Инцидент со взломом кошелька Ledger связан с несанкционированным аппаратным имплантатом, подтвержденным в одном из пострадавших устройств, связанном с предполагаемым каналом реселлера. Это не означает, что каждый кошелек Ledger или собственные системы Ledger были скомпрометированы.
Модифицированное устройство может раскрыть фразу восстановления во время настройки. Покупайте у доверенного источника и никогда не вводите фразу, которую вам дал кто-то другой.
Что подтвердило расследование на данный момент
Ledger подтвердил, что одно устройство, принадлежащее пострадавшему пользователю, содержало несанкционированный аппаратный имплантат. Это серьезное открытие, но оно не означает, что каждое устройство Ledger, каждый реселлер или собственные производственные системы Ledger были скомпрометированы.
По сообщениям СМИ, пострадавшие устройства связаны с каналом реселлера, а убытки оцениваются более чем в 86 миллионов долларов.
Эти цифры убытков остаются предполагаемыми оценками, поскольку расследования продолжаются, поэтому их не следует представлять как окончательную проверенную сумму. Отчет The Verge обобщает предполагаемые результаты по устройствам и ответ Ledger.
Аппаратный кошелек хранит ключи в автономном режиме, но не устраняет все риски. Устройство может хранить приватные ключи в автономном режиме, но все же быть взломанным до доставки.
Покупателя также можно обмануть, заставив его поделиться фразой восстановления. Это проблема цепочки поставок и настройки.
Это не означает, что каждый аппаратный кошелек небезопасен.
Почему экран настройки важнее упаковки
Фраза восстановления — это набор слов, которые могут восстановить кошелек. Любой, у кого есть эта фраза, может получить доступ к средствам.
Во время нормальной настройки фраза должна генерироваться устройством и записываться владельцем. Продавец, агент поддержки, веб-сайт или «помощник» никогда не должны просить владельца отправить им фразу.
Некоторые покупатели обращают внимание на термоусадочную пленку или пломбу. Эти проверки могут помочь, но они не доказывают подлинность устройства.
Собственное руководство Ledger по подлинности устройств объясняет, что визуальные пломбы могут быть скопированы, а проверка подлинности программного обеспечения имеет ограничения: она может не обнаружить все физические модификации. Это не делает аутентификацию бесполезной.
Это означает, что владельцы должны сочетать официальные проверки с безопасной процедурой настройки и доверенным каналом покупки.
Если устройство поставляется с уже напечатанной фразой восстановления, просит пользователя ввести фразу, предоставленную продавцом, или направляет пользователя на неофициальный веб-сайт, остановитесь. Не вводите существующие слова кошелька на устройство.
Не сканируйте QR-коды настройки, ведущие на незнакомый домен. Свяжитесь с производителем по адресу, введенному вручную с его официального веб-сайта, и попросите продавца подтвердить происхождение устройства.
Что могут сделать текущие владельцы без паники
- Проверьте, была ли покупка совершена у Ledger или у реселлера, упомянутого в текущих официальных обновлениях инцидента. Держите под рукой электронное письмо о заказе и информацию о серийном номере устройства.
- Просмотрите последнюю страницу инцидента производителя и используйте только официальное приложение, загруженное с его веб-сайта или из проверенного списка в магазине приложений.
- Если устройство входит в число пострадавших или процесс настройки выглядит необычно, не используйте его для доступа к дорогостоящему кошельку. Переместите средства на новый кошелек, созданный на доверенном устройстве, следуя официальным инструкциям.
- Если фраза восстановления могла быть раскрыта, считайте ее скомпрометированной. Создание нового адреса недостаточно, если старая фраза все еще контролирует средства; переведите активы на недавно сгенерированный кошелек.
Будьте осторожны с непрошеными «помощниками по восстановлению». Человек, который связывается с жертвой после публичного инцидента, может пытаться украсть ту же фразу восстановления во второй раз. Настоящая поддержка не нуждается в фразе.
Никто не может отменить транзакцию в блокчейне просто потому, что владелец сообщил о ней.
Как оценить влияние на рынок
Подобный инцидент может снизить уверенность людей в аппаратных кошельках. Он также может повлиять на компании, связанные с криптовалютой.
Для BTC прямой эффект обычно ограничен, если событие не вызывает массовые продажи, депозиты на биржи или более широкую потерю доверия к криптовалютной инфраструктуре. Сетевые правила Биткойна отделены от безопасности стороннего аппаратного устройства.
Трейдеры могут отслеживать цену BTC, потоки на биржах и расширяются ли сообщения за пределы одного канала реселлера, прежде чем предполагать влияние на весь рынок.
Для простого рыночного ориентира Tapbit предлагает бессрочный рынок BTC-USDT. Это контракт на Биткойн, а не продукт, связанный с инцидентом Ledger. Трейдер, просматривающий его, должен проверить текущие условия контракта, маржу, финансирование и цену ликвидации перед размещением любого ордера.
Как организации могут снизить риск в цепочке поставок
Для домохозяйства покупка напрямую у производителя часто является самым простым способом снизить неопределенность.
Бизнес, хранящий активы клиентов, также может вести учет устройств, записывать, откуда поступила каждая единица, и требовать, чтобы второй человек проверил настройку перед внесением средств.
Эти проверки не делают взлом невозможным, но они облегчают обнаружение необычного устройства до того, как оно защитит дорогостоящий кошелек.
Компании могут настраивать устройства на отдельном компьютере и ограничивать доступ к резервным копиям восстановления. Они также должны сначала протестировать восстановление кошелька с небольшой суммой.
Тест подтверждает, что владелец понимает резервное копирование, не раскрывая основной кошелек. Если подозревается инцидент, запишите модель, продавца, серийные данные и шаги настройки, затем сообщите об этом через официальные каналы.
Эти записи могут помочь показать, ограничена ли проблема одним продавцом или партией.
Создайте аккаунт Tapbit, чтобы изучить доступные рынки.
Продукт Tapbit и шаги торговли
Рынок BTC-USDT на Tapbit отслеживает BTC, а не тему безопасности кошельков или квантовую тему этой статьи. Прочтите руководство по фьючерсам и ознакомьтесь с условиями действующего контракта перед торговлей.
- Зарегистрируйтесь или войдите и подготовьте USDT.
- Откройте BTC-USDT и ознакомьтесь с контрактом, режимом маржи, кредитным плечом и графиком торговли.
- Выберите лонг или шорт, тип ордера, размер позиции и любые уровни стоп-лосс или тейк-профит.
- Проверьте комиссии, маржу и цену ликвидации перед подтверждением; отслеживайте позицию и закрывайте ее в соответствии с вашим планом.
FAQ
Означает ли это, что все устройства Ledger небезопасны?
Нет. Подтвержденное обнаружение имплантата касается одного пострадавшего устройства; следуйте текущему руководству Ledger по инцидентам и проверьте свой собственный путь покупки.
Должна ли поддержка когда-либо запрашивать мою фразу восстановления?
Нет. Фраза восстановления должна оставаться конфиденциальной и никогда не должна передаваться человеку, веб-сайту или в чат.
