সাপ্লাই-চেইন হামলায় Ledger ইমপ্ল্যান্ট পুনরুদ্ধার বাক্যাংশ ফাঁস করেছে

দক্ষিণ-পূর্ব এশিয়ার পুনর্বিক্রেতা CryptoBilis-এর বিক্রি করা কিছু আসল হার্ডওয়্যার ওয়ালেটে অনুমোদনহীন হার্ডওয়্যার ইমপ্লান্ট থাকার বিষয়টি নিশ্চিত হওয়ার পর Ledger পুনর্বিক্রেতাদের জন্য নিয়ম আরও কঠোর করেছে। সেটআপের সময় ইমপ্লান্টটি ডিভাইসের স্ক্রিন থেকে ব্যবহারকারীদের ২৪ শব্দের রিকভারি ফ্রেজ সংগ্রহ করে মোবাইল নেটওয়ার্কের মাধ্যমে পাঠিয়ে দিত। এটি Ledger-এর Secure Element, অপারেটিং সিস্টেম বা লেনদেন স্বাক্ষর করার প্রক্রিয়ায় অনুপ্রবেশ করেনি, তাই আক্রান্ত ডিভাইসগুলো অথেনটিসিটি পরীক্ষা পাস করতে পারত। Ledger জানিয়েছে, নিশ্চিত হওয়া সব ক্ষতিই CryptoBilis-এর ডিভাইসের সঙ্গে সম্পর্কিত এবং তাদের সরাসরি বিক্রয় চ্যানেলে কারসাজির কোনো প্রমাণ পাওয়া যায়নি। অন-চেইন গবেষকদের অনুমান, ৩০০টির বেশি ওয়ালেট থেকে ৮৬ থেকে ৯৩ মিলিয়ন ডলার হারিয়েছে; তবে Ledger এই পরিসংখ্যান যাচাই করেনি বা গ্রাহকদের মোট ক্ষতির পরিমাণ নিশ্চিত করেনি। Tether প্রায় ১০ মিলিয়ন USDT জব্দ করেছে বলে জানা গেছে। জার্মানিতে এক গ্রাহক ইমপ্লান্টের কথা জানানোর পর খুচরা বিক্রেতা MediaMarkt Saturn সাময়িকভাবে Ledger বিক্রি বন্ধ করে। Ledger জানিয়েছে, জার্মানির মজুত পণ্য এবং গুদামের নমুনা পরীক্ষা করে আর কোনো কারসাজি পাওয়া যায়নি। ১৫ অক্টোবর ২০২৬-এ Ledger অনুমোদিত খুচরা বিক্রেতাদের নতুন ডিভাইস জনসমক্ষে প্রদর্শন না করতে, ফেরত আসা ওয়ালেট পুনরায় বিক্রি বন্ধ করতে এবং ইন্দোনেশিয়া, সিঙ্গাপুর, থাইল্যান্ড, ফিলিপাইন, ভিয়েতনাম, মালয়েশিয়া ও হংকংয়ে বিক্রি স্থগিত করতে বলেছে। CryptoBilis-কে ৯ অক্টোবরই বিক্রি ও চালান বন্ধের নির্দেশ দেওয়া হয়েছিল। CryptoBilis-এর ডিভাইস চালু করে ব্যবহার শুরু করে থাকলে ক্রেতাদের রিকভারি ফ্রেজটি ফাঁস হয়েছে বলে ধরে নিয়ে নতুন ফ্রেজসহ নতুন ওয়ালেটে সম্পদ সরিয়ে নেওয়া উচিত। ডিভাইসটি চালু না করে থাকলে সেটি ব্যবহার না করে Ledger Support-এর সঙ্গে যোগাযোগ করুন। Ledger-এর এই ইমপ্লান্ট হার্ডওয়্যার ওয়ালেটের সরবরাহ-শৃঙ্খলের ঝুঁকি তুলে ধরেছে; ভিন্ন নির্মাতার ডিভাইস ব্যবহার করে মাল্টিসিগ চালু করলে একক ডিভাইসের ঝুঁকি কমতে পারে, তবে নিরাপত্তা ঝুঁকি পুরোপুরি দূর হয় না।