Trezor zredukuje autoryzowanych dystrybutorów od stycznia 2027 po wykryciu złośliwych implantów w urządzeniach Ledger
Najważniejsze informacje
- •Trezor ograniczy swoją sieć autoryzowanych dystrybutorów ze skutkiem od 1 stycznia 2027 roku, po wykryciu złośliwych implantów sprzętowych w urządzeniach konkurencyjnego producenta Ledger.
- •Trezor oświadczył, że nie ma dowodów na to, że jego własne urządzenia zostały naruszone.
- •Implanty w urządzeniach Ledger miały podobno przechwytywać frazy odzyskiwania wyświetlane podczas konfiguracji urządzenia i przesyłać je przez sieci komórkowe, omijając połączenie internetowe właściciela urządzenia.
- •Trezor stwierdził, że zmniejszenie liczby autoryzowanych dystrybutorów pozwoli mu dokładniej nadzorować pozostałych partnerów.
- •Wydarzenie pokazuje, że portfele sprzętowe mogą zostać naruszone w łańcuchu dystrybucji, zanim trafią do użytkowników, co przesuwa nacisk bezpieczeństwa z samego oprogramowania na integralność łańcucha dostaw.
Trezor ogranicza swoją sieć autoryzowanych dystrybutorów po wykryciu złośliwych implantów sprzętowych w urządzeniach konkurencyjnego producenta Ledger, przyjmując bardziej restrykcyjne podejście do ochrony portfeli kryptowalutowych, zanim trafią one do użytkowników.
Portfele sprzętowe to fizyczne urządzenia, które przechowują klucze prywatne kontrolujące zasoby kryptowalutowe offline, z dala od komputerów podłączonych do internetu. Trezor, opracowany przez praską firmę SatoshiLabs, oraz francuski Ledger należą do najczęściej używanych producentów w tej branży.
Ten krok, o którym informuje BitcoinKE, wykracza poza kontrole oprogramowania lub firmware'u urządzeń. Obejmuje sam łańcuch dystrybucji — etap, na którym atakujący mogą potencjalnie modyfikować urządzenia fizyczne bez uruchamiania standardowych kontroli bezpieczeństwa.
Trezor oświadczył, że nie ma dowodów na to, że jego własne urządzenia zostały naruszone. Mimo to firma przestanie zaopatrywać dotkniętych dystrybutorów i usunie ich ze swojej autoryzowanej sieci od 1 stycznia 2027 roku. Autoryzowani dystrybutorzy to zewnętrzni sprzedawcy detaliczni, których producent formalnie zatwierdził do sprzedaży swoich produktów, co umieszcza ich na oficjalnej ścieżce, jaką urządzenie pokonuje przed dotarciem do kupującego. Według Trezora redukcja pozwoli mu dokładniej przyglądać się pozostałym partnerom.
To wydarzenie uwypukla kluczową słabość w zakresie bezpieczeństwa portfeli sprzętowych: urządzenie zaprojektowane tak, aby przechowywać klucze prywatne offline, może zostać naruszone, zanim dotrze do właściciela. W przypadku Ledgera nieautoryzowane implanty miały podobno przechwytywać frazyzyskiwania wyświetlane podczas konfiguracji urządzenia i przesyłać je przez sieci komórkowe — trasą niezależną od połączenia internetowego właściciela urządzenia. Fraza odzyskiwania, czasami nazywana frazą seed, to sekwencja słów, która może odtworzyć klucze prywatne portfela, co oznacza, że każdy, kto ją zdobędzie, zazwyczaj może uzyskać dostęp do kontrolowanych przez nią środków.
Reakcja Trezora sygnalizuje odejście od polegania przede wszystkim na zabezpieczeniach na poziomie urządzenia w kierunku traktowania nadzoru nad dystrybutorami i integralności łańcucha dostaw jako części samego bezpieczeństwa portfela. Usunięcia wejdą w życie 1 stycznia 2027 roku, więc skład pozostałej autoryzowanej sieci — oraz weryfikacja, jaką Trezor zastosuje wobec partnerów, których zachowa — pokażą nowe podejście w praktyce.
Ta sprawa podkreśla, że kluczowe pytanie nie dotyczy już tylko tego, czy oprogramowanie portfela sprzętowego jest bezpieczne, ale czy użytkownicy mogą zaufać fizycznemu urządzeniu, które otrzymują.
