Kaj se je pravzaprav zgodilo?
Proizvajalec strojnih denarnic Ledger je v torek po navedbah Kryptonovinky.cz in Kryptonovinky.sk objavil analizo napada na svoje naprave, ki so do kupcev prišle prek prodajalca CryptoBilis. Po navedbah varnostne ekipe Ledgerja, imenovane Donjon (kot njene ugotovitve citirata obe Kryptonovinki), je bil v ohišje naprave skrit fizični vsadek, torej majhen čip z mikrokrmilnikom. Ta naj bi spremljal, kaj se prikazuje na zaslonu denarnice. V trenutku, ko se je ob prvi nastavitvi pokazala obnovitvena fraza, naj bi jo vsadek prestregel in poslal naprej prek mobilnega omrežja.
Pomembna pojasnitev glede virov: samo primarno analizo Ledgerja in ekipe Donjon uredništvo charliedesk ni prebralo iz neposrednega vira Ledgerja, temveč jo pozna posredno prek reportaže Kryptonovinek. Opis napada zato navajamo kot to, kar je po navedbah Ledgerja ugotovil Donjon, in ne kot neodvisno preverjeno tehnično ugotovitev.
Obnovitvena fraza (angleško seed phrase, običajno 24 besed) je glavni ključ do celotne denarnice. Kdor jo ima, obvladuje sredstva. Prav zato je tako občutljiva: opisani napad ne cilja na programsko opremo niti na šifriranje, temveč na fizično pot naprave od proizvodnje do kupca, torej na tako imenovano dobavno verigo.
Zakaj gre za težavo dobavne verige in ne (samo) enega proizvajalca?
Bistveno je, po kateri poti je škodljivi sestavni del prišel v napravo. Po opisu ni šlo za napako v zasnovi denarnice, temveč za poseg v blago še preden ga je kupec dobil v roke. To spremeni zorni kot: šibka točka ni nujno sam izdelek, temveč distribucija (prodajalci, prepakiranje, vmesno skladiščenje).
Prav ta razsežnost pojasnjuje, zakaj se na razkritje odziva tudi konkurenca. Po navedbah CryptoSlate in Cointelegrapha je komercialni direktor (CCO) Trezorja Danny Sanders razposlal pismo z datumom 13. oktober, v katerem je izbranim partnerjem sporočil, da bodo od 1. januarja 2027 izgubili status pooblaščenega prodajalca. Trezor to po navedbah CryptoSlate predstavlja kot poostritev nadzora nad lastno dobavno verigo in kot preventivni korak.
Kaj natančno Trezor spreminja?
| Kaj | Podrobnost | Vir |
|---|---|---|
| Oblika odločitve | Pismo CCO Dannyja Sandersa z 13. oktobra | CryptoSlate, Cointelegraph |
| Koga zadeva | Izbrane pooblaščene prodajalce (ne vseh) | CryptoSlate, Cointelegraph |
| Od kdaj | Odvzem pooblastila od 1. januarja 2027 | CryptoSlate |
| Razlog | Poostritev nadzora dobavne verige, preventiva | CryptoSlate |
Po navedbah CryptoSlate je Trezor izjavil, da pri svojih napravah ni našel dokazov o posegu. Gre torej za preventivno zoženje kroga prodajalcev, ne za odziv na najdeni vsadek v lastnih izdelkih.
In kaj je s tistimi izginulimi mesti v ponudbi?
Češke in slovaške Kryptonovinke soglasno navajajo, da denarnice Ledger izginjajo z dela prodaje; slovaška različica konkretno omenja trgovine MediaMarkt. Obseg tega umika, ali gre za začasni ukrep ali splošno odločitev in katerih trgov se natančno tiče, iz razpoložljivih virov ni nedvoumno razvidno. To zaenkrat uvrščamo med nepreverjeno.
Kaj iz tega sledi za običajnega uporabnika?
To ni navodilo, kaj storiti z denarjem, temveč opis tega, kje pri tej vrsti incidenta leži tveganje. Pri napadu na dobavno verigo odloča izvor naprave in to, kako se obnovitvena fraza ustvarja in prikazuje. Na splošno velja, da proizvajalci strojnih denarnic v podobnih situacijah napotujejo na nakup prek uradnih kanalov in na preverjanje pristnosti naprave. Konkretni postopki se razlikujejo glede na proizvajalca in niso predmet teh štirih virov, zato jih tukaj ne navajamo kot dejstvo.
Kaj spremljati naprej (da bo to pozneje mogoče preveriti)
- Ali bo Ledger objavil obseg prizadetih kosov, prodanih prek CryptoBilis, in koliko sredstev (če sploh) je bilo odtujenih. Zaenkrat neznano.
- Kako natančno bo Trezor izvedel zoženje prodajalcev in katerih partnerjev se bo dotaknilo. Objavljena sta zaenkrat le načelo in datum.
- Ali in na katerih trgih se bo Ledger dejansko vrnil v fizično in spletno ponudbo, vključno z verigami, kot je MediaMarkt.
Charliedesk ta primer spremlja kot zgodbo o distribuciji, ne o odpovedi kriptografije. Takoj ko bodo na voljo preverjene številke, jih bomo dopolnili in se pri njih pustili preveriti.