan. Säkerhetsforskaren Joe Grand varnade för att avancerad fysisk manipulation kan vara svår att upptäcka. Trezor säger att äkthetskontroller och signerad fast programvara hjälper, men inte kan utesluta modifieringar, och planerar att minska sitt nätverk av återförsäljare. Experter rekommenderade att förtroendet fördelas mellan olika leverantörer och att manipulationsresistent design förbättras, samtidigt som de betonade att ingen åtgärd eliminerar all risk. Ledger uppger att implantatet inte ändrade företagets Secure Element, operativsystem eller transaktionssignaturer. Händelsen belyser säkerhetsrisker kring hårdvaruplånböcker och återställningsfraser, men tyder inte på ett bredare problem med Bitcoin-nätverket.