שתל ב-Ledger חושף ביטויי שחזור במתקפה על שרשרת האספקה

Ledger החמירה את הכללים למשווקים לאחר שאישרה כי בחלק מארנקי החומרה המקוריים שנמכרו בידי המשווקת מדרום־מזרח אסיה CryptoBilis הושתל רכיב חומרה בלתי מורשה. במהלך ההגדרה, הרכיב קלט את ביטויי השחזור בני 24 המילים של המשתמשים ממסך המכשיר ושלח אותם דרך רשת סלולרית. הוא לא פגע ב-Secure Element, במערכת ההפעלה או בתהליך חתימת העסקאות של Ledger, ולכן המכשירים שנפגעו עדיין יכלו לעבור בדיקות אותנטיות. Ledger מסרה שכל ההפסדים שאושרו קשורים למכשירי CryptoBilis, וכי לא נמצאו ראיות לחבלה בערוץ המכירה הישיר שלה. חוקרי בלוקצ'יין מעריכים שיותר מ-300 ארנקים איבדו בין 86 ל-93 מיליון דולר, אך Ledger לא אימתה את הנתונים ולא אישרה את סך ההפסדים של הלקוחות. לפי הדיווחים, Tether הקפיאה כ-10 מיליון USDT. לאחר שלקוח דיווח על רכיב מושתל בגרמניה, הקמעונאית MediaMarkt Saturn השעתה זמנית את מכירת מוצרי Ledger. Ledger מסרה שבבדיקות של מלאי בגרמניה ושל דגימות ממחסנים לא נמצאה חבלה נוספת. ב-15 באוקטובר 2026 הורתה Ledger למשווקים מורשים שלא להציג מכשירים חדשים לעיני הציבור, להפסיק למכור מחדש ארנקים שהוחזרו ולהשעות מכירות באינדונזיה, סינגפור, תאילנד, הפיליפינים, וייטנאם, מלזיה והונג קונג. CryptoBilis נדרשה להפסיק מכירות ומשלוחים ב-9 באוקטובר. מי שהפעיל מכשיר של CryptoBilis צריך להתייחס לביטוי השחזור שלו כאל ביטוי שנחשף ולהעביר את הנכסים לארנק חדש עם ביטוי חדש. מי שטרם הפעיל את המכשיר צריך להשאירו ללא שימוש ולפנות לתמיכת Ledger. הרכיב המושתל של Ledger מדגיש את הסיכונים בשרשרת האספקה של ארנקי חומרה. שימוש ב-multisig עם מכשירים מיצרנים שונים עשוי לצמצם את החשיפה למכשיר יחיד, אך אינו יכול לבטל את סיכוני האבטחה.