Co se vlastně stalo?
Výrobce hardwarových peněženek Ledger v úterý podle Kryptonovinky.cz a Kryptonovinky.sk zveřejnil rozbor útoku na svá zařízení, která se k zákazníkům dostala přes prodejce CryptoBilis. Podle bezpečnostního týmu Ledgeru, zvaného Donjon (jak jeho zjištění citují obě Kryptonovinky), byl do obalu zařízení ukryt fyzický implantát, tedy malý čip s mikrokontrolérem. Ten měl sledovat, co se zobrazuje na displeji peněženky. Ve chvíli, kdy se při prvotním nastavení ukázala obnovovací fráze, implantát ji měl zachytit a poslat pryč přes mobilní síť.
Důležité upřesnění ke zdrojům: samotný primární rozbor Ledgeru a týmu Donjon redakce charliedesk nečetla z přímého zdroje Ledgeru, ale zná jej zprostředkovaně přes reportáž Kryptonovinek. Popis útoku proto uvádíme jako to, co podle Ledgeru zjistil Donjon, nikoli jako nezávisle ověřený technický nález.
Obnovovací fráze (anglicky seed phrase, typicky 24 slov) je hlavní klíč k celé peněžence. Kdo ji má, ovládá prostředky. Právě proto je to tak citlivé: popsaný útok necílí na software ani na šifrování, ale na fyzickou cestu zařízení od výroby k zákazníkovi, tedy na takzvaný dodavatelský řetězec.
Proč je to problém dodavatelského řetězce, a ne (jen) jednoho výrobce?
Podstatné je, kudy se škodlivá součástka do zařízení dostala. Podle popisu nešlo o chybu v návrhu peněženky, ale o manipulaci se zbožím ještě předtím, než ho zákazník dostal do ruky. To mění úhel pohledu: slabým místem není nutně samotný produkt, ale distribuce (prodejci, přebalování, meziskladování).
Právě tento rozměr vysvětluje, proč na odhalení reaguje i konkurence. Podle CryptoSlate a Cointelegraphu rozeslal obchodní ředitel (CCO) Trezoru Danny Sanders dopis datovaný 13. října, v němž vybraným partnerům oznámil, že od 1. ledna 2027 přijdou o status autorizovaného prodejce. Trezor to podle CryptoSlate rámuje jako zpřísnění dohledu nad vlastním dodavatelským řetězcem a jako preventivní krok.
Co přesně Trezor mění?
| Co | Detail | Zdroj |
|---|---|---|
| Forma rozhodnutí | Dopis CCO Dannyho Sanderse ze 13. října | CryptoSlate, Cointelegraph |
| Koho se týká | Vybraní autorizovaní prodejci (ne všichni) | CryptoSlate, Cointelegraph |
| Od kdy | Odebrání autorizace od 1. ledna 2027 | CryptoSlate |
| Důvod | Zpřísnění kontroly dodavatelského řetězce, prevence | CryptoSlate |
Podle CryptoSlate Trezor uvedl, že u svých zařízení nenašel důkazy o manipulaci. Jde tedy o preventivní zúžení okruhu prodejců, nikoli o reakci na nalezený implantát ve vlastních produktech.
A co ta zmizelá místa v nabídce?
České i slovenské Kryptonovinky shodně uvádějí, že peněženky Ledger z části prodeje mizí; slovenská verze konkrétně zmiňuje obchody MediaMarkt. Rozsah tohoto stažení, zda jde o dočasné opatření nebo plošné rozhodnutí a kterých trhů se přesně týká, z dostupných zdrojů jednoznačně neplyne. To zatím řadíme mezi neověřené.
Co z toho plyne pro běžného uživatele?
Tohle není návod, co dělat s penězi, ale popis toho, kde v tomto typu incidentu leží riziko. U útoku na dodavatelský řetězec rozhoduje původ zařízení a to, jak se obnovovací fráze generuje a zobrazuje. Obecně platí, že výrobci hardwarových peněženek k podobným situacím odkazují na nákup z oficiálních kanálů a na ověřování pravosti zařízení. Konkrétní postupy se liší podle výrobce a nejsou předmětem těchto čtyř zdrojů, proto je zde neuvádíme jako fakt.
Co sledovat dál (aby se to dalo později zkontrolovat)
- Zda Ledger zveřejní rozsah zasažených kusů prodaných přes CryptoBilis a kolik prostředků (pokud vůbec) bylo odcizeno. Zatím neznámé.
- Jak přesně Trezor zúžení prodejců provede a kterých partnerů se dotkne. Zveřejněn je zatím jen princip a datum.
- Zda a na kterých trzích se Ledger skutečně vrátí do kamenné i online nabídky, včetně řetězců jako MediaMarkt.
Charliedesk tenhle případ sleduje jako příběh o distribuci, ne o selhání kryptografie. Jakmile přibudou ověřená čísla, doplníme je a necháme se u nich zkontrolovat.