Współpraca komercyjna z Tangem. Artykuł zawiera kod rabatowy.
10 października Ledger potwierdził, że w urządzeniu jednego z poszkodowanych klientów znajdował się nieautoryzowany implant sprzętowy. Szacowane straty sięgają według różnych źródeł od 72 do 93 mln dolarów. Ta historia pokazuje, że portfel sprzętowy jest bezpieczny tylko wtedy, gdy ma przy sobie tyle elektroniki, ile jest naprawdę potrzebne.
Co się stało?
Sprawa dotyczy urządzeń sprzedawanych przez CryptoBilis, autoryzowanego sprzedawcę działającego w Indonezji, Malezji i na Filipinach. Mark Karpelès, były szef Mt. Gox, rozebrał nienaruszony, wciąż zaplombowany portfel kupiony w Malezji i znalazł w środku ukrytą dodatkową płytkę.
Ledger opisał mechanizm ataku. Implant wykrywa ekran, na którym wyświetlana jest fraza odzyskiwania, odczytuje ją i wysyła przez LTE za pomocą wbudowanej karty eSIM. Atak nie wymagał ingerencji w proces podpisywania transakcji, a samo oprogramowanie urządzenia nie mogło go wykryć. Implant nasłuchuje tylko w momencie odświeżania ekranu.
Ledger zaleca, aby klienci, którzy kupili urządzenie od tego sprzedawcy w ciągu ostatnich 90 dni, nie uruchamiali go. Ci, którzy już skonfigurowali portfel, powinni przenieść środki na nowe urządzenie z nową frazą odzyskiwania. Sprzedawca zawiesił sprzedaż portfeli sprzętowych w Malezji, Indonezji i na Filipinach. Z kolei urządzenia kupione bezpośrednio od Ledgera nie są dotknięte problemem.
Sedno problemu: fraza, którą widać na ekranie
Cały atak opiera się na jednym założeniu. Tradycyjny portfel sprzętowy podczas konfiguracji wyświetla 24 słowa frazy odzyskiwania, a człowiek ma je zapisać. W tym momencie fraza istnieje w “świecie fizycznym” jako obraz na ekranie. Każdy dodatkowy element, taki jak ekran, przyciski, bateria czy złącze, to potencjalna powierzchnia ataku. W tym przypadku zawiodło właśnie to, że urządzenie w ogóle coś pokazuje.
Inne podejście: mniej znaczy bezpieczniej
Tangem wychodzi z odwrotnego założenia. Portfel ma formę karty z bezpiecznym chipem i anteną. Nie ma ekranu, przycisków ani baterii, czyli nic, co mogłoby zostać zmodyfikowane, żeby podglądać dane. Komunikuje się z telefonem przez NFC.
Dodatkowo aplikacja Tangem samodzielnie weryfikuje autentyczność chipa i ostrzega użytkownika, jeśli weryfikacja się nie powiedzie. Sprawdzenie, czy karta jest oryginalna, nie wymaga więc zaufania do sprzedawcy.
Uczciwe zastrzeżenie: żaden sprzęt nie jest nieśmiertelny
Prostota zmniejsza powierzchnię ataku, ale nie daje gwarancji. Podobny implant podglądający ekran nie miałby czego podglądać w karcie bez wyświetlacza, jednak łańcuch dostaw jest wyzwaniem dla każdego producenta. Według jednego ze źródeł CryptoBilis sprzedawał też urządzenia konkurencyjnych marek, m.in. Tangem. Potwierdzone dotąd przypadki dotyczą jednak urządzeń Ledgera zakupionych u tego sprzedawcy.
Wniosek jest praktyczny: kupuj sprzęt kryptowalutowy bezpośrednio od producenta, a nie z drugiej ręki, z marketplace’ów ani od przypadkowych pośredników. Portfel, który przychodzi z gotową, zapisaną frazą, od razu uznaj za skompromitowany.
Jak kupić Tangem bezpośrednio od producenta (z rabatem)
Zakup w oficjalnym sklepie Tangem to najprostszy sposób, żeby wyeliminować ryzyko nieautoryzowanego sprzedawcy. Czytelnicy Coinn.pl mogą skorzystać z rabatu:
- Link: https://tangem.com/invite/W9DDTV
- Kod rabatowy: W9DDTV
- Zniżka: 20% – najpierw użyj linku referencyjnego a przy zakupie wpisz dodatkowy kod SEEDLESS
Lista kontrolna po zakupie portfela sprzętowego
- Kupuj wyłącznie w oficjalnym sklepie producenta.
- Sprawdź, czy opakowanie nie nosi śladów otwierania.
- Nigdy nie używaj portfela z gotową frazą odzyskiwania.
- Skorzystaj z weryfikacji autentyczności w aplikacji producenta.
- Nikomu nie podawaj frazy odzyskiwania. Prawdziwy support nigdy o nią nie poprosi.
Zastrzeżenie: artykuł ma charakter informacyjny i promocyjny i nie stanowi porady inwestycyjnej. Kryptoaktywa wiążą się z ryzykiem utraty środków.
