Čo sa vlastne stalo?
Výrobca hardvérových peňaženiek Ledger v utorok podľa Kryptonovinky.cz a Kryptonovinky.sk zverejnil rozbor útoku na svoje zariadenia, ktoré sa k zákazníkom dostali cez predajcu CryptoBilis. Podľa bezpečnostného tímu Ledgeru, zvaného Donjon (ako jeho zistenia citujú obe Kryptonovinky), bol do obalu zariadenia ukrytý fyzický implantát, teda malý čip s mikrokontrolérom. Ten mal sledovať, čo sa zobrazuje na displeji peňaženky. Vo chvíli, keď sa pri prvotnom nastavení ukázala obnovovacia fráza, implantát ju mal zachytiť a poslať preč cez mobilnú sieť.
Dôležité upresnenie k zdrojom: samotný primárny rozbor Ledgeru a tímu Donjon redakcia charliedesk nečítala z priameho zdroja Ledgeru, ale pozná ho sprostredkovane cez reportáž Kryptonoviniek. Popis útoku preto uvádzame ako to, čo podľa Ledgeru zistil Donjon, nie ako nezávisle overený technický nález.
Obnovovacia fráza (anglicky seed phrase, typicky 24 slov) je hlavný kľúč k celej peňaženke. Kto ju má, ovláda prostriedky. Práve preto je to také citlivé: opísaný útok necieli na softvér ani na šifrovanie, ale na fyzickú cestu zariadenia od výroby k zákazníkovi, teda na takzvaný dodávateľský reťazec.
Prečo je to problém dodávateľského reťazca, a nie (len) jedného výrobcu?
Podstatné je, kadiaľ sa škodlivá súčiastka do zariadenia dostala. Podľa popisu nešlo o chybu v návrhu peňaženky, ale o manipuláciu s tovarom ešte predtým, než ho zákazník dostal do ruky. To mení uhol pohľadu: slabým miestom nie je nutne samotný produkt, ale distribúcia (predajcovia, prebaľovanie, medziskladovanie).
Práve tento rozmer vysvetľuje, prečo na odhalenie reaguje aj konkurencia. Podľa CryptoSlate a Cointelegraphu rozoslal obchodný riaditeľ (CCO) Trezoru Danny Sanders list datovaný 13. októbra, v ktorom vybraným partnerom oznámil, že od 1. januára 2027 prídu o status autorizovaného predajcu. Trezor to podľa CryptoSlate rámuje ako sprísnenie dohľadu nad vlastným dodávateľským reťazcom a ako preventívny krok.
Čo presne Trezor mení?
| Čo | Detail | Zdroj |
|---|---|---|
| Forma rozhodnutia | List CCO Dannyho Sandersa z 13. októbra | CryptoSlate, Cointelegraph |
| Koho sa týka | Vybraní autorizovaní predajcovia (nie všetci) | CryptoSlate, Cointelegraph |
| Odkedy | Odobratie autorizácie od 1. januára 2027 | CryptoSlate |
| Dôvod | Sprísnenie kontroly dodávateľského reťazca, prevencia | CryptoSlate |
Podľa CryptoSlate Trezor uviedol, že pri svojich zariadeniach nenašiel dôkazy o manipulácii. Ide teda o preventívne zúženie okruhu predajcov, nie o reakciu na nájdený implantát vo vlastných produktoch.
A čo tie zmiznuté miesta v ponuke?
České aj slovenské Kryptonovinky zhodne uvádzajú, že peňaženky Ledger z časti predaja miznú; slovenská verzia konkrétne spomína obchody MediaMarkt. Rozsah tohto stiahnutia, či ide o dočasné opatrenie alebo plošné rozhodnutie a ktorých trhov sa presne týka, z dostupných zdrojov jednoznačne nevyplýva. To zatiaľ radíme medzi neoverené.
Čo z toho vyplýva pre bežného používateľa?
Toto nie je návod, čo robiť s peniazmi, ale popis toho, kde v tomto type incidentu leží riziko. Pri útoku na dodávateľský reťazec rozhoduje pôvod zariadenia a to, ako sa obnovovacia fráza generuje a zobrazuje. Všeobecne platí, že výrobcovia hardvérových peňaženiek k podobným situáciám odkazujú na nákup z oficiálnych kanálov a na overovanie pravosti zariadenia. Konkrétne postupy sa líšia podľa výrobcu a nie sú predmetom týchto štyroch zdrojov, preto ich tu neuvádzame ako fakt.
Čo sledovať ďalej (aby sa to dalo neskôr skontrolovať)
- Či Ledger zverejní rozsah zasiahnutých kusov predaných cez CryptoBilis a koľko prostriedkov (ak vôbec) bolo odcudzených. Zatiaľ neznáme.
- Ako presne Trezor zúženie predajcov vykoná a ktorých partnerov sa dotkne. Zverejnený je zatiaľ len princíp a dátum.
- Či a na ktorých trhoch sa Ledger skutočne vráti do kamennej aj online ponuky, vrátane reťazcov ako MediaMarkt.
Charliedesk tento prípad sleduje ako príbeh o distribúcii, nie o zlyhaní kryptografie. Hneď ako pribudnú overené čísla, doplníme ich a necháme sa pri nich skontrolovať.