Конфликт между Ledger и Mt. Gox
Генеральный директор Ledger Паскаль Готье публично вступил в конфликт с бывшим главой Mt. Gox Марком Карпелесом по поводу предупреждений о модифицированных аппаратных кошельках, связанных с предполагаемыми кражами криптовалюты на сумму около $90 миллионов.
Обсуждение инцидента
В обмене сообщениями 17 октября в X Карпелес задал вопрос, насколько четко производитель кошельков сообщил о риске сложных шпионских имплантов, прежде чем клиенты сообщили о потерях, связанных с устройствами, проданными через юго-восточноазиатского реселлера CryptoBilis.
«Исходя из того, что вы были генеральным директором Mt. Gox… Давай, человек. Ты не белый рыцарь. Будь реалистом,» — написал Готье.
Обнаружение несанкционированной электроники
Спор возник после обнаружения несанкционированной электроники внутри подлинного устройства Ledger. Следователи выяснили, что дополнительное оборудование могло захватывать 24-словную фразу восстановления кошелька во время настройки и передавать ее через сотовую связь.
Исследования оценивают предполагаемые потери более чем в $90 миллионов. Ledger не установил эту цифру как окончательную проверенную сумму, и утверждение Карпелеса о том, что более ранние предупреждения могли предотвратить эти потери, остается неподтвержденным.
Обсуждение безопасности
Карпелес признал, что компания опубликовала статью по безопасности в марте, в которой рассматривались риски, связанные с подделанными устройствами. Однако он утверждал, что публикация рекомендаций в образовательном разделе была недостаточной, учитывая сложность позже обнаруженных устройств.
Готье ответил, что компания активно работает над защитой клиентов и что посторонние должны отличать установленные доказательства от спекуляций.
Документация и аутентификация
Документация Ledger подтверждает важное ограничение своей системы аутентификации устройств. Genuine Check компании проверяет криптографическую идентичность Secure Element, защищенного чипа, используемого для выполнения чувствительных операций с кошельком.
Однако проверка не может обнаружить несанкционированные физические добавления, когда оригинальный Secure Element остается нетронутым. В случае CryptoBilis сообщается, что вредоносная электроника работала наряду с легитимным оборудованием.
Рекомендации для клиентов
Ledger начал расследование жалоб от клиентов, которые приобрели аппаратные кошельки через CryptoBilis. Клиентам, которые приобрели устройства у реселлера в течение предыдущих 90 дней, было рекомендовано не инициализировать неиспользуемые кошельки.
Текущие рекомендации по покупке Ledger советуют покупать напрямую у компании или через авторизованных продавцов, проверять на видимые модификации и завершать аутентификацию через официальное программное обеспечение.
Заключение
Инцидент вызвал вопросы о надзоре за реселлерами, а также о технических мерах защиты, встроенных в отдельные устройства. Ledger предупреждает, что авторизованная дистрибуция и успешная Genuine Check не могут гарантировать, что кошелек никогда не был физически модифицирован.
