Ledger potwierdził, że jedno urządzenie należące do poszkodowanego użytkownika zawierało nieautoryzowany implant sprzętowy — to pierwsze ustalenie na poziomie urządzenia w śledztwie dotyczącym utraty środków zgłoszonej przez kupujących jego urządzenia przez dystrybutora CryptoBillis.

W najnowszej publicznej aktualizacji producent portfeli sprzętowych poinformował, że kontaktuje się z poszkodowanymi użytkownikami, współpracuje z dystrybutorem CryptoBillis oraz z odpowiednimi organami. Firma dodała również, że nie znalazła żadnych przesłanek wskazujących na naruszenie jej infrastruktury bezpieczeństwa, systemów ani usług.

To ustalenie kieruje uwagę na ścieżkę dystrybucji urządzenia, podczas gdy firma nadal bada szersze okoliczności zgłaszanych strat. Aktualizacja Ledgera wskazała implant jako potwierdzone znalezisko w jednym urządzeniu, natomiast liczba potencjalnie dotkniętych urządzeń oraz rola, jaką implant odegrał w stratach, pozostają w trakcie ustalania. Firma nie ujawniła potencjalnego zakresu ani nie powiązała publicznie implantu z każdą ze zgłoszonych strat.

Jak śledztwo doszło do ustalenia na poziomie urządzenia

Ledger rozpoczął śledztwo po zgłoszeniach użytkowników o utracie środków związanej z urządzeniami kupionymi przez CryptoBillis. Na tym etapie firma nie potwierdziła wspólnej przyczyny, łącznej kwoty zgłoszonych strat ani naruszenia własnych systemów. Zwróciła się do dystrybutora o wstrzymanie sprzedaży i ostrzegła klientów przed inicjalizacją nieużywanych urządzeń, co opisano we wcześniejszym doniesieniu.

Najnowsze oświadczenie daje śledztwu konkretne ustalenie na poziomie urządzenia. Nie określa ono, ile egzemplarzy może być dotkniętych, ani nie wyjaśnia, jak doszło do każdej ze zgłoszonych strat.

CryptoBillis wstrzymuje sprzedaż wszystkich portfeli sprzętowych

Ledger poinformował, że CryptoBillis wstrzymał sprzedaż całych zapasów portfeli sprzętowych do zakończenia śledztwa. Wstrzymanie ogranic dalszą dystrybucję przez dystrybutora, dopóki obie firmy nie ustalą kolejnych kroków.

Ustalenie koncentruje uwagę na łańcuchu dostaw. Bezpieczeństwo portfela sprzętowego zaczyna się, zanim właściciel utworzy portfel: urządzenie musi dotrzeć do kupującego bez nieautoryzowanych modyfikacji. Portfele sprzętowe są zaprojektowane tak, aby przechowywać klucze prywatne użytkownika offline, a ten model bezpieczeństwa opiera się na autentyczności sprzętu w momencie konfiguracji. Ledger nie stwierdził, że każde urządzenie od CryptoBillis zostało zmodyfikowane — dlatego śledztwo i wstrzymanie sprzedaży pozostają istotne.

Listy dystrybutorów z mediów społecznościowych nie są oficjalnymi ostrzeżeniami

Wpis na X współpracownika CryptoQuant, Darkfosta, wymienił innych dystrybutorów Ledgera w Azji Południowo-Wschodniej, którzy — jak napisano — mogą być narażeni na ryzyko w łańcuchu dostaw ze względu na bliskość regionalną do CryptoBillis. Wpis wprost określił tę sugestię jako spekulację i nie przedstawił dowodów na to, że Ci sprzedawcy oferowali zmodyfikowane urządzenia.

Ledger potwierdził nieautoryzowany implant w jednym urządzeniu związanym z CryptoBillis. Nie wskazał publicznie dodatkowych dystrybutorów, nie potwierdził szerszego problemu z dystrybucją ani nie zalecił wszystkim klientom w regionie przeniesienia środków. Kupujący powinni zatem unikać traktowania krążącej listy dystrybutorów jako oficjalnego ostrzeżenia, stosując się jednocześnie do wytycznych Ledgera, jeśli kupili od CryptoBillis lub otrzymają bezpośrednią informację od firmy.

Co powinni rozważyć poszkodowani kupujący

Poniższe kroki dotyczą osób, które kupiły urządzenie Ledger przez CryptoBillis. Ledger nie wydał instrukcji migracji dla wszystkich użytkowników Ledgera.

• Pozostaw nieużywane urządzenie niezainicjowane. Klienci, którzy kupili od dystrybutora i nie rozpoczęli konfiguracji, nie powinni inicjalizować urządzenia, dopóki trwa śledztwo.
• Nie używaj ponownie istniejącej frazy odzyskiwania na urządzeniu zastępczym. Urządzenie zastępcze zapisane ze starą frazą 24-wyrazową przywróci ten sam portfel i nie tworzy oddzielnej granicy bezpieczeństwa.
• Rozważ przeniesienie aktywów do nowego podpisującego z nową frazą. W przypadku wcześniej zainicjowanego urządzenia Ledger zaleca rozważenie migracji do zupełnie nowej konfiguracji portfela. Użytkownicy powinni zweryfikować każdy adres docelowy na ekranie portfela sprzętowego przed zatwierdzeniem transakcji.
• Nigdy nie ujawniaj frazy odzyskiwania. Ledger zapewnia, że nigdy nie poprosi użytkowników o ich 24-wyrazową frazę odzyskiwania, a każda taka prośba powinna być traktowana jako próba oszustwa.

Materialny trop i otwarte pytania

Potwierdzenie Ledgera zmienia sprawę z serii zgłoszeń użytkowników w śledztwo z potwierdzonym ustaleniem na poziomie urządzenia. Nadal otwarte pozostają pytania o skalę problemu oraz związek między implantem a zgłaszanymi stratami. Warto obserwować kolejne aktualizacje Ledgera dotyczące liczby potencjalnie dotkniętych urządzeń, bezpośrednie powiadomienia kierowane do kupujących przez dystrybutora oraz zakończenie śledztwa, od którego zależy, czy CryptoBillis wznowi sprzedaż.

Dla kupujących od CryptoBillis natychmiastowy pritet jest prosty: nie inicjalizować nieużywanego urządzenia i użyć świeżej frazy odzyskiwania przy przenoszeniu aktywów. Dla innych użytkowników samodzielnie przechowujących klucze wydarzenie to przypomnienie, że bezpieczeństwo portfela zależy od integralności urządzenia, zanim zostanie podpisana pierwsza transakcja.

Ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani dotyczącej bezpieczeństwa. Użytkownicy, którzy podejrzewają, że ich urządzenie może być dotknięte, powinni stosować się do oficjalnych wytycznych Ledgera i nigdy nie udostępniać swojej frazy odzyskiwania.