Τι ακριβώς συνέβη;
Ο κατασκευαστής hardware wallet Ledger δημοσίευσε την Τρίτη, σύμφωνα με τα Kryptonovinky.cz και Kryptonovinky.sk, ανάλυση μιας επίθεσης στις συσκευές του, οι οποίες έφτασαν στους πελάτες μέσω του μεταπωλητή CryptoBilis. Σύμφωνα με την ομάδα ασφαλείας της Ledger, που ονομάζεται Donjon (όπως τα ευρήματά της παραθέτουν και τα δύο Kryptonovinky), μέσα στη συσκευασία της συσκευής είχε κρυφτεί ένα φυσικό εμφύτευμα, δηλαδή ένα μικρό τσιπ με μικροελεγκτή. Αυτό υποτίθεται ότι παρακολουθούσε τι εμφανιζόταν στην οθόνη του wallet. Τη στιγμή που κατά την αρχική ρύθμιση εμφανιζόταν η φράση ανάκτησης, το εμφύτευμα υποτίθεται ότι την υπέκλεπτε και την απέστελλε μέσω του δικτύου κινητής τηλεφωνίας.
Σημαντική διευκρίνιση ως προς τις πηγές: η ίδια η πρωτογενής ανάλυση της Ledger και της ομάδας Donjon δεν διαβάστηκε από τη σύνταξη του charliedesk από άμεση πηγή της Ledger, αλλά τη γνωρίζουμε έμμεσα μέσω του ρεπορτάζ του Kryptonovinky. Για τον λόγο αυτό αναφέρουμε την περιγραφή της επίθεσης ως αυτό που, σύμφωνα με την Ledger, διαπίστωσε η Donjon, και όχι ως ανεξάρτητα επαληθευμένο τεχνικό εύρημα.
Η φράση ανάκτησης (στα αγγλικά seed phrase, συνήθως 24 λέξεις) είναι το κύριο κλειδί για ολόκληρο το wallet. Όποιος την έχει, ελέγχει τα κεφάλαια. Ακριβώς γι' αυτό είναι τόσο ευαίσθητη: η περιγραφόμενη επίθεση δεν στοχεύει στο λογισμικό ούτε στην κρυπτογράφηση, αλλά στη φυσική διαδρομή της συσκευής από την παραγωγή μέχρι τον πελάτη, δηλαδή στην αποκαλούμενη αλυσίδα εφοδιασμού.
Γιατί πρόκειται για πρόβλημα της αλυσίδας εφοδιασμού και όχι (μόνο) ενός κατασκευαστή;
Το ουσιώδες είναι από ποια διαδρομή μπήκε το κακόβουλο εξάρτημα στη συσκευή. Σύμφωνα με την περιγραφή, δεν επρόκειτο για σφάλμα στον σχεδιασμό του wallet, αλλά για παραποίηση του προϊόντος προτού φτάσει στα χέρια του πελάτη. Αυτό αλλάζει την οπτική γωνία: το αδύναμο σημείο δεν είναι απαραίτητα το ίδιο το προϊόν, αλλά η διανομή (μεταπωλητές, επανασυσκευασία, ενδιάμεση αποθήκευση).
Ακριβώς αυτή η διάσταση εξηγεί γιατί στην αποκάλυψη αντιδρά και ο ανταγωνισμός. Σύμφωνα με τα CryptoSlate και Cointelegraph, ο εμπορικός διευθυντής (CCO) της Trezor Danny Sanders απέστειλε επιστολή με ημερομηνία 13 Οκτωβρίου, στην οποία ανακοίνωσε σε επιλεγμένους συνεργάτες ότι από την 1η Ιανουαρίου 2027 θα χάσουν το καθεστώς του εξουσιοδοτημένου μεταπωλητή. Η Trezor το πλαισιώνει, σύμφωνα με το CryptoSlate, ως αυστηροποίηση της εποπτείας της δικής της αλυσίδας εφοδιασμού και ως προληπτικό βήμα.
