Ledger, producent portfeli sprzętowych, twierdzi, że wiralowe doniesienie o „hacku” na Ethereum w rzeczywistości dotyczyło błędu, który firma już załatała. Jednocześnie firma poinformowała, że dwa osobne błędy podpisywania nadal wymagały własnych poprawek.

Co Ledger powiedział o wiralowym doniesieniu o „hacku” na Ethereum

Portfel sprzętowy to małe fizyczne urządzenie, które przechowuje klucze do aktywów kryptowalutowych w trybie offline. Firma Ledger produkuje jedną z najczęściej używanych wersji takich urządzeń.

Według Ledgera niepokojące doniesienie, które rozeszło się po internecie, dotyczyło błędu już naprawionego przez firmę. Innymi słowy, historia o „hacku” opisywała problem, który nie był już otwarty.

Nie było to kategoryczne zaprzeczenie, jakoby kiedykolwiek cokolwiek było nie tak. Ledger sprzeciwiał się jedynie konkretnemu, wiralowemu ujęciu sprawy, a nie twierdzeniu, że jego oprogramowanie wymagało prac z zakresu bezpieczeństwa.

To rozróżnienie ma znaczenie. Raport o już załatanej luce, który znów krąży w sieci, może brzmieć jak świeża wiadomość, mimo że podstawowy problem został zamknięty, zanim wpis stał się wiralowy. Ten schemat odzwierciedla typowy sposób, w jaki branża radzi sobie z błędami: badacze bezpieczeństwa zgłaszają zwykle błędy portfeli producentom prywatnie, zgodnie z praktyką odpowiedzialnego ujawniania, poprawki trafiają do użytkowników poprzez aktualizacje firmware, a szczegóły stają się publiczne dopiero później. Podatność omawiana długo po jej zamknięciu może zatem brzmieć jak nowa, choć nią nie jest.

Dlaczego osobne błędy podpisywania nadal miały znaczenie

Ledger przyznał również, że dwa osobne błędy podpisywania nadal wymagały poprawek. „Podpisywanie” to etap, w którym urządzenie zatwierdza transakcję, potwierdzając, że użytkownik rzeczywiście chce wysłać środki.

Błędy te były odrębne od już załatanej luki, o której mówiło wiralowe doniesienie. Traktowanie ich jako jednej podatności zacierałoby dwie różne sytuacje.

Błąd podpisywania jest poważny, ponieważ może wpływać na to, co — zdaniem użytkownika — właśnie zatwierdza. Ledger już wcześniej podejmował działania w celu zamknięcia tego rodzaju luk, czego przykładem było załatanie błędu aplikacji Ethereum, który mógł wprowadzać podpisujących w błąd.

Portfele sprzętowe stanowią również fundament samodzielnego przechowywania aktywów (self-custody), co zmienia sposób, w jaki poprawki docierają do użytkowników. W przeciwieństwie do aplikacji mobilnych aktualizujących się automatycznie w tle, firmware portfela zaczyna obowiązywać dopiero wtedy, gdy każdy właściciel zainstaluje aktualizację. Kluczowa myśl jest prosta: fakt, że jeden błąd został już załatany, nie znosi potrzeby naprawienia innych, które pozostawały otwarte.

Co to oznacza dla użytkowników Ethereum śledzących doniesienia o bezpieczeństwie

Dla zwykłych posiadaczy Ethereum lekcja sprowadza się do uważnej lektury wiadomości o bezpieczeństwie. Wiralowy wpis i techniczne oświadczenie dostawcy mogą opisywać to samo zdarzenie w bardzo różny sposób.

Zanim się zareaguje, warto zadać jedno pytanie: czy problem jest aktualny, już załatany, czy odrębny od wiralowego doniesienia? To trzy różne odpowiedzi. Można je sprawdzić w kanałach dostawcy — Ledger publikuje notatki wydaniowe firmware oraz komunikaty bezpieczeństwa z wykazem tego, co zostało naprawione i kiedy, co stanowi najbardziej bezpośredni sposób weryfikacji, czy wiralowe doniesienie odpowiada aktywnemu problemowi, czy już zamkniętemu.

W tym przypadku obok wprowadzającej w błąd narracji publicznej istniał uzasadniony zestaw poprawek. Oba te fakty były prawdziwe jednocześnie i właśnie dlatego historia wydawała się myląca.

Sprawa ma realne znaczenie, ponieważ Ethereum pozostaje jednym z najczęściej posiadanych i najaktywniej obracanych aktywów kryptowalutowych, a aktywność rynkowa na giełdach jest bardzo głęboka. Więcej użytkowników oznacza więcej osób próbujących interpretować alarmujące nagłówki.

Wzrost ten uwidacznia się również w debatach politycznych, takich jak proponowane przez Tajlandię zasady dotyczące detalicznych ETF-ów na Ethereum, oraz w sposobie, w jaki regulatorzy śledzą aktywność onchain na potrzeby sprawozdawczości podatkowej.

Praktyczny wniosek jest taki, by aktualizować oprogramowanie urządzenia i sprawdzać, czy przerażające doniesienie dotyczy bieżącego problemu, czy starego i już naprawionego. Spłaszczanie odrębnych kwestii do jednej historii o „hacku” zwykle wywołuje więcej paniki niż jasności.

Zastrzeżenie: Niniejszy artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Przed podjęciem decyzji zawsze przeprowadź własne badania.