ضيّقت شركة Ledger المصنّعة للمحافظ المادية نطاق القضية في بيانها الصادر في 11 أكتوبر: فجميع حالات السرقة التي جرى التحقق منها تعود إلى أجهزة باعها الموزّع المعتمد CryptoBilis في جنوب شرق آسيا، ولم يُعثر على أي مؤشرات إلى اختراق أنظمة الشركة نفسها أو منتجاتها المباعة مباشرة.

والأهم هو تسلسل الأحداث. ففي 9 أكتوبر، طلبت Ledger من الموزّع تعليق جميع الشحنات؛ وفي 10 أكتوبر، أكدت وجود زرعة مادية غير مصرّح بها داخل جهاز واحد على الأقل؛ وفي 11 أكتوبر، حصرت النطاق بقناة واحدة. وفكّك Karpeles، المسؤول السابق في Mt. Gox، جهاز Ledger Nano X مصدره ماليزيا وبدا مغلقًا كما لو أنه لم يُفتح قط. وتحت بطانة الشاشة، وجد لوحة دوائر إضافية مزوّدة بمكوّن خلوي، قادرة على تسجيل عبارة الاسترداد الظاهرة على الشاشة أثناء الإعداد الأولي. بدا الجهاز طبيعيًا، واجتاز فحص البرنامج الثابت كالمعتاد.

تُقدّر الخسائر على السلسلة بما يتراوح بين 70 و93 مليون دولار. ولم تؤكد Ledger أي رقم بعينه، وقد جُمّد جزء من الأموال. ومن بين الأصول المتأثرة $BTC و$ETH .

والإجراء واضح: إذا اشتريت جهازًا من هذه القناة خلال الأشهر الثلاثة الماضية ولم تفعّله بعد، فلا تستخدمه الآن؛ أما إذا سبق لك استخدامه، فانقل أصولك إلى جهاز جديد وأنشئ عبارة استرداد جديدة. وتؤكد الشركة مجددًا أنها لن تطلب منك أبدًا الكلمات الأربع والعشرين.

كلما زاد عدد الوسطاء في سلسلة التوريد، زادت الأيدي الخفية.