Ledger oprește vânzările prin CryptoBilis după descoperirea unui portofel hardware modificat
Ledger a oprit temporar vânzarea portofelelor hardware prin distribuitorul CryptoBilis, după ce mai mulți utilizatori care au cumpărat de acolo au raportat că le-au fost furate fondurile. Investigația companiei a găsit pe cel puțin un dispozitiv afectat un implant hardware neautorizat.
Ce s-a întâmplat
- Ledger a început să investigheze plângeri privind fonduri furate de la utilizatori din Asia de Sud-Est care au cumpărat dispozitive prin CryptoBilis.
- Un investigator blockchain pseudonim estimează pierderile la peste 86 de milioane de dolari. Ledger nu a confirmat această sumă.
- Ledger spune că dispozitivul unuia dintre utilizatorii afectați conținea un implant hardware neautorizat. Compania îi contactează pe utilizatorii afectați pe măsură ce investigația continuă.
- CryptoBilis a oprit vânzarea tuturor portofelelor hardware până la finalul investigației.
- Într-o actualizare din 11 octombrie 2026, Ledger a spus că este afectat un număr „limitat” de dispozitive, iar toate cazurile confirmate până acum privesc dispozitive vândute prin CryptoBilis.
Ledger nu a publicat încă detalii tehnice despre implant și nu a spus cum sau în ce punct al lanțului de livrare au fost modificate dispozitivele. Până atunci, orice explicație a mecanismului rămâne speculație.
De ce contează
Un portofel hardware este de încredere doar în măsura în care este de încredere drumul pe care l-a parcurs până la tine. Este un atac fizic asupra lanțului de aprovizionare: punctul slab nu este firmware-ul sau criptografia Ledger, ci un canal de distribuție de care cumpărătorul nu avea motive să se îndoiască. Un dispozitiv modificat poate arăta și funcționa ca unul original, iar utilizatorul nu vede niciun semn de avertizare până când fondurile dispar.
Mai există un tipar de înșelătorie des întâlnit: dispozitive care vin cu fraza de recuperare deja tipărită sau scrisă, ori la care altcineva a văzut seed-ul. Orice portofel al cărui seed nu l-ai generat chiar tu, pe dispozitiv, trebuie considerat compromis.
Ce trebuie să faci
Dacă ai cumpărat un Ledger de la CryptoBilis în ultimele 90 de zile:
- Nu l-ai configurat încă? Nu-l inițializa. Așteaptă instrucțiuni de la Ledger.
- L-ai configurat deja? Mută-ți activele pe un dispozitiv Ledger nou, cumpărat printr-un canal autorizat, și generează pe el un seed nou.
Pentru toți utilizatorii de portofele hardware:
- Cumpără doar de la producător sau de la distribuitori autorizați. Evită marketplace-urile, vânzătorii neoficiali și ofertele „la reducere”.
- Fraza de recuperare trebuie generată de dispozitiv la configurare și scrisă de tine. Dacă a venit pre-tipărită sau a văzut-o altcineva, portofelul nu este sigur.
- Nu împărtăși niciodată fraza de recuperare sau PIN-ul. Producătorii nu ți le vor cere niciodată.
- Ignoră pe oricine se oferă să-ți „recupereze” fondurile pierdute. Aproape mereu este o a doua înșelătorie.
- Rulează verificarea de autenticitate a producătorului la configurare și verifică dacă ambalajul pare desfăcut sau modificat.
Pentru organizațiile care dețin trezorerie crypto:
- Păstrează o evidență a achiziției (furnizor, comandă, număr de serie) pentru fiecare dispozitiv de semnare. Inspectează dispozitivele la primire.
- Folosește configurații multi-semnătură cu dispozitive din canale de achiziție diferite, ca un singur dispozitiv compromis să nu poată muta fondurile singur.
- Include riscul de achiziție hardware în registrul de riscuri pentru terți / lanțul de aprovizionare.
4Tify va actualiza articolul pe măsură ce Ledger publică noi detalii tehnice.
Subiect relatat inițial de The Hacker News. Rezumatul și analiza aparțin 4Tify.