Confronto tra CEO di Ledger e ex capo di Mt. Gox
Il CEO di Ledger, Pascal Gauthier, ha avuto un confronto pubblico con l’ex capo di Mt. Gox, Mark Karpelès, riguardo agli avvertimenti sui portafogli hardware manomessi, legati a furti di criptovalute stimati in circa 90 milioni di dollari.
Dettagli dello scambio
In uno scambio avvenuto il 17 ottobre su X, Karpelès ha messo in dubbio se il produttore di portafogli avesse comunicato chiaramente il pericolo di impianti di spionaggio sofisticati prima che i clienti segnalassero perdite relative a dispositivi venduti tramite il rivenditore del sud-est asiatico CryptoBilis.
“Provenendo dal CEO di Mt. Gox… Dai, uomo. Non sei un cavaliere bianco. Svegliati,” ha scritto Gauthier.
Scoperte e indagini
La disputa è seguita alla scoperta di elettronica non autorizzata all’interno di un dispositivo Ledger autentico. Gli investigatori hanno scoperto che l’hardware aggiuntivo poteva catturare la frase di recupero di 24 parole di un portafoglio durante la configurazione e trasmetterla tramite una connessione cellulare.
Le stime della ricerca collocano le perdite sospette sopra i 90 milioni di dollari. Ledger non ha stabilito quella cifra come totale finale verificato, e la rivendicazione di Karpelès secondo cui avvertimenti precedenti avrebbero potuto prevenire tali perdite rimane non provata.
Comunicazione e sicurezza
Karpelès ha riconosciuto che l’azienda aveva pubblicato un articolo sulla sicurezza a marzo che copriva i rischi associati ai dispositivi manomessi. Tuttavia, ha sostenuto che pubblicare indicazioni in una sezione educativa fosse insufficiente, data la sofisticazione dei dispositivi scoperti successivamente.
Gauthier ha risposto che l’azienda lavora ampiamente per proteggere i clienti e che gli esterni dovrebbero distinguere tra prove consolidate e speculazioni.
Il ruolo di Mt. Gox
Karpelès ha risposto che la sua esperienza con un grande fallimento di scambio era un motivo per aspettarsi una comunicazione di sicurezza più forte da parte delle aziende che gestiscono beni dei clienti. Mt. Gox è crollato nel 2014 dopo enormi perdite di Bitcoin, lasciando i creditori di fronte a un lungo processo di recupero.
Articolo sulla sicurezza di Ledger
L’articolo sulla sicurezza al centro della disputa è intitolato “Best Practices To Securely Buy Your Ledger Signer”. La versione attualmente accessibile spiega diversi modi in cui i criminali possono interferire con i portafogli hardware prima che raggiungano i clienti.
La sua sezione sulla manomissione fisica descrive gli attaccanti che aggiungono componenti non autorizzati che possono catturare informazioni visualizzate durante la configurazione del portafoglio.
Limitazioni del sistema di autenticazione
La documentazione di Ledger stessa conferma un’importante limitazione del suo sistema di autenticazione dei dispositivi. Il Genuine Check dell’azienda verifica l’identità crittografica del Secure Element, il chip protetto utilizzato per eseguire operazioni sensibili del portafoglio.
Il controllo non ispeziona ogni componente fisico all’interno del portafoglio né stabilisce che nessuno abbia modificato il dispositivo dopo la produzione.
Conclusioni e raccomandazioni
Ledger ha iniziato a indagare sulle lamentele dei clienti che avevano acquistato portafogli hardware tramite CryptoBilis. Ha raccomandato ai clienti interessati di spostare i fondi in un portafoglio generato utilizzando una nuova frase di recupero su un dispositivo affidabile.
Le attuali linee guida all’acquisto di Ledger raccomandano di acquistare direttamente dall’azienda o tramite venditori autorizzati, controllando eventuali manomissioni visibili e completando l’autenticazione tramite software ufficiale.
