Инцидент с Ledger усилил опасения из-за рисков в цепочке поставок
Исследователь Joe Grand считает, что обычным владельцам криптовалют практически невозможно выявить сложное вмешательство в аппаратный кошелёк. Поводом для обсуждения стали устройства Ledger с вредоносным имплантом
Один основной источник · Как мы проверяем новости
Что произошло
Опасения возникли после сообщений о потерях криптовалюты, связанных с устройствами Ledger, проданными через CryptoBilis — реселлера, который числится авторизованным в Индонезии, Малайзии и на Филиппинах.
Ledger подтвердил, что одно из затронутых устройств содержало несанкционированный имплант. По заявлению французского производителя, вредоносные компоненты перехватывали фразы восстановления пользователей и передавали их через сотовые сети.
Почему обнаружить подмену сложно
Joe Grand, специалист по безопасности аппаратного обеспечения, заявил, что от обычных владельцев криптовалют нельзя реалистично ожидать выявления сложного вмешательства в устройства. Он отметил, что даже технические специалисты не проверяют таким образом каждое устройство.
Grand помогал восстанавливать криптовалюту из заблокированных кошельков и разрабатывал методы обхода защитных механизмов и извлечения данных из чипов памяти в устройствах Trezor и KeepKey.
Риски цепочки поставок
Аппаратные кошельки предназначены для хранения закрытых ключей в автономном режиме, что снижает их подверженность онлайн-атакам, направленным на программные кошельки. Однако широкое распространение таких устройств создало возможности для вмешательства на этапе дистрибуции.
Mati Greenspan заявил, что не пользуется аппаратным кошельком, несмотря на участие в криптоиндустрии с 2013 года. По его мнению, покупка такого устройства добавляет новую цепочку доверия между производителем, поставщиком и всеми, кто имел к нему доступ до продажи.
Что советуют специалисты
Nick Neuman, генеральный директор компании Casa, специализирующейся на безопасности Bitcoin, отметил, что полностью исключить доверие к третьим сторонам невозможно: посредник, которому придётся доверять, существует всегда.
По его словам, пользователям следует распределять риск между несколькими поставщиками, а не полагаться только на одного.
Источники
Один основной источник. Как мы проверяем новости
