Producent portfeli sprzętowych Trezor wzywa klientów, którzy od marca kupili jego urządzenia od byłego autoryzowanego resellera CryptoBilis, do przeniesienia środków po zgłoszeniu podejrzewanego implantu w Trezor Safe 5.

Trezor poinformował o zgłoszeniu w piątek w oficjalnym wpisie na blogu, a ostrzeżenie udostępniono także na X. Według doniesienia klient z Indonezji znalazł nieautoryzowaną płytkę drukowaną w Safe 5 kupionym w sierpniu na platformie handlowej Tokopedia. Podejrzewany implant mógł przechwytywać informacje wyświetlane na ekranie urządzenia — w tym frazy odzyskiwania portfela — i przesyłać je przez sieć komórkową. Portfele sprzętowe zostały zaprojektowane tak, aby frazy odzyskiwania pozostawały offline, dlatego urządzenie podejrzewane o wyciek tego, co wyświetla, uderza w sam rdzeń modelu bezpieczeństwa produktu.

Trezor oświadczył, że nie zbadał jeszcze urządzenia i nie otrzymał zgłoszeń o powiązanych stratach.

„Nie mieliśmy jeszcze urządzenia w naszym laboratorium, ale traktujemy zgłoszenie jako wiarygodne i wolimy ostrzec ludzi już teraz, niż czekać na potwierdzenie i odkryć, że ktoś w międzyczasie stracił swoje środki” — powiedział szef komercyjny Trezora Danny Sanders w rozmowie z Cointelegraph.

Rzecznik firmy opisał sprzedaż przez CryptoBilis jako „bardzo małą”, ale odmówił podania liczb. Dodał, że Trezor nie ustalił, gdzie doszło do podejrzewanej ingerencji, i analizuje zabezpieczenia sprzętowe, przyznając, że istniejące zabezpieczenia — w tym plomby i opakowania — same w sobie nie są wystarczające. W praktyce przeniesienie środków polega na utworzeniu nowego portfela z nową frazą odzyskiwania na urządzeniu pozyskanym z zaufanego kanału i wycofaniu każdej frazy, która mogła zostać wyświetlona na podejrzanym urządzeniu.

Manipulacje przy Ledger i wcześniejsze ostrzeżenia dla Trezora

Ostrzeżenie nastąpiło po zgłoszeniach strat kryptowalut związanych z portfelami Ledger sprzedawanymi przez CryptoBilis, które wyszły na jaw 9 października. Ledger potwierdził nieautoryzowany implant sprzętowy w jednym z urządzeń.

Badacz bezpieczeństwa Joe Grand powiedział wcześniej Cointelegraph, że w sierpniu powiadomił Trezor o zmanipulowanych portfelach Trezor One i Model T kupionych od nieautoryzowanych sprzedawców na TikToku i Facebooku. Trezor oświadczył, że jego wcześniejsze twierdzenie o braku dowodów na kompromitację urządzeń dotyczyło wyłącznie nowych portfeli sprzedawanych przez autoryzowanych resellerów, dodając, że jego kontrole przy konfiguracji celowały w podróbki urządzeń i zmodyfikowany firmware — podczas gdy implant znaleziony w Ledgerze sprzedanym przez CryptoBilis odczytywał ekran bez zmiany firmware.

Skradziona fraza odzyskiwania może pozwolić atakującemu na odtworzenie portfela na innym urządzeniu i przeniesienie jego środków.

Trezor ogłosił 13 października plany zmniejszenia swojej sieci resellerów.

Powiązane: Zmanipulowane portfele Ledger kosztowały użytkowników w Singapurze 2,7 mln USD, informuje policja

Źródło: Cointelegraph