A jelentett Ledger tárca kémprogram-chip olyan történet, amely még az óvatos kriptotulajdonosokat is elgondolkodtatja. A Risky Bulletin hírlevélről szóló tudósítások és a nyomkövető riportok szerint egy rejtett hardveres implantátumot találtak Ledger eszközökben, ami egy biztonsági eszközként árult terméket lehetséges megfigyelési csatornává változtatott. Ugyanez a hírlevél egy szupermarket elleni kibertámadást és egy európai törekvést is jelzett, miszerint az okosszemüvegeknek sípolniuk kellene felvétel közben. Ezek együtt megmutatják, mennyire függ a modern adatvédelem a körülöttünk lévő hardverbe vetett bizalomtól.

Egy megjegyzés a forrásokról: maga a hírlevél-bejegyzés egy rövid összefoglaló. Az alábbi részletek a írás idején elérhető tudósításokból származnak, és egyes adatok változhatnak, ahogy a vizsgálat folytatódik.

Mit találtak a Ledger tárcákban

A közzétett jelentések szerint a Ledger azt állítja, hogy rejtett hardvert ültettek a CryptoBilis nevű viszonteladó által értékesített tárcákba. Az implantátum állítólag leolvasta a felhasználók helyreállítási mondatait az eszköz képernyőjéről, és mobilhálózaton keresztül továbbította azokat. A jelentések a becsült veszteségeket körülbelül 90 millió és 93 millió dollár közé teszik, bár a pontos összeg kiadványonként változik.

Két részlet számít itt. Először is, a jelentett probléma nem a tárca alaptervezésének hibája. Ez bizonyos egységek manipulálása, amelyek viszonteladón keresztül jutottak el a vásárlókhoz. Másodszor, a helyreállítási mondat a tárca mesterkulcsa. Aki megszerzi, az eredeti eszköz érintése nélkül mozgathatja a pénzeszközöket.

A Ledger állítólag felülvizsgálja, hogyan jutnak el az eszközei a vásárlókhoz. Azok a kérdések, hogy hány egységet érintett, és hogyan adták hozzá az implantátumokat, még mindig nyilvános tudósításokban kerülnek feldolgozásra.

Miért ássa alá a hardver-ellátási lánc manipulálása a bizalmat

A legtöbb ember a biztonságra úgy gondol, mint valamire, ami az eszköz bekapcsolása után történik: erős jelszavak, frissítések, titkosítás. Az ellátási lánc manipulálása a korábbi lépést támadja. Ha egy eszközt azelőtt módosítanak, hogy eljutna hozzád, a szoftveres védelem megkerülhető vagy belülről figyelhető.

A hardveres tárca egy egyszerű ígéret köré épül: a kulcsaid soha nem hagyják el az eszközt. Ez nagy értékű célponttá teszi. Egy implantátumnak, amely egyszerűen figyeli a képernyőt és továbbítja, amit lát, nem kell feltörnie semmilyen kriptográfiát. Csak az eszköz és a felhasználó között kell elhelyezkednie.

Ez az oka annak is, hogy a történet a kriptón túl is releváns. Routerek, telefonok, biztonsági kulcsok és minden más adatvédelem szempontjából kritikus kütyü ugyanazon a feltételezésen alapul: hogy ami a dobozban van, az az, amit a gyártó szállított. Amikor ez a lánc megszakad, a vevőnek általában nincs kézenfekvő módja észrevenni. Az incidens emlékeztető arra, hogy az eszközbe vetett bizalom magában foglalja mindazokba vetett bizalmat, akik kezelték. Hasonló téma, amikor az eszközök nem a tulajdonosuk szándéka szerint viselkednek, megjelenik az Anthropic negyedik AI-ügynök incidenséről szóló tudósításunkban, bár az az eset szoftvert érint, nem hardvert.

Mit szeretne az EU, amit az okosszemüvegek tegyenek

Ugyanez a Risky Bulletin kiadás megjegyzi, hogy az EU szeretné, ha az okosszemüvegek hangosan sípolnának, amikor felvételt készítenek. Az ötlet egyszerű: ha egy viselhető kamera tudtukon kívül rögzíthet embereket, a jelenlévőknek egyértelmű jelzést kell kapniuk.

