L'incidente di manomissione del wallet Ledger riguarda un impianto hardware non autorizzato confermato in un dispositivo interessato, collegato a un canale di rivenditori segnalato. Ciò non dimostra che ogni wallet Ledger o i sistemi di Ledger siano stati compromessi.
Un dispositivo modificato potrebbe esporre la frase di recupero durante la configurazione. Acquista da una fonte attendibile e non inserire mai una frase che ti è stata data da qualcun altro.
Cosa ha confermato finora l'indagine
Ledger ha confermato che un dispositivo appartenente a un utente interessato conteneva un impianto hardware non autorizzato. Questa è una scoperta seria, ma è più limitata rispetto all'affermazione che ogni dispositivo Ledger, ogni rivenditore o i sistemi di produzione di Ledger siano stati compromessi.
I rapporti dei media hanno collegato i dispositivi interessati a un canale di rivenditori e hanno citato perdite superiori a 86 milioni di dollari.
Queste cifre di perdita rimangono stime riportate mentre le indagini continuano, quindi non dovrebbero essere presentate come un totale finale verificato. Il rapporto di The Verge riassume i risultati dei dispositivi segnalati e la risposta di Ledger.
Un hardware wallet mantiene le chiavi offline, ma non elimina ogni rischio. Un dispositivo può mantenere le chiavi private offline, ma essere comunque manomesso prima della consegna.
Un acquirente può anche essere indotto a condividere la frase di recupero. Questo è un problema di catena di approvvigionamento e configurazione.
Non significa che ogni hardware wallet sia insicuro.
Perché la schermata di configurazione è più importante dell'imballaggio
Una frase di recupero è una serie di parole che possono ripristinare un wallet. Chiunque possieda la frase potrebbe essere in grado di prelevare i fondi.
Durante una configurazione normale, la frase dovrebbe essere generata dal dispositivo e scritta dal proprietario. Un venditore, un agente di supporto, un sito web o un "aiutante" non dovrebbero mai chiedere al proprietario di inviare loro la frase.
Alcuni acquirenti si concentrano sul sigillo di plastica o su un adesivo. Questi controlli possono aiutare, ma non provano che un dispositivo sia autentico.
La guida di Ledger sulla genuinità del dispositivo spiega che i sigilli visivi possono essere copiati e che un controllo software di autenticità ha dei limiti: potrebbe non rilevare ogni modifica fisica. Ciò non rende l'autenticazione inutile.
Significa che i proprietari dovrebbero combinare controlli ufficiali con una routine di configurazione sicura e un canale di acquisto attendibile.
Se un dispositivo arriva con una frase di recupero già stampata, chiede all'utente di inserire una frase fornita dal venditore o indirizza l'utente a un sito web non ufficiale, fermati. Non inserire parole di wallet esistenti nel dispositivo.
Non scansionare codici QR di configurazione che portano a un dominio sconosciuto. Contatta il produttore tramite l'indirizzo digitato manualmente dal suo sito web ufficiale e chiedi al venditore di confermare l'origine del dispositivo.
Cosa possono fare i proprietari attuali senza farsi prendere dal panico
- Verifica se l'acquisto proviene da Ledger o da un rivenditore menzionato negli attuali aggiornamenti ufficiali sull'incidente. Tieni a disposizione l'email dell'ordine e le informazioni sul numero di serie del dispositivo.
- Rivedi la pagina ufficiale dell'incidente più recente del produttore e utilizza solo l'applicazione ufficiale scaricata dal suo sito web o dall'elenco verificato dell'app store.
- Se il dispositivo rientra nel gruppo interessato, o il comportamento di configurazione appare insolito, non usarlo per accedere a un wallet di alto valore. Sposta i fondi su un nuovo wallet creato su un dispositivo attendibile, seguendo le istruzioni ufficiali.
- Se una frase di recupero potrebbe essere stata esposta, considerala compromessa. Creare un nuovo indirizzo non è sufficiente se la vecchia frase controlla ancora i fondi; trasferisci gli asset su un wallet appena generato.
Fai attenzione agli "aiuti di recupero" non richiesti. Una persona che contatta una vittima dopo un incidente pubblico potrebbe tentare di rubare la stessa frase di recupero una seconda volta. Il supporto reale non ha bisogno della frase.
Nessuno può annullare un trasferimento on-chain semplicemente perché il proprietario lo segnala.
Come leggere l'impatto sul mercato
Un incidente come questo può ridurre la fiducia nelle hardware wallet. Può anche influenzare le società correlate alle criptovalute.
Per BTC, l'effetto diretto è solitamente limitato a meno che l'evento non causi vendite diffuse, depositi sugli exchange o una più ampia perdita di fiducia nell'infrastruttura crypto. Le regole di rete di Bitcoin sono separate dalla sicurezza di un dispositivo hardware di terze parti.
I trader possono monitorare il prezzo di BTC, i flussi degli exchange e se i rapporti si espandono oltre un canale di rivenditori prima di presumere un effetto su tutto il mercato.
Per un semplice riferimento di mercato, Tapbit elenca un mercato perpetuo BTC-USDT. Questo è un contratto Bitcoin, non un prodotto legato all'incidente Ledger. Un trader che lo esamina dovrebbe controllare i termini attuali del contratto, il margine, il finanziamento e il prezzo di liquidazione prima di effettuare qualsiasi ordine.
Come le organizzazioni possono ridurre il rischio della catena di approvvigionamento
Per una famiglia, acquistare direttamente dal produttore è spesso il modo più semplice per ridurre l'incertezza.
Un'azienda che detiene asset dei clienti può anche mantenere un inventario dei dispositivi, registrare la provenienza di ogni unità e richiedere a una seconda persona di verificare la configurazione prima che vengano depositati i fondi.
Questi controlli non rendono impossibile la manomissione, ma rendono più facile rilevare un dispositivo insolito prima che protegga un wallet di alto valore.
Le aziende possono configurare i dispositivi su un computer separato e limitare l'accesso ai backup di recupero. Dovrebbero anche testare il recupero del wallet prima con una piccola quantità.
Il test conferma che il proprietario comprende il backup senza esporre il wallet principale. Se si sospetta un incidente, registrare il modello, il venditore, i dettagli seriali e i passaggi di configurazione, quindi segnalare tramite i canali ufficiali.
Questi registri possono aiutare a dimostrare se il problema è limitato a un venditore o a un lotto.
Crea un account Tapbit per esplorare i mercati disponibili.
Prodotti Tapbit e passaggi di trading
Il mercato BTC-USDT di Tapbit segue BTC, non la sicurezza del wallet o l'argomento quantistico di questo articolo. Leggi la guida ai futures e rivedi i termini del contratto live prima di fare trading.
- Registrati o accedi e prepara USDT.
- Apri BTC-USDT e rivedi il contratto, la modalità margine, la leva e il programma di trading.
- Seleziona long o short, tipo di ordine, dimensione della posizione e eventuali livelli di stop-loss o take-profit.
- Controlla commissioni, margine e prezzo di liquidazione prima di confermare; monitora la posizione e chiudila secondo il tuo piano.
FAQ
Ciò significa che tutti i dispositivi Ledger non sono sicuri?
No. La scoperta dell'impianto confermato riguarda un dispositivo interessato; segui la guida attuale di Ledger sull'incidente e controlla il tuo percorso di acquisto.
Il supporto dovrebbe mai chiedere la mia frase di recupero?
No. Una frase di recupero dovrebbe rimanere privata e non dovrebbe mai essere inviata a una persona, un sito web o una chat.
