Производитель аппаратных кошельков Trezor объявил, что сократит число реселлеров в качестве «меры предосторожности, принятой из соображений особой осторожности» после сообщений об установке вредоносных имплантов в устройства конкурента Ledger.

В публикации в X во вторник Trezor заявила, что «нет ни единого доказательства того, что [её] устройства были скомпрометированы», после сообщений о том, что пользователи аппаратных кошельков Ledger обнаружили вредоносные импланты, раскрывавшие фразы для восстановления доступа.

Однако Trezor сообщила, что сократит число реселлеров, сославшись на «недавние инциденты в цепочке поставок». Коммерческий директор компании Дэнни Сандерс добавил, что уведомил некоторых реселлеров: 1 января их исключат из списка авторизованных партнёров компании, а поставки устройств Trezor прекратятся со вторника.

Источник: директор по коммуникациям Trezor Дэнни Сандерс

Заявление Trezor прозвучало всего через несколько дней после того, как Ledger подтвердила: по меньшей мере одно ее устройство, купленное реселлером из Юго-Восточной Азии, содержало несанкционированную аппаратную закладку, что могло привести к потерям пользователей на миллионы долларов. Кошельки, проданные реселлером CryptoBilis, перехватывали фразы восстановления и передавали их через сотовые сети.

«Наши проверки при настройке призваны выявлять поддельные устройства и модифицированные прошивки, — рассказал Cointelegraph представитель Trezor. — Закладка, обнаруженная в устройстве, купленном у CryptoBilis, работает иначе. Это уникальный способ вмешательства в работу устройства: он не модифицирует прошивку, а считывает информацию с экрана и позднее отправляет ее злоумышленнику. Пока мы не сталкивались с подобным типом атаки на устройства Trezor в реальных условиях».

В ходе расследования CryptoBilis, авторизованный реселлер Trezor, приостановил все продажи аппаратных кошельков. Материнская компания европейского ритейлера электроники MediaMarkt также объявила, что удалила все продукты Ledger из своих физических магазинов и онлайн-площадок «в качестве меры предосторожности».

Сколько средств пользователей было потеряно?

Специалисты по расследованию блокчейн-инцидентов продолжают выяснять масштаб потерь среди пользователей аппаратных кошельков, однако, согласно исследованию двух человек, сумма может составлять от 72 до 86 миллионов долларов. Во вторник Ledger сообщила, что «не установила ни общее число пострадавших пользователей, ни общую сумму потерь» в результате взломов.

Представитель Trezor посоветовал пользователям покупать продукты напрямую у компании, «проверять целостность пломбы», а также рассмотреть возможность использования мультиподписного кошелька «с устройствами разных производителей, чтобы одно скомпрометированное устройство не могло самостоятельно перевести средства».

Журнал: Значат ли атаки на Coldcard, что все аппаратные кошельки теперь небезопасны?