Ledger privremeno obustavlja prodaju preko preprodavača nakon tvrdnji o odljevu 86 milijuna dolara: jesu li uređaji bili kompromitirani?

Ledger je u petak zatražio od jednog preprodavača u jugoistočnoj Aziji da obustavi prodaju njegovih hardverskih novčanika dok istražuje izvješća da su kupci izgubili sredstva. Potez je uslijedio otprilike sat vremena nakon što je jedan analitičar procijenio navodne gubitke povezane s Ledgerom na više od 86 milijuna dolara. Ledger tu brojku nije potvrdio, a nije rekao ni je li bilo koji uređaj bio modificiran. Upozorenje se odnosi samo na nedavne kupce kod jednog preprodavača u jugoistočnoj Aziji. Tvrtka je u petak preko svoje korisničke podrške imenovala tog prodavača: CryptoBilis. Riječ je o malezijskoj trgovini osnovanoj 2020.

godine koja prodaje kripto opremu i Ledgerove uređaje, a posluje i u Indoneziji i na Filipinima. Ledger je poručio svima koji su kod te trgovine kupili u posljednjih 90 dana da uređaj ne postavljaju. Oni koji su ga već postavili trebali bi sredstva prebaciti na novi uređaj s novom seed frazom. "Kao mjeru predostrožnosti, i dok čekamo rezultate naše istrage, zamolili smo CryptoBilis da pauzira svu prodaju i pošiljke Ledgerovih uređaja", priopćila je korisnička podrška tvrtke Ledger.

Kontekst

Hardverski novčanik je mali uređaj koji tajne ključeve neke osobe čuva izvan mreže, a Ledger je jedan od najpoznatijih proizvođača takvih uređaja. Seed fraza je sigurnosna kopija od 24 riječi koja kontrolira novčanik. Modificirani uređaji koji se prodaju izvan službenih trgovina poznat su rizik: u travnju je jedan istraživač pronašao lažne Ledgerove uređaje na kineskoj tržišnici, a ti su uređaji PIN-ove i seed fraze slali napadačima.

Ključne brojke

Brojka o gubicima dolazi od analitičara Spectera, koji prati javne podatke na blockchainu i tvrdi da je pratio sredstva iz stotina žrtvinih novčanika na Ethereumu, TRON-u i Bitcoinu. Prema javnim zapisima na mempoolu, tri bitcoin adrese koje je Specter naveo drže zajedno oko 211 BTC, a do 13:44 UTC u petak ništa s njih nije bilo pomaknuto. Ledger nije prihvatio ukupni iznos od 86 milijuna dolara niti je objasnio kako su sredstva napustila korisničke novčanike.

Što to znači

Navod o gubicima od preko 86 milijuna dolara ozbiljan je udarac za povjerenje u hardverske novčanike, pogotovo jer sličan rizik nije nov: u kolovozu je programska pogreška u firmwareu Coldcarda, konkurentskog hardverskog novčanika, vlasnike bitcoina stajala oko 70 milijuna dolara. Ključno je da Ledger nije potvrdio ni iznos ni uzrok, pa ostaje nejasno je li riječ o kompromitiranim uređajima ili o nečemu drugom. Za kupce je najvažnija poruka da se sigurnost ne oslanja samo na uređaj, nego i na kanal preko kojeg je kupljen.

Što slijedi

Ledger je najavio da će objavljivati nove informacije kako istraga bude napredovala. Ostaje neodgovoreno pitanje jesu li uređaji iz CryptoBilisa bili izmijenjeni prije nego što su stigli do kupaca, a upravo o tome ovisi hoće li slučaj ostati ograničen na jednog preprodavača ili prerasti u širu provjeru cijelog lanca distribucije.