Az összefoglaló nem fejti ki a jogi mechanizmust vagy az idővonalat, ezért egyelőre a legjobb javaslatként kezelni. Mégis kapcsolódik a Ledger történethez. Mindkét esetben a rejtett rögzítés a aggodalom: egy chip, amely csendben figyel egy képernyőt, vagy egy kamera, amely csendben figyel egy szobát. A szabályozók és a biztonsági kutatók ugyanarra az elvre konvergálnak, hogy a rejtett adatgyűjtést láthatóvá kell tenni vagy tervezés útján meg kell akadályozni.

A hírlevél egy olyan kibertámadást is említett, amely leolvasztotta a szupermarket hűtőit, és több helyen offline állította az Ahold Delhaize üzleteit. Ez egy külön incidens, de rávilágít arra, hogy a digitális hibáknak nagyon fizikai következményei lehetnek.

Hogyan csökkenthetik az adatvédelemre érzékeny felhasználók az eszközkockázatot

Nem tudod minden eszköz minden chipjét ellenőrizni, de csökkentheted a kitettségedet.

  • Vásárolj a gyártótól vagy hivatalos eladótól. A viszonteladói csatornák olyan kezelési lépéseket adnak hozzá, amelyeket nem látsz. Nézd meg a gyártó hivatalos eladóinak listáját vásárlás előtt.
  • Vizsgáld meg a csomagolást. Keresd a sérült pecséteket, az újrazárás jeleit vagy bármit, ami szokatlannak tűnik. Ne támaszkodj azonban kizárólag a csomagolásra.
  • Soha ne használj előre beállított helyreállítási mondatot. Ha egy eszköz úgy érkezik, hogy a mondat már le van írva, hagyd abba a használatát. Mindig generáld a sajátodat az eszközön.
  • Futtasd a gyártó hitelesség-ellenőrzését. A hardveres tárca gyártók általában biztosítanak módot az eszköz ellenőrzésére. Használd érkezéskor, és újra, ha bármilyen kétség merül fel.
  • Figyelj a furcsa hardverre. A váratlan rádiók, extra alkatrészek vagy a furcsán viselkedő eszköz, például felmelegedés vagy gyors energiamerítés, vizsgálatot érdemel.
  • Korlátozd, mi forog kockán egy eszközön. A vagyon több tárcára való szétosztása csökkenti egyetlen kompromittálódás kárát.

Mit jelent ez neked

Ha van hardveres tárcád, különösen, ha harmadik fél viszonteladón keresztül vásároltad, ellenőrizd, honnan származik. Ha a CryptoBilis értékesítette, kövesd a Ledger hivatalos útmutatását, és fontold meg a pénzeszközök átmozgatását egy ellenőrzött eszközről újonnan generált tárcába. Ha bizonytalan vagy az eszközöd eredetében, ugyanez az óvatos lépés érvényes.

Ha nincs kriptód, a tanulság akkor is érvényes. Minden adatvédelem szempontjából kritikus eszköz, a biztonsági kulcstól a routerig, csak annyira megbízható, mint az ellátási lánca. A hivatalos csatornákon keresztüli vásárlás az egyik legolcsóbb és leghatékonyabb elérhető védelem.

Fő tanulságok

A Ledger tárca kémprogram-chip története még fejlődik, és a részletek finomodhatnak, ahogy a Ledger és a nyomozók többet osztanak meg. Ami már világos, hogy a hardverbe vetett bizalmat nem lehet feltételezni. Ellenőrizd bármely hardveres tárcád vagy adatvédelem szempontjából kritikus eszközöd integritását, csak a gyártótól vagy hivatalos eladóktól vásárolj, és kezelj gyanúsként mindent, ami előre beállítva érkezik. Ezek a szokások perceket vesznek igénybe, és megelőzhetnek olyan veszteségeket, amelyeket semmilyen szoftverjavítás nem tud visszafordítani.