Ledgerio kriptovaliutų piniginės implantas išgąsdino „Trezor“ perpardavėją, nes plinta saugumo baimės
„Trezor“ nutraukia įgaliotųjų perpardavėjų skaičių po to, kai aparatūros implantų ataka prieš konkurentą Ledger atskleidė kriptovaliutų piniginės platinimo spragas.
Spalio 13 d. laiške „Trezor“ vyriausiasis komercijos direktorius Danny Sandersas teigė, kad atrinkti partneriai neteks įgaliojimų 2027 m. sausio 1 d., nes bendrovė sugriežtins tiekimo grandinės priežiūrą.
Šis sprendimas žymi „Ledger“ tyrimo komercinių pasekmių eskalavimą, dėl kurio kilo klausimų, kaip užpuolikai gali įnešti kenkėjiškų komponentų į aparatinės įrangos pinigines, kol jie pasiekia klientus.
„Trezor“ teigė, kad nerado jokių pažeistų įrenginių savo tinkle įrodymų, o restruktūrizavimą apibūdino kaip prevencinę priemonę.
„Trezor“ aukoja mažmeninės prekybos galimybes, kad būtų griežtesnė tiekimo grandinės kontrolė
Sandersas teigė, kad bendrovė nebegali tinkamai tikrinti kiekvieno esamo platinimo tinklo partnerio, todėl reikia peržiūrėti, kurie mažmenininkai turėtų likti įgalioti. Jis rašė:
„Aparatinės įrangos piniginė yra tiek saugi, kiek ji nueina, kad pasiektų savininką.
Prieš nuspręsdama, kurias partnerystes nutraukti, bendrovė įvertino atskiras rinkas pagal pajamas, platinimo aprėptį ir gebėjimą pasiekti klientus.
Paveikti mažmenininkai negaus papildomų atsargų, bet galės toliau pardavinėti turimas atsargas per Juodojo penktadienio ir Kalėdų apsipirkimo sezonus. Trezor taip pat pašalins juos iš savo įgaliotųjų perpardavėjų katalogo sausio 1 d.
Bendrovė neatskleidė, kiek verslų neteks leidimų ir kokios rinkos bus paveiktos.
Sandersas pripažino, kad šis sprendimas gali turėti didelių finansinių pasekmių mažesniems mažmenininkams, kurie savo verslą kūrė pagal „Trezor“ produktus.
Tačiau jis pabrėžė, kad restruktūrizavimas neatspindi nukentėjusių partnerių pažeidimų ar susirūpinimo dėl esamų atsargų saugumo. Jis pasakė:
„Tai nėra nuosprendis jūsų verslui ar jūsų parduodamų prietaisų saugumui“.
Mažmenininkams, kurie išlaiko savo įgaliojimus, „Trezor“ planuoja griežtesnius sutartinius reikalavimus ir papildomus patikrinimus, susijusius su įrenginių įsigijimu, saugojimu ir tvarkymu.
Dėl pakeitimų gali padidėti atitikties įpareigojimai visame likusiame platinimo tinkle, o gamintojui būtų suteikta didesnė atsargų kontrolė prieš jas pasiekiant klientus.
Didžiosios knygos tyrimas kelia klausimų dėl įgaliotų mažmeninės prekybos kanalų
Trezoro sprendimas priimtas po Ledger patvirtinimo, kad užpuolikai į piniginę, kurią parduoda oficialus perpardavėjas Pietryčių Azijoje, įdėjo neteisėtą elektroninį komponentą.
Ledger’s Donjon saugos komanda nustatė, kad implantas gali užfiksuoti 24 žodžių atkūrimo frazę, rodomą piniginės sąrankos metu, ir perduoti informaciją per LTE ryšį naudojant įterptąją eSIM kortelę.
Komponentas veikė atskirai nuo įrenginio saugaus elemento ir operacinės sistemos, todėl užpuolikai galėjo gauti atkūrimo kredencialus netrukdant įprastoms operacijų pasirašymo funkcijoms.
Ledger patvirtino atradimą spalio 10 d. ir teigė, kad visos patikrintos vagystės, susijusios su incidentu, buvo susijusios su įrenginiais, įsigytais per CryptoBilis, kuris nuo to laiko nustojo parduoti savo produktus.
Tačiau tyrėjai dabar tiria ataskaitas, kuriose dalyvauja kiti įgalioti mažmenininkai.
Spalio 13 d. Ledger patvirtino, kad MediaMarktSaturn sustabdė savo aparatinės įrangos piniginių pardavimą fizinėse parduotuvėse ir internetinėse platformose po pranešimo apie implantuotą įrenginį, įsigytą Vokietijoje.
Bendrovė teigė nepranešusi apie jokius finansinius nuostolius, susijusius su Vokietijos byla.
Atskirai buvęs Mt. Gox vykdomasis direktorius Markas Karpelèsas pranešė atradęs šnipinėjimo implantą „Ledger Flex“, įsigytame iš „MetaPod“ parduotuvės Singapūro Changi oro uoste.
„CryptoQuant“ analitikas „Darkfost“ taip pat pažymėjo, kaip pranešama, sugadintą „Ledger Flex“, įsigytą iš „Challenger’s VivoCity“ parduotuvės Singapūre.
Šios išvados nebuvo nepriklausomai patvirtintos Ledger ir nesusijusios su CryptoBilis ataka.
Vėliau „Darkfost“ išplėtė įgaliotųjų mažmenininkų stebėjimo sąrašą Pietryčių Azijoje ir Europoje, remdamasis galimu platinimo poveikiu, ir įspėjo, kad įtraukimas nekelia kompromiso.
Didėjantis pranešimų skaičius sustiprino tikrinimą, kur buvo modifikuoti įrenginiai ir ar incidentai turi bendrą platinimo kanalą.
Nepriklausomi „blockchain“ tyrėjai įtariamus nuostolius, siekiančius 93 mln. USD, susiejo su platesniu incidentu, nors „Ledger“ nepatikrino nei bendros pavogtos vertės, nei nukentėjusių klientų skaičiaus.
Gamintojas teigia, kad jo vidinės sistemos ir paslaugos išlieka be kompromisų.
Ledger’s Donjon komanda tiria papildomus pateiktus įrenginius, siekdama nustatyti klastojimo šaltinį ir mastą.