Τι ακριβώς αλλάζει η Trezor;
| Τι | Λεπτομέρεια | Πηγή |
|---|---|---|
| Μορφή της απόφασης | Επιστολή του CCO Danny Sanders της 13ης Οκτωβρίου | CryptoSlate, Cointelegraph |
| Ποιους αφορά | Επιλεγμένους εξουσιοδοτημένους μεταπωλητές (όχι όλους) | CryptoSlate, Cointelegraph |
| Από πότε | Αφαίρεση εξουσιοδότησης από την 1η Ιανουαρίου 2027 | CryptoSlate |
| Αιτία | Αυστηροποίηση του ελέγχου της αλυσίδας εφοδιασμού, πρόληψη | CryptoSlate |
Σύμφωνα με το CryptoSlate, η Trezor ανέφερε ότι στις δικές της συσκευές δεν βρήκε αποδείξεις παραποίησης. Πρόκειται επομένως για προληπτικό περιορισμό του κύκλου των μεταπωλητών και όχι για αντίδραση σε εμφύτευμα που βρέθηκε στα δικά της προϊόντα.
Και τι με τα κενά που εμφανίστηκαν στη διάθεση;
Τόσο το τσεχικό όσο και το σλοβακικό Kryptonovinky αναφέρουν ομόφωνα ότι τα wallet Ledger εξαφανίζονται από μέρος της διάθεσης. Η σλοβακική εκδοχή αναφέρει συγκεκριμένα τα καταστήματα MediaMarkt. Η έκταση αυτής της απόσυρσης, το αν πρόκειται για προσωρινό μέτρο ή για καθολική απόφαση και ποιες αγορές ακριβώς αφορά, δεν προκύπτει με σαφήνεια από τις διαθέσιμες πηγές. Αυτό προς το παρόν το κατατάσσουμε στα μη επαληθευμένα.
Τι σημαίνει αυτό για τον μέσο χρήστη;
Αυτό δεν είναι οδηγία για το τι να κάνετε με τα χρήματά σας, αλλά περιγραφή του πού σε αυτόν τον τύπο περιστατικού βρίσκεται ο κίνδυνος. Σε μια επίθεση στην αλυσίδα εφοδιασμού καθοριστική είναι η προέλευση της συσκευής και το πώς παράγεται και εμφανίζεται η φράση ανάκτησης. Γενικά ισχύει ότι οι κατασκευαστές hardware wallet σε παρόμοιες καταστάσεις παραπέμπουν στην αγορά από επίσημα κανάλια και στην επαλήθευση της γνησιότητας της συσκευής. Οι συγκεκριμένες διαδικασίες διαφέρουν ανάλογα με τον κατασκευαστή και δεν αποτελούν αντικείμενο αυτών των τεσσάρων πηγών, γι' αυτό δεν τις αναφέρουμε εδώ ως γεγονός.
Τι να παρακολουθήσετε στη συνέχεια (ώστε να μπορεί να ελεγχθεί αργότερα)
- Αν η Ledger δημοσιεύσει την έκταση των επηρεασμένων τεμαχίων που πωλήθηκαν μέσω του CryptoBilis και πόσα κεφάλαια (εφόσον υπήρξαν καθόλου) κλάπηκαν. Προς το παρόν άγνωστο.
- Πώς ακριβώς θα πραγματοποιήσει η Trezor τον περιορισμό των μεταπωλητών και ποιους συνεργάτες θα αγγίξει. Προς το παρόν έχει δημοσιευτεί μόνο η αρχή και η ημερομηνία.
- Αν και σε ποιες αγορές θα επιστρέψει πράγματι η Ledger στη διάθεση σε φυσικά και διαδικτυακά καταστήματα, συμπεριλαμβανομένων αλυσίδων όπως η MediaMarkt.
Το charliedesk παρακολουθεί αυτή την υπόθεση ως ιστορία για τη διανομή, όχι για αποτυχία της κρυπτογραφίας. Μόλις προστεθούν επαληθευμένα στοιχεία, θα τα συμπληρώσουμε και θα αφεθούμε να ελεγχθούμε σε αυτά.