Co się właściwie stało?
Producent portfeli sprzętowych Ledger we wtorek według Kryptonovinky.cz i Kryptonovinky.sk opublikował analizę ataku na swoje urządzenia, które trafiały do klientów za pośrednictwem sprzedawcy CryptoBilis. Według zespołu bezpieczeństwa Ledgera, zwanego Donjon (jak jego ustalenia cytują obie Kryptonovinky), do obudowy urządzenia ukryto fizyczny implant, czyli mały chip z mikrokontrolerem. Miał on śledzić, co wyświetla się na ekranie portfela. W momencie, gdy podczas pierwszej konfiguracji pojawiała się fraza odzyskiwania, implant miał ją przechwycić i wysłać przez sieć komórkową.
Ważne doprecyzowanie dotyczące źródeł: samej pierwotnej analizy Ledgera i zespołu Donjon redakcja charliedesk nie czytała z bezpośredniego źródła Ledgera, ale zna ją pośrednio przez reportaż Kryptonovinek. Opis ataku podajemy więc jako to, co według Ledgera ustalił Donjon, a nie jako niezależnie zweryfikowane ustalenie techniczne.
Fraza odzyskiwania (po angielsku seed phrase, zwykle 24 słowa) to główny klucz do całego portfela. Kto ją ma, kontroluje środki. Właśnie dlatego jest to tak wrażliwe: opisany atak nie celuje w oprogramowanie ani szyfrowanie, lecz w fizyczną drogę urządzenia od produkcji do klienta, czyli w tak zwany łańcuch dostaw.
Dlaczego to problem łańcucha dostaw, a nie (tylko) jednego producenta?
Istotne jest, którędy szkodliwy element dostał się do urządzenia. Według opisu nie chodziło o błąd w konstrukcji portfela, lecz o manipulację towarem jeszcze zanim klient wziął go do ręki. To zmienia perspektywę: słabym punktem niekoniecznie jest sam produkt, ale dystrybucja (sprzedawcy, przepakowywanie, magazynowanie pośrednie).
Właśnie ten wymiar wyjaśnia, dlaczego na ujawnienie reaguje także konkurencja. Według CryptoSlate i Cointelegraph dyrektor handlowy (CCO) Trezora Danny Sanders rozesłał list datowany na 13 października, w którym poinformował wybranych partnerów, że od 1 stycznia 2027 stracą status autoryzowanego sprzedawcy. Trezor według CryptoSlate przedstawia to jako zaostrzenie nadzoru nad własnym łańcuchem dostaw i jako krok prewencyjny.
Co dokładnie zmienia Trezor?
| Co | Szczegół | Źródło |
|---|---|---|
| Forma decyzji | List CCO Danny'ego Sandersa z 13 października | CryptoSlate, Cointelegraph |
| Kogo dotyczy | Wybrani autoryzowani sprzedawcy (nie wszyscy) | CryptoSlate, Cointelegraph |
| Od kiedy | Odebranie autoryzacji od 1 stycznia 2027 | CryptoSlate |
| Powód | Zaostrzenie kontroli łańcucha dostaw, prewencja | CryptoSlate |
Według CryptoSlate Trezor podał, że przy swoich urządzeniach nie znalazł dowodów na manipulację. Chodzi więc o prewencyjne zawężenie grona sprzedawców, a nie o reakcję na znaleziony implant we własnych produktach.
A co z tymi znikającymi miejscami w ofercie?
Czeskie i słowackie Kryptonovinky zgodnie podają, że portfele Ledger znikają z części sprzedaży; wersja słowacka konkretnie wspomina sklepy MediaMarkt. Zakres tego wycofania, czy chodzi o środek tymczasowy, czy o decyzję powszechną i których rynków dokładnie dotyczy, z dostępnych źródeł jednoznacznie nie wynika. To na razie zaliczamy do niezweryfikowanych.
Co z tego wynika dla przeciętnego użytkownika?
To nie jest instrukcja, co robić z pieniędzmi, ale opis tego, gdzie w tym typie incydentu leży ryzyko. W przypadku ataku na łańcuch dostaw decyduje pochodzenie urządzenia oraz to, jak generowana i wyświetlana jest fraza odzyskiwania. Ogólnie rzecz biorąc, producenci portfeli sprzętowych w podobnych sytuacjach odsyłają do zakupu z oficjalnych kanałów i do weryfikacji autentyczności urządzenia. Konkretne procedury różnią się w zależności od producenta i nie są przedmiotem tych czterech źródeł, dlatego nie podajemy ich tutaj jako faktu.
Co śledzić dalej (aby dało się to później sprawdzić)
- Czy Ledger ujawni zakres dotkniętych egzemplarzy sprzedanych przez CryptoBilis i ile środków (jeśli w ogóle) zostało skradzionych. Na razie nieznane.
- Jak dokładnie Trezor przeprowadzi zawężenie sprzedawców i których partnerów to dotknie. Na razie ujawniono tylko zasadę i datę.
- Czy i na których rynkach Ledger faktycznie wróci do oferty stacjonarnej i online, w tym w sieciach takich jak MediaMarkt.
Charliedesk śledzi ten przypadek jako historię o dystrybucji, a nie o porażce kryptografii. Gdy pojawią się zweryfikowane liczby, uzupełnimy je i poddamy się przy nich kontroli.