Імплант у Ledger знайшли ще у двох реселерів — дослідник

Імплант для крадіжки сід-фраз, уперше виявлений у гаманцях Ledger від південно-східноазійського реселера CryptoBilis, знайшовся й у пристроях від двох інших авторизованих продавців, стверджує Марк Карпелес, CEO токійської Karpelès Lab. У прямому ефірі Unchained 15 жовтня він сказав, що найновіша версія плати розрахована на масове виробництво. Ledger заявляє, що перевірені нею запаси в німецьких магазинах чисті.

Що знайшов Карпелес

• Ledger Flex, куплений у Metapod — реселера з магазинами в сінгапурському аеропорту Чангі, — містив версію імпланта, адаптовану під Flex, але влаштовану так само: три чипи — один зчитує екран, другий є мобільним модемом, третій — eSIM, через яку дані відправляються.
• У Nano X, який користувач X на ім'я Йоганнес купив у MediaMarkt у Німеччині, також був імплант, встановлений трохи інакше, ніж в азійських пристроях. «Це точно той самий імплант», — сказав Карпелес.
• Найновіші плати просто защіпаються на місце — у Nano X вона «фактично сама стає на місце», — що, за його словами, свідчить про місяці добре профінансованої розробки. Він очікує, що таких випадків буде «значно більше», і радить захищене від розкриття пакування замість відмови від мереж реселерів.

Ledger 14 жовтня повідомила, що перевірила роздрібні та дистриб'юторські запаси в Німеччині, зокрема в названих магазинах, і «жоден пристрій не мав ознак втручання», додавши, що ще не досліджувала пристрої, показані в мережі.

Тепер головний ризик — паніка

У подкасті Uneasy Money від Unchained дослідниця безпеки Тейлор Монаган сказала, що скарги, з якими вона працювала останніми днями, «насправді не є крадіжками через Ledger». Натомість налякані власники потрапляли на підроблену рекламу Ledger Live у Google, фейкові застосунки, фішингові сайти, листи-залякування та телефонні дзвінки. «Не панікуйте», — закликала вона. Bitquery нараховує $102,0 млн, викрадених із 324 гаманців під час першої хвилі; загальної суми Ledger не підтверджувала. Передісторія — у наших матеріалах про розслідування Ledger і скорочення реселерів Trezor.