#ledger确认用户设备遭植入未授权硬件
Аппаратный кошелёк, купленный у официального авторизованного продавца, а внутри после вскрытия обнаружился чип, которого там быть не должно. Ущерб оценивают в 86 млн долларов 🦖
🕐 最新解读群里更新
В воскресенье, 11 октября, Ledger подтвердила в публикации, что в устройстве одного из пользователей обнаружили несанкционированный аппаратный компонент. По оценке расследователя Specter, ущерб в результате этой атаки может превысить 86 млн долларов. Он затронул три блокчейна: Bitcoin, Ethereum и TRON ⚠️
Проблемное устройство поступило от дистрибьютора из Юго-Восточной Азии CryptoBilis, авторизованного продавца Ledger в Индонезии, Малайзии и на Филиппинах.
«Авторизованный», «оригинальный», «официальный канал» — эти слова обычно дают людям чувство безопасности. Но на этот раз подвёл как раз он: авторизованный продавец, которого теперь назвали по имени 🔒
Посмотрим на действия сторон. CryptoBilis приостановила продажу всех аппаратных кошельков до завершения расследования. Ledger, с одной стороны, подчёркивает, что инцидент ограничен одним дистрибьютором и рынками, где он работает, а инфраструктура, системы и сервисы самой компании не были взломаны. С другой стороны, компания дала два совета: пока не инициализировать устройства, которые ещё не были настроены; тем, кто уже настроил свои устройства, стоит подумать о переносе активов на новое устройство для подписания транзакций, используя новую сид-фразу.
Важно обратить внимание на формулировки. На данный момент Ledger не подтвердила ни число пострадавших клиентов, ни точную сумму ущерба. 86 млн долларов — это оценка стороннего расследователя, а не официальная цифра.
Иными словами, границы безопасности холодного кошелька проходят не только по самому чипу, но и по всему пути устройства к вам. Официальный канал не гарантирует, что подмены не произошло на каком-либо этапе. Именно на это и стоит обратить особое внимание. Если подобные внедрения превратятся в масштабируемую отрасль, всю концепцию самостоятельного хранения активов придётся пересмотреть 💥
Кстати, Tether тоже заморозила USDT, связанные с этим инцидентом. Это показывает, что к расследованию уже подключили отслеживание транзакций в блокчейне. Уязвимость на аппаратном уровне в итоге всё равно приходится расследовать по данным блокчейна.
Купили бы вы аппаратный кошелёк у стороннего продавца, чтобы сэкономить несколько десятков долларов? Или предпочли бы доплатить и купить напрямую у производителя? Обсудим в комментариях.
Каждый день рассказываю о главных новостях в сфере криптобезопасности: не просто о том, что произошло, но и о логике и возможностях, которые за этим стоят 👀🚀
Нажмите на аватар, чтобы посмотреть прямой эфир
Аппаратный кошелёк, купленный у официального авторизованного продавца, а внутри после вскрытия обнаружился чип, которого там быть не должно. Ущерб оценивают в 86 млн долларов 🦖
🕐 最新解读群里更新
В воскресенье, 11 октября, Ledger подтвердила в публикации, что в устройстве одного из пользователей обнаружили несанкционированный аппаратный компонент. По оценке расследователя Specter, ущерб в результате этой атаки может превысить 86 млн долларов. Он затронул три блокчейна: Bitcoin, Ethereum и TRON ⚠️
Проблемное устройство поступило от дистрибьютора из Юго-Восточной Азии CryptoBilis, авторизованного продавца Ledger в Индонезии, Малайзии и на Филиппинах.
«Авторизованный», «оригинальный», «официальный канал» — эти слова обычно дают людям чувство безопасности. Но на этот раз подвёл как раз он: авторизованный продавец, которого теперь назвали по имени 🔒
Посмотрим на действия сторон. CryptoBilis приостановила продажу всех аппаратных кошельков до завершения расследования. Ledger, с одной стороны, подчёркивает, что инцидент ограничен одним дистрибьютором и рынками, где он работает, а инфраструктура, системы и сервисы самой компании не были взломаны. С другой стороны, компания дала два совета: пока не инициализировать устройства, которые ещё не были настроены; тем, кто уже настроил свои устройства, стоит подумать о переносе активов на новое устройство для подписания транзакций, используя новую сид-фразу.
Важно обратить внимание на формулировки. На данный момент Ledger не подтвердила ни число пострадавших клиентов, ни точную сумму ущерба. 86 млн долларов — это оценка стороннего расследователя, а не официальная цифра.
Иными словами, границы безопасности холодного кошелька проходят не только по самому чипу, но и по всему пути устройства к вам. Официальный канал не гарантирует, что подмены не произошло на каком-либо этапе. Именно на это и стоит обратить особое внимание. Если подобные внедрения превратятся в масштабируемую отрасль, всю концепцию самостоятельного хранения активов придётся пересмотреть 💥
Кстати, Tether тоже заморозила USDT, связанные с этим инцидентом. Это показывает, что к расследованию уже подключили отслеживание транзакций в блокчейне. Уязвимость на аппаратном уровне в итоге всё равно приходится расследовать по данным блокчейна.
Купили бы вы аппаратный кошелёк у стороннего продавца, чтобы сэкономить несколько десятков долларов? Или предпочли бы доплатить и купить напрямую у производителя? Обсудим в комментариях.
Каждый день рассказываю о главных новостях в сфере криптобезопасности: не просто о том, что произошло, но и о логике и возможностях, которые за этим стоят 👀🚀
Нажмите на аватар, чтобы посмотреть прямой эфир