Ledger opublikował zalecenia bezpieczeństwa dla klientów po doniesieniach o utracie środków, a zasadnicza część ostrzeżenia dotyczy osób, które zakupiły urządzenia w ciągu ostatnich 90 dni. Firma informuje, że urządzenie, które nigdy nie zostało skonfigurowane, powinno pozostać niezainicjowane, natomiast użytkownicy, którzy utworzyli już portfel, mogą potrzebować przenieść swoje środki do nowego signera przy użyciu nowo wygenerowanej frazy odzyskiwania.

Najważniejsze wnioski

• Ledger bada doniesione straty i nie ujawnił ich przyczyny.
• Kupujący z ostatnich 90 dni, którzy nie skonfigurowali urządzenia, powinni unikać rozpoczynania tego procesu.
• Migracja wymaga nowego signera, nowej frazy odzyskiwania i nowych adresów odbiorczych.
• Ledger nie potwierdził doniesień medialnych o łącznej stracie 86 milionów dolarów.

Ostrzeżenie na 90 dni sprowadza się do jednego pytania: czy portfel został utworzony?

Rozróżnienie między nieu原创poznanym urządzeniem a aktywnym portfelem stanowi podstawę dwuczęściowych zaleceń Ledgera. Kupujący, który nie rozpoczął konfiguracji, nie wygenerował za pośrednictwem tego urządzenia frazy odzyskiwania, a Ledger mówi, że takie urządzenie nie powinno być inicjowane. Przekaz firmy do użytkowników, którzy już skonfigurowali urządzenie, jest bardziej złożony, ponieważ ich portfel może już kontrolować środki. Dlatego pytanie o konfigurację jest decydujące: kontrola nad portfelem wynika z frazy odzyskiwania, a nie z samego sprzętu, a każdy, kto posiada tę frazę, może odtworzyć portfel na innym urządzeniu.

Dla tych użytkowników Ledger zalecił rozważenie przeniesienia środków do nowego signera Ledgera z nowym seedem. Firma nie opisała publicznie powodu tej ostrożności, ale jej sformułowanie wskazuje, że sama wymiana urządzenia fizycznego nie rozwiązałaby problemu.

Urządzenie nieskonfigurowane — nie inicjuj go. Ledger zaleca kupującym z ostatnich 90 dni, abyostawili urządzenie nieużywane, jeśli konfiguracja nie została rozpoczęta.

Portfel już utworzony — użyj nowego signera i nowego seeda. Przenoś środki wyłącznie na adresy utworzone z nowo wygenerowanej frazy odzyskiwania.

Zachowaj dokumenty zakupu — przechowaj dowody. Zachowaj paragony, potwierdzenia zamówień i dane urządzenia, dopóki trwa śledztwo.

Nowe urządzenie nadal może odtworzyć stary portfel

Portfel sprzętowy nie przechowuje kryptoaktywów tak, jak dysk USB przechowuje pliki. Aktywa pozostają na swoich blockchainach, podczas gdy signer przechowuje klucze prywatne używane do autoryzacji transakcji.

24-wyrazowa fraza odzyskiwania może odtworzyć te klucze na innym kompatybilnym urządzeniu. Wprowadzenie istniejącej frazy do nowego urządzenia Ledger przywróci zatem ten sam portfel, z tymi samymi adresami i tą samą historią bezpieczeństwa.

Użytkownicy, którzy zdecydują się przenieść środki, powinni najpierw utworzyć świeżą frazę odzyskiwania na nowym signerze, a następnie przelać aktywa na adresy odbiorcze wygenerowane z tej frazy. Ledger określa to podejście jako "przenieś, nie łącz". Frazy odzyskiwania nigdy nie należy wprowadzać do komputera, telefonu, strony internetowej, czatu wsparcia ani formularza online.

Co może zweryfikować Genuine Check od Ledgera

Genuine Check od Ledgera weryfikuje kryptograficzną tożsamość Secure Elementu urządzenia, czyli odpornego na manipulacje układu, w którym Ledger izoluje klucze prywatne od otaczającego oprogramowania. Pozostaje to ważnym sprawdzeniem autentyczności, gdy użytkownik konfiguruje Ledgera ze źródła autoryzowanego.

Firma przyznaje również, że to sprawdzenie nie może ustalić pełnej historii obsługi urządzenia ani wykryć każdej fizycznej modyfikacji wokół oryginalnego Secure Elementu. To ograniczenie pomaga wyjaśnić, dlaczego produkt może pomyślnie przejść ważny test autentyczności, podczas gdy firma nadal bada możliwy problem w szerszym procesie sprzedaży. Ledger opublikował najlepsze praktyki zakupu swojego signera na oficjalnej stronie academy.

Szacunek 86 milionów dolarów pozostaje poza oświadczeniem Ledgera

Niektóre portale kryptowalutowe, w tym Crypto Briefing, podały, że straty związane z incydentem mogą przekroczyć 86 milionów dolarów. Ledger nie potwierdził tej kwoty, nie zidentyfikował dotkniętych adresów portfeli ani nie wyjaśnił mechanizmu doniesionych kradzieży.

Bez tych szczegółów zewnętrzne szacunki nie mogą ustalić, jaka część doniesionej aktywności on-chain należy do śledztwa ogłoszonego przez Ledgera.

Potwierdzone przez Ledgera:

• Firma bada doniesienia o utracie środków.
• Poprosiła wskazanego odsprzedawcę o wstrzymanie sprzedaży i wysyłki.
• Opublikowała zalecenia bezpieczeństwa dla kupujących z ostatnich 90 dni.

Wciąż niepotwierdzone:

• Doniesiona łączna kwota 86 milionów dolarów.
• Licba dotkniętych kupujących.
• Przyczyna doniesionych strat.
• Jakakolwiek wada urządzenia, oprogramowania układowego lub odsprzedawcy.

Kolejna aktualizacja Ledgera musi odpowiedzieć na trzy pytania

Śledztwo Ledgera musi ustalić, czy doniesienia mają wspólny wzorzec techniczny, jak kupujący mogą zidentyfikować dotknięte zakupy oraz czy klienci, którzy utworzyli już portfele, muszą podjąć działania wykraczające poza obecne zalecenia firmy.

Czytelnicy śledzący zmiany w tych zaleceniach mogą sprawdzać oficjalne strony wsparcia i academy Ledgera, czyli te same źródła, które zawierają aktualne instrukcje firmy. Do czasu uzyskania tych odpowiedzi ostrzeżenie firmy daje niedawnym kupującym praktyczną granicę bezpieczeństwa: pozostawić nieotwarte urządzenie niezainicjowane, nigdy nie udostępniać frazy odzyskiwania i używać świeżego seeda przy przenoszeniu środków do innego signera.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady w zakresie bezpieczeństwa, prawnej ani inwestycyjnej. Użytkownicy obawiający się, że ich urządzenie lub fraza odzyskiwania mogły zostać naruszone, powinni postępować zgodnie z oficjalnym wsparciem Ledgera.