Ledger yathibitisha kifaa fiche kwenye wallet ya mteja: hatari halisi ni mnyororo wa ugavi

Mnamo Oktoba 10, Ledger Support ilithibitisha kuwa wallet ya mteja mmoja aliyeathirika ilikuwa na "hardware implant isiyoruhusiwa" (kifaa cha kielektroniki kilichowekwa kwa siri). Kifaa hicho kilikuwa cha mtumiaji aliyehusika katika uchunguzi wa wizi unaohusisha CryptoBilis, muuzaji wa rejareja anayefanya kazi Indonesia, Malaysia na Ufilipino. Kampuni ya uchambuzi wa data za blockchain, Bitquery, inakadiria kuwa takriban dola milioni 92.9 ziliibwa kutoka kwenye wallet 311. Ledger haijathibitisha kiasi hicho, na haijasema kuwa kifaa hicho fiche ndicho kilichosababisha hasara.

Ishara: udhaifu ulikuwa kwenye njia ya usafirishaji

Ledger inasema haina dalili yoyote kwamba miundombinu, mifumo au huduma zake za usalama ziliathirika. Ukichukulia kauli hiyo kama ilivyo, hadithi inabadilika. Kriptografia na firmware (programu ya ndani ya kifaa) vinaweza kuwa salama huku kitu halisi alichoshika mteja kikiwa si kile ambacho mtengenezaji alikisafirisha. Bidhaa za self-custody (kuhifadhi mali yako mwenyewe) huuza wazo kwamba huhitaji tena kumwamini mtu wa tatu. Hata hivyo, hardware wallet inarudisha uaminifu huo kwa njia nyingine: kila mtu aliyeshika boksi kati ya kiwandani na mezani kwako. Ripoti za wizi zilianza Oktoba 9 miongoni mwa wateja walionunua kupitia muuzaji mmoja, na mwelekeo huo unaelekeza kwenye njia ya mauzo, ingawa Ledger haijasema kifaa kilirekebishwa vipi wala lini.

Jinsi kifaa fiche kinavyoweza kuiba wallet

Recovery phrase (maneno ya kurejesha wallet) kwa kawaida ni maneno 24 yanayomruhusu mtu yeyote kuijenga upya wallet na kuidhinisha uhamisho bila kifaa asilia. Wakati wa usanidi, wallet huonyesha maneno hayo kwenye skrini yake. Mtafiti Mark Karpelès, aliyekuwa Mkurugenzi Mtendaji wa Mt. Gox, aliripoti kupata vifaa vya ziada vya kielektroniki vilivyofichwa nyuma ya skrini ya Ledger Nano X aliyoipata Malaysia, ndani ya nyenzo ambayo kwa kawaida hutumika kulinda skrini. Maelezo ya kiufundi yaliyochapishwa na Tibane Labs yalieleza microcontroller (chipu ndogo ya kudhibiti), vifaa vya mawasiliano ya simu za mkononi na miunganisho kwenye njia za ndani za data za skrini. Uchambuzi wao ulionyesha kuwa kipande kama hicho kinaweza kunasa kinachoonyeshwa kwenye skrini wakati wa usanidi.

Hiyo ni dhana, si matokeo yaliyothibitishwa. Ledger haijasema kama kifaa hicho fiche kilituma data yoyote, wala haijathibitisha kuwa mbinu hii ilimaliza fedha kwenye akaunti yoyote. Karpelès pia aliripoti kuwa kifungashio kilionekana kuwa kizima, jambo linaloibua hoja isiyopendeza: ukaguzi wa kawaida wa macho huenda usigundue marekebisho ya aina hii.

Kilichofanywa na Ledger na muuzaji

Ledger iliomba CryptoBilis isitishe mauzo ya Ledger, kisha muuzaji huyo akasimamisha mauzo ya hardware wallet zake zote hadi uchunguzi utakapokamilika. Wateja walionunua kupitia CryptoBilis na bado hawajasanidi vifaa vyao wanashauriwa wasifanye hivyo. Kwa waliokwisha kutumia kifaa, Ledger inapendekeza kuhamisha fedha kwenye wallet mpya iliyoanzishwa kwa recovery phrase mpya kabisa. Inasisitiza kuwa kuhamishia recovery phrase ya zamani kwenye kifaa mbadala hakutatatua hatari ya kufichuka, kwa sababu phrase yenyewe inaweza kuwa imevuja. Ledger imewasiliana na vyombo vya sheria na inaipongeza mpango wa SEAL_911 wa Security Alliance kwa kusaidia. Haijataja washukiwa wowote wala ratiba.

Kwa upande mwingine, maafisa wawili wa zamani wa CryptoBilis, Arravind Prabu na Vimalatheethan, walisema walikabidhi udhibiti wa uendeshaji baada ya mabadiliko ya umiliki na kukamilisha makabidhiano mwezi Machi. Kauli yao haithibitishi ni nani aliyerekebisha kifaa hicho.

Maswali Unayopaswa Kujiuliza

• Hardware wallet yako ilitoka wapi hasa, na je, muuzaji anaweza kuthibitisha mnyororo usiovunjika wa umiliki kutoka kwa mtengenezaji?
• Ikiwa kifungashio kizima hakikufichua udanganyifu hapa, ni uthibitishaji gani zaidi ya ukaguzi wa macho unaopatikana kwa mnunuzi?
• Ledger inasema mifumo yake haikuathirika. Mtu wa nje ya kampuni angethibitishaje ni wapi kwenye mnyororo marekebisho yalifanyika?
• Ikiwa tayari umesanidi kifaa ulichonunua kupitia muuzaji wa tatu, je, uko tayari kutengeneza recovery phrase mpya na kuhamisha kila kitu?
• Ulinzi wa Ledger dhidi ya uchezeaji wa kifaa kimwili unajumuisha nini, na utaanza lini, ikizingatiwa haijatoa tarehe?

Cha Kufuatilia Baadaye

Ishara ya kuamua ni kama Ledger itabaini jinsi kifaa hicho fiche kilivyoingia kwenye wallet na kama itakiunganisha kipande hicho na wizi. Fuatilia idadi ya wallet nyingine zenye marekebisho kama hayo, kwa kuwa Ledger haijasema, pamoja na uthibitisho wowote wa takwimu za hasara za Bitquery. Ikiwa wauzaji wengine au maeneo mengine yatagundulika kuwa na vifaa vilivyorekebishwa, jambo hili litaacha kuwa tatizo la msambazaji mmoja na kuwa swali kuhusu jinsi kila hardware wallet inavyouzwa.