Ledger выпустила рекомендации по безопасности для клиентов после сообщений о потере средств, при этом центральная часть предупреждения адресована покупателям за последние 90 дней. Компания заявляет, что устройство, которое никогда не настраивалось, должно оставаться неинициализированным, а пользователям, уже создавшим кошелек, может потребоваться перевести свои активы на новый подписывающий устройство с использованием новой сгенерированной мнемонической фразы.

Ключевые выводы

• Ledger расследует сообщения о потерях и не раскрыла их причину.
• Недавним покупателям, не настроившим устройство, не следует начинать этот процесс.
• Для миграции требуются новое подписывающее устройство, новая мнемоническая фраза и новые адреса для получения.
• Ledger не подтвердила сообщения СМИ об общей сумме потерь в 86 миллионов долларов.

Предупреждение на 90 дней сводится к одному вопросу: создан ли кошелек?

Различие между нераспакованным устройством и активным кошельком лежит в основе двусоставной рекомендации Ledger. Покупатель, не начавший настройку, не сгенерировал мнемоническую фразу через это устройство, и Ledger говорит, что такое устройство не следует инициализировать. Обращение компании к пользователям, уже настроившим устройство, сложнее, поскольку их кошелек уже может контролировать активы. Именно поэтому вопрос настройки является решающим: контроль над кошельком следует за мнемонической фразой, а не за самим оборудованием, и любой, у кого есть эта фраза, может воссоздать кошелек на другом устройстве.

Таким пользователям Ledger посоветовала рассмотреть перевод средств на новое подписывающее устройство Ledger с новой мнемонической фразой. Компания публично не объяснила причину этой меры предосторожности, но формулировки указывают, что одной замены физического устройства недостаточно для устранения проблемы.

Устройство не настроено — не инициализируйте его. Ledger советует покупателям за последние 90 дней не использовать устройство, если настройка не начата.

Кошелек уже создан — используйте новое устройство и новую фразу. Переводите активы только на адреса, созданные из новой сгенерированной мнемонической фразы.

Сохраняйте документы о покупке — храните доказательства. Храните чеки, подтверждения заказов и данные об устройстве, пока продолжается расследование.

Заменяющее устройство все еще может восстановить старый кошелек

Аппаратный кошелек не хранит криптоактивы так, как USB-накопитель хранит файлы. Активы остаются на соответствующих блокчейнах, а подписывающее устройство хранит приватные ключи, используемые для подписания транзакций.

Мнемоническая фраза из 24 слов позволяет воссоздать эти ключи на другом совместимом устройстве. Ввод существующей фразы в заменяющее устройство Ledger, таким образом, восстанавливает тот же кошелек, с теми же адресами и той же историей безопасности.

Пользователи, решившие перевести средства, должны сначала создать новую мнемоническую фразу на новом подписывающем устройстве, а затем перевести активы на адреса для получения, сгенерированные из этой фразы. Ledger описывает этот подход как "move, don't merge" ("переводить, а не объединять"). Мнемоническую фразу никогда не следует вводить в компьютер, телефон на веб-сайт, в чат поддержки или онлайн-форму.

Что может проверить Genuine Check от Ledger

Genuine Check от Ledger проверяет криптографическую идентичность защищенного элемента устройства — защищенного от взлома чипа, где Ledger изолирует свои приватные ключи от окружающего программного обеспечения. Это остается важной проверкой подлинности при настройке Ledger, приобретенного у авторизованного источника.

Компания также заявляет, что эта проверка не может установить полную историю обращения устройства или обнаружить каждую физическую модификацию вокруг подлинного защищенного элемента. Это ограничение помогает объяснить, почему продукт может пройти важную проверку подлинности, в то время как компания все еще расследует возможную проблему в более широком процессе продаж. Ledger опубликовала лучшие практики по покупке своего подписывающего устройства на своей официальной странице академии.

Оценка в 86 миллионов долларов остается за пределами заявления Ledger

Некоторые крипто-СМИ, включая Crypto Briefing, сообщили, что потери, связанные с инцидентом, могут превышать 86 миллионов долларов. Ledger не подтвердила эту цифру, не назвала затронутые адреса кошельков и не объяснила механизм предполагаемых краж.

Без этих деталей внешние оценки не могут установить, какая часть заявленной активности в блокчейне относится к расследованию, о котором объявила Ledger.

Подтверждено Ledger:

• Она расследует сообщения о потере средств.
• Она попросила названного реселлера приостановить продажи и отгрузку.
• Она выпустила рекомендации по безопасности для покупателей за последние 90 дней.

Все еще не подтверждено:

• Заявленная общая сумма в 86 миллионов долларов.
• Число затронутых покупателей.
• Причина сообщаемых потерь.
• Какая-либо неисправность устройства, прошивки или реселлера.

Следующее обновление от Ledger должно ответить на три вопроса

Расследование Ledger должно установить, имеют ли сообщения общий технический шаблон, как покупатели могут идентифицировать затронутые покупки и нужно ли клиентам, уже создавшим кошельки, предпринимать действия сверх текущих рекомендаций компании.

Читатели, следящие за изменениями в этих рекомендациях, могут проверить официальные страницы поддержки и академии Ledger — те же источники, которые содержат текущие инструкции компании. Пока этих ответов нет, предупреждение компании дает недавним покупателям практическую границу безопасности: оставлять нераспакованное устройство неинициализированным, никогда не передавать мнемоническую фразу и использовать новую фразу при переводе активов на другое подписывающее устройство.

Эта статья носит исключительно информационный характер и не является консультацией по безопасности, правовым или инвестиционным вопросам. Пользователи, обеспокоенные тем, что их устройство или мнемоническая фраза могут быть скомпрометированы, должны следовать официальным рекомендациям службы поддержки Ledger.