Altryist, я вот из-за этих проблем, которые время от времени возникают с Леджерами, так и не решился его покупать, ни через маркетплейс, ни через официальных посредников. Честно говоря, не очень доверяю, хотя может это и паранойя. Сейчас такое время, что лучше вообще не хранить все в одном источнике, лучше разбивать на несколько, в том числе и по способу хранения. Хотя я знаю, что у Леджера очень много фанатов и они твердо верят в то, что это это самый надежный инструмент для хранения криптовалюты из всех изобретенных.
Так это же не только у Ledger утечка данных пользователей, у Trezor тоже раз за разом этим летом были уведомления о очень больших утечках, с Coldcard вообще беда. Так что кто его знает, где лучше, а где хуже.
Forklog пишет, что Ledger начали расследование по этому инциденту:
Ledger
расследует сообщения о потере средств пользователями из Юго-Восточной Азии, которые приобрели устройства у реселлера CryptoBilis. На время проверки компания попросила продавца приостановить продажи и отправку гаджетов. Причина инцидента пока не установлена. Ledger заявила, что ее собственная инфраструктура, системы и сервисы не были скомпрометированы, и сообщила об отсутствии обращений по поводу устройств, купленных напрямую у производителя.
Исследователи обнаружили возможную аппаратную закладку. Дополнительный контекст появился в исследовании Tibane Labs, изучившей два экземпляра Ledger Nano X с предполагаемыми аппаратными имплантами. По версии исследователей, такие устройства могут перехватывать данные, передаваемые между защищенным чипом кошелька и экраном.
Во время первоначальной настройки кошелек показывает пользователю 24 слова для восстановления доступа. Имплант, описанный Tibane Labs, считывает эти слова по сигналам дисплея, распознает их и передает злоумышленнику через встроенный сотовый модуль.
При этом защищенный элемент устройства, отвечающий за хранение ключей и подпись транзакций, не взламывается. Вместо этого закладка перехватывает информацию на пути к экрану. Поэтому проверка подлинности защищенного чипа сама по себе не обязательно выявит такое вмешательство.
