Ledger kriptovalūtu maku skandāls kļūst plašāks: implanti atrasti arī pie citiem tirgotājiem
Bijušais Mt. Gox vadītājs Marks Karpeless paziņojis, ka spiegprogrammatūras aparatūras implantus atradis Ledger makos, kas iegādāti vēl pie diviem oficiālajiem tālākpārdevējiem. Līdz šim šādi gadījumi bija saistīti tikai ar CryptoBilis. Karpeless arī brīdina, ka jaunā implanta konstrukcija varētu būt piemērota masveida ražošanai, savukārt Ledger norāda, ka pārbaudītajās noliktavu ierīču partijās Vācijā nav konstatētas uzlaušanas pēdas.
Ledger Flex no Čangi lidostas un Nano X no MediaMarkt
Par abiem gadījumiem Karpeless pastāstīja 15. oktobrī tiešraidē raidījumā Unchained. Pirmā ierīce ir Ledger Flex, kas iegādāta pie Metapod, tālākpārdevēja, kura veikali atrodas Singapūras Čangi lidostā. Par šo atklājumu Karpeless jau 13. oktobrī bija rakstījis platformā X. Pēc viņa teiktā, implants pielāgots Flex modelim, taču tajā izmantota tā pati shēma un darbības princips: trīs mikroshēmas.
Otra ierīce ir Ledger Nano X, kas iegādāta Vācijas elektronikas mazumtirdzniecības tīklā MediaMarkt. Kāds platformas X lietotājs vārdā Johanness 11. oktobrī publicēja sava maka fotogrāfijas un pēc tam nosūtīja pa vienai ierīcei gan Karpelesam, gan Ledger. Karpeless atvēra viņam nosūtīto maku un, pēc paša teiktā, atrada tajā implantu. Tas bija uzstādīts nedaudz citādi nekā Dienvidaustrumāzijā atrastajās ierīcēs, taču Karpeless uzskata, ka izmantots tas pats modulis.
Aprakstītā implanta darbības princips ir samērā vienkāršs. Viena mikroshēma nolasa ekrānā redzamo attēlu, otra darbojas kā mobilo sakaru modems, bet trešā, eSIM mikroshēma, nodrošina datu nosūtīšanu ārpus ierīces. Tas rada nopietnu risku, jo tieši uz aparatūras maka ekrāna lietotājam tiek parādīta Seed Frāze, kas ļauj piekļūt viņa kriptoaktīviem.
Ledger: pārbaudītajās Vācijas noliktavu partijās problēmas nav atrastas
Ledger nostāja pagaidām nav mainījusies. Uzņēmums norāda, ka visi līdz šim apstiprinātie līdzekļu zaudēšanas gadījumi saistībā ar 9. oktobra incidentu ir saistīti ar CryptoBilis pārdotajām ierīcēm.
Vienlaikus uzņēmums jau veicis vairākus drošības pasākumus. 13. oktobrī mazumtirdzniecības tīkls MediaMarkt Saturn, vienojoties ar Ledger, apturēja uzņēmuma aparatūras maku pārdošanu. Vēl agrāk Ledger bija lūdzis tirgotājiem septiņās Āzijas valstīs, tostarp Singapūrā, uz laiku pārtraukt šo ierīču tirdzniecību.
14. oktobrī Ledger paziņoja, ka pārbaudījis ierīces Vācijas mazumtirdzniecības un izplatīšanas noliktavās, tostarp minētajos veikalos, taču nav atradis pazīmes, kas liecinātu par ierīču atvēršanu vai iejaukšanos to konstrukcijā. Uzņēmums gan precizēja, ka sociālajos tīklos publiskotās ierīces pats vēl nebija pārbaudījis.
Karpeless brīdina par implanta masveida ražošanas iespējām
Visvairāk bažu Karpelesa stāstījumā rada tas, kā mainījusies paša implanta konstrukcija. Iepriekš elektronisko plati ierīcei pievienoja, izmantojot vadus, bet jaunajā versijā izmantotas gatavas plates, kuras var vienkārši nostiprināt korpusa iekšpusē. Pēc Karpelesa teiktā, Nano X modelī šāda plate praktiski pati iegulst paredzētajā vietā.
Viņš uzskata, ka šādas konstrukcijas izstrāde varētu būt prasījusi vairākus mēnešus un ievērojamus finanšu resursus.
Agrāk šādi implanti bijuši dārgi un paredzēti konkrētu personu mērķtiecīgai izspiegošanai. Jaunais modulis, pēc Karpelesa vērtējuma, izstrādāts tā, lai to varētu ražot lielākā apjomā. Viņš prognozē, ka nākotnē līdzīgu gadījumu varētu kļūt ievērojami vairāk. Tomēr pagaidām tas ir viņa vērtējums, nevis ar statistiku vai neatkarīgu izmeklēšanu apstiprināts secinājums.
Karpelesa teiktais ir uzmanības vērts arī viņa pieredzes dēļ. Viņš savulaik vadīja kriptovalūtu biržu Mt. Gox, kas piedzīvoja plašu uzlaušanu. Tomēr arī šajā gadījumā viņa prognoze par iespējamu masveida ražošanu vēl nav uzskatāma par pierādītu faktu.
Ja šīs aizdomas apstiprināsies, problēma vairs nebūs saistīta tikai ar vienu negodprātīgu tirgotāju. Apdraudēta varētu būt visa aparatūras maku piegādes ķēde, no kuras lielā mērā atkarīga šo ierīču drošība. To galvenais solījums ir glabāt privātās atslēgas bezsaistē un pasargāt tās no attālinātas piekļuves. Taču šāda aizsardzība var izrādīties nepietiekama, ja ierīce tiek modificēta vēl pirms nonākšanas pie pircēja.
Vai risinājums varētu būt drošāks iepakojums?
Jautāts, vai Ledger vajadzētu slēgt pilnvaroto tālākpārdevēju programmu, Karpeless atbildēja, ka tas, visticamāk, būtu pārāk radikāls solis. Tā vietā viņš ierosināja izmantot iepakojumu, kas ļautu pircējam uzreiz pamanīt, vai tas ticis atvērts.
Tagad īpaši svarīgi būs noskaidrot, ko Ledger atradīs Nano X ierīcē, kuru Johanness nosūtījis uzņēmumam pārbaudei. Ja implants tiks apstiprināts arī šajā ierīcē, būs grūtāk uzturēt versiju, ka problēma aprobežojas tikai ar CryptoBilis. Tad Ledger būs jāizskaidro, kā modificētas ierīces varēja nonākt lielā Eiropas mazumtirdzniecības tīklā.
Pagaidām ir divi jauni Karpelesa ziņoti gadījumi, bet Ledger pretī liek savu pārbaužu rezultātus, kuros pārbaudītajās Vācijas noliktavu partijās iejaukšanās pazīmes nav atrastas. Izšķiroša nozīme būs tam, ko parādīs pašu sociālajos tīklos izcelto ierīču neatkarīga pārbaude.
