Údajný **špionážní čip v peněžence Ledger** je přesně ten typ příběhu, který přiměje k zamyšlení i obezřetné držitele kryptoměn. Podle zpravodajství newsletteru Risky Bulletin a následného reportování byl v zařízeních Ledger nalezen skrytý hardwarový implantát, který proměnil produkt prodávaný jako bezpečnostní nástroj v možný sledovací kanál. Stejný bulletin upozornil také na kybernetický útok na supermarket a evropský tlak na to, aby chytré brýle pípaly při nahrávání. Tyto události společně ukazují, jak moc moderní soukromí závisí na důvěře v hardware kolem nás. Poznámka ke zdrojům: samotný záznam v newsletteru je stručným shrnutím. Podrobnosti níže pocházejí z reportování dostupného v době psaní tohoto článku a některé údaje se mohou v průběhu vyšetřování změnit. ## Co bylo nalezeno uvnitř peněženek Ledger Podle zveřejněných zpráv společnost Ledger uvádí, že skrytý hardware byl implantován do peněženek prodávaných prodejcem jménem CryptoBilis. Implantát údajně četl uživatelské recovery phrases z obrazovky zařízení a přenášel je přes mobilní síť. Zprávy odhadují ztráty přibližně na 90 až 93 milionů dolarů, přesná částka se však liší podle zdroje. Dva detaily jsou zde důležité. Zaprvé, hlášený problém není chybou v základním designu peněženky. Jde o manipulaci s konkrétními kusy, které se k kupujícím dostaly prostřednictvím prodejce. Zadruhé, recovery phrase je hlavním klíčem k peněžence. Kdokoli ji získá, může přesunout prostředky, aniž by se kdykoli dotkl původního zařízení. Společnost Ledger údajně přezkoumává, jak se její zařízení dostávají ke kupujícím. Otázky, kolik kusů bylo postiženo a jak byly implantáty přidány, jsou stále předmětem veřejného reportování. ## Proč manipulace s hardwarovým dodavatelským řetězcem podkopává důvěru Většina lidí přemýšlí o bezpečnosti jako o něčem, co se děje poté, co zařízení zapnete: silná hesla, aktualizace, šifrování. Manipulace s dodavatelským řetězcem útočí na dřívější krok. Pokud je zařízení upraveno dříve, než se k vám dostane, softwarové ochrany lze obejít nebo sledovat zevnitř. Hardwarová peněženka je postavena na jednoduchém slibu: vaše klíče nikdy neopustí zařízení. To z ní činí vysoce hodnotný cíl. Implantát, který jednoduše sleduje obrazovku a přenáší to, co vidí, nemusí prolomit žádnou kryptografii. Potřebuje se pouze vložit mezi zařízení a uživatele. To je také důvod, proč je tento příběh relevantní i mimo kryptoměny. Routery, telefony, bezpečnostní klíče a jakákoli další zařízení kritická pro soukromí závisí na stejném předpokladu: že to, co je v krabici, je to, co výrobce odeslal. Když je tento řetězec přerušen, kupující obvykle nemá žádný zjevný způsob, jak si toho všimnout. Incident je připomínkou, že důvěra v zařízení zahrnuje důvěru ve všechny, kdo s ním manipulovali. Podobné téma nástrojů chovajících se způsobem, který jejich majitelé nezamýšleli, se objevuje v našem článku o [čtvrtém incidentu AI agenta společnosti Anthropic](/en/anthropic-discloses-fourth-ai-agent-hacking-incident), i když tento případ se týká softwaru, nikoli hardwaru. ## Co EU chce, aby chytré brýle dělaly Stejné vydání Risky Bulletin poznamenává, že EU chce, aby chytré brýle hlasitě pípaly, když nahrávají. Myšlenka je přímočará: pokud nositelná kamera může zachytit lidi bez jejich vědomí, kolemjdoucí by měli dostat jasný signál. Shrnutí neuvádí právní mechanismus ani časový plán, takže je zatím nejlepší to považovat za návrh. Přesto to souvisí s příběhem Ledgeru. V obou případech je obavou skryté zachytávání: čip tiše sledující obrazovku nebo kamera tiše sledující místnost. Regulátoři a bezpečnostní výzkumníci se shodují na stejném principu, že skryté shromažďování dat by mělo být zviditelněno nebo mu mělo být zabráněno už v designu. Bulletin také zmínil kybernetický útok, který rozmrazil chladicí pulty v supermarketech a vyřadil prodejny Ahold Delhaize na několika místech. Je to samostatný incident, ale zdůrazňuje, jak digitální selhání může mít velmi fyzické důsledky. ## Jak mohou uživatelé dbající na soukromí snížit riziko zařízení Nemůžete prozkoumat každý čip v každém zařízení, ale můžete snížit svou expozici. - **Nakupujte od výrobce nebo autorizovaného prodejce.** Prodejní kanály třetích stran přidávají kroky manipulace, které nevidíte. Před nákupem si ověřte seznam autorizovaných prodejců výrobce. - **Zkontrolujte obal.** Hledejte porušené pečeti, známky opětovného zapečetění nebo cokoli, co vypadá neobvykle. Nespoléhejte však pouze na obal. - **Nikdy nepoužívejte přednastavenou recovery phrase.** Pokud zařízení dorazí s již zapsanou frází, přestaňte je používat. Vždy si vygenerujte vlastní přímo v zařízení. - **Proveďte kontrolu pravosti od výrobce.** Výrobci hardwarových peněženek obvykle poskytují způsob, jak zařízení ověřit. Použijte jej po doručení a znovu, pokud máte jakékoli pochybnosti. - **Všímejte si neobvyklého hardwaru.** Neočekávané radia, další součásti nebo zařízení, které se chová zvláštně, například se zahřívá nebo rychle vybíjí, si zaslouží pozornost. - **Omezte, co je v sázce na jednom zařízení.** Rozložení prostředků mezi více peněženek snižuje škody z jednoho kompromitování. ## Co to znamená pro vás Pokud vlastníte hardwarovou peněženku, zejména pokud jste ji koupili prostřednictvím prodejce třetí strany, zkontrolujte, odkud pochází. Pokud ji prodal CryptoBilis, řiďte se oficiálním doporučením společnosti Ledger a zvažte přesun prostředků do nově vygenerované peněženky z ověřeného zařízení. Pokud si nejste jisti původem svého zařízení, platí stejný opatrný krok. Pokud kryptoměny nevlastníte, lekce stále platí. Jakékoli zařízení kritické pro soukromí, od bezpečnostního klíče po router, je jen tak důvěryhodné jako jeho dodavatelský řetězec. Nákup z oficiálních kanálů je jednou z nejlevnějších a nejúčinnějších dostupných ochran. ## Klíčové body Příběh o špionážním čipu v peněžence Ledger se stále vyvíjí a podrobnosti mohou být upřesněny, jakmile Ledger a vyšetřovatelé zveřejní více informací. Co je již jasné, je to, že důvěru v hardware nelze předpokládat. Ověřte integritu jakékoli hardwarové peněženky nebo zařízení kritického pro soukromí, které vlastníte, nakupujte pouze od výrobce nebo autorizovaných prodejců a s čímkoli, co dorazí předkonfigurované, zacházejte jako s podezřelým. Tyto návyky zaberou minuty a mohou zabránit ztrátám, které žádná softwarová oprava nedokáže vrátit.