Компания Ledger, производитель аппаратных кошельков, сообщила, что скрытый имплант смог скопировать секретную фразу восстановления кошелька с устройства — инцидент произошёл несмотря на то, что её оборудование построено вокруг защищённого чипа, разработанного специально для защиты подобной конфиденциальной информации.

Что, по словам Ledger, сделал скрытый имплант

По данным Ledger, скрытый имплант на устройстве сумел скопировать секретную фразу восстановления кошелька. Слова восстановления, иногда называемые seed-фразой, — это последовательность из 12–24 слов, выполняющая роль мастер-ключа к криптокошельку. Тот, кто владеет этими словами, контролирует средства, независимо от того, какое устройство используется для доступа.

Примечательность этого сообщения в том, что имплант, как утверждается, обошёл защищённый чип устройства. Защищённый чип — это устойчивый к вскрытию компонент, который аппаратные кошельки используют для хранения конфиденциальных данных в изолированной среде, отдельно от остальной электроники устройства. Его предназначение — предотвратить именно такое извлечение данных.

Ledger публично не подтвердила, сколько устройств затронуто, когда произошёл инцидент и как был внедрён имплант. CryptoSlate писал о более широкой проблеме уязвимостей цепочки поставок аппаратных кошельков, отмечая, что устройство может пройти через множество рук, прежде чем попадёт к конечному покупателю. Данный инцидент соответствует этим более широким опасениям относительно физического вмешательства до того, как устройство попадёт к пользователю. Открытые вопросы — вот за чем стоит следить далее: любые дополнительные раскрытия от Ledger с указанием затронутых устройств или рекомендациями по проверке поступят через официальные каналы компании, что делает их наиболее надёжным источником подтверждённой информации.

Исходя из заявления Ledger, имплант следует рассматривать как физическую компрометацию, то есть кто-то с доступом к оборудованию устройства на пути от завода к пользователю мог внедрить вредоносный компонент. Никакой цифровой атаки или атаки через программное обеспечение в описании инцидента не подразумевается.

Почему это важно для пользователей аппаратных кошельков

Аппаратные кошельки повсеместно считаются золотым стандартом защиты криптовалюты, поскольку хранят приватные ключи в офлайн-режиме. Этот инцидент демонстрирует ограничение такой защиты: защищённый чип защищает от удалённых атак, но не от того, кто имеет физический доступ к внутренностям устройства до того, как оно попадёт к владельцу.

Секретная фраза восстановления — самая чувствительная информация, связанная с любым криптокошельком. Она намеренно устроена так, что даже без физического устройства любой, кто знает слова, может восстановить кошелёк на любом совместимом оборудовании и получить доступ ко всем средствам. Эта особенность конструкции становится критической уязвимостью, если слова скопированы без ведома владельца.

Практические шаги для снижения риска

Для всех, кто пользуется аппаратным кошельком или плани его приобрести, несколько практических мер позволяют снизить риск:

• Покупайте только у производителя или официально авторизованного реселлера. Покупка на вторичных рынках или через неофициальные каналы значительно повышает вероятность получить подменённое устройство.
• Осмотрите упаковку при получении. Оригинальные устройства поставляются с защитными пломбами; если пломбы выглядят повреждёнными или переклеенными, не используйте устройство.
• Пройдите официальную проверку подлинности производителя при настройке. Производители аппаратных кошельков публикуют официальные процедуры проверки подлинности устройства перед первым использованием, и их выполнение до перевода любых средств служит дополнительной защитой от подменённого устройства, которое выглядит легитимным.
• Никогда не храните секретную фразу в цифровом виде. Будь то фотография, заметки или облачный документ, цифровые копии могут быть скомпрометированы. Запишите слова на бумагу и обеспечьте её физическую сохранность.

Аппаратный кошелёк — это один уровень защиты, а не самостоятельное полное решение. Безопасность seed-фраз продолжает развиваться в отрасли: некоторые проекты исследуют методы восстановления аккаунтов, снижающие зависимость от единственной письменной резервной копии. Пока эти альтернативы не стали массовыми, сохранность письменной фразы восстановления остаётся ответственностью владельца кошелька.

Переходы между кошельками и их закрытие — также моменты повышенного риска для секретных фраз, поскольку пользователи активно перемещают средства и могут обращаться с этими словами менее осторожно, чем обычно.

Главный урок

Основной вывод из отчёта Ledger прост: устройство может обладать сильной защитой на уровне чипа, но всё равно быть скомпрометированным, если кто-то физически изменит его до того, как оно попадёт к владельцу. Проверяйте источник устройства, осматривайте его при получении и относитесь к своей секретной фразе как к самому чувствительному листу бумаги, которым вы владеете.

Источник: CoinLineup (https://coinlineup.com/ledger-hidden-implant-copied-wallet-recovery-words)

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительным риском. Всегда проводите собственное исследование перед принятием решений.