Boksen var forseglet. Plastfolien var perfekt. Men inni Ledger hardware-lommeboken lå det et lite kretskort laget for å stjele passordet og eierens krypto. Dette hevder tidligere Mt. Gox-sjef Mark Karpelès.
Karpelès, som ledet børsen som kollapset i 2014, sier at spionvaren var skjult bak skjermen der det egentlig skulle vært en bit polstring. Den inneholdt en antenne og et lite SIM-kort som kunne sende lommebokens 24-ords gjenopprettingsfrase videre.
Disse ordene er nok til å tømme krypto-lommeboken på avstand. En angriper trenger aldri å røre enheten igjen.
Ledger sikkerhetssjekk kan overse spionbrikken
Ledgers Genuine Check bekrefter at enheten inneholder en ekte sikkerhetsbrikke. Men den kan ikke oppdage alle fysiske endringer rundt denne brikken. Dette er en begrensning Ledger selv erkjenner i egne retningslinjer.
En manipulert lommebok kan derfor bestå sjekken mens en skjult komponent overvåker skjermen.
Oppdagelsen kommer samtidig som Ledger undersøker meldinger om tømte lommebøker knyttet til den malaysiske forhandleren CryptoBilis. Ledger har bedt selskapet om å stanse salg og levering av sine enheter.
On-chain-etterforskere anslo først tapene til over $ 86 millioner.
En senere analyse fra Bitquery anslo tapet til $ 92,9 millioner fordelt på 311 lommebøker. Ledger har ikke bekreftet disse tallene. Ett offer skal ha mistet 80 Bitcoin.
Karpelès sier at hans enhet kom fra en annen selger. Ledger har ikke fastslått at manipulert hardware forårsaket tapene hos CryptoBilis.
Hvem tar ansvaret
Noen skylder på kjøperne.
Men Ledger selv anbefaler autoriserte forhandlere, inkludert offisielle utsalgssteder på Amazon, Shopee og Lazada.
En hardware-lommebok skal fjerne behovet for å stole på andre med pengene dine. Men å kjøpe en fra en mellommann betyr å stole på en fremmed med akkurat den enheten som skal beskytte midlene.
For alle som stoler på en liten enhet til å ta vare på sparepengene, er det et vanskelig advarselssignal å overse.
