Ledgerin ja Mt. Goxin johtajien välinen riita
Ledgerin toimitusjohtaja Pascal Gauthier on julkisesti riidellyt entisen Mt. Goxin johtajan Mark Karpelèsin kanssa muokattuihin laitteistolompakoihin liittyvistä varoituksista, jotka koskevat arviolta 90 miljoonan dollarin arvosta kryptovarkauksia. Lokakuun 17. päivänä käydyssä keskustelussa X:ssä Karpelès kyseenalaisti, oliko lompakkovalmistaja viestinyt riittävän selvästi kehittyneiden vakoilulaitteiden vaarasta ennen kuin asiakkaat ilmoittivat menetyksistä, jotka liittyivät Kaakkois-Aasiassa toimivan jälleenmyyjän CryptoBilis myymiinsä laitteisiin.
Riidan taustat
Gauthier puolusti Ledgerin turvallisuustyötä ja haastoi entisen pörssijohtajan kritiikin. Riita seurasi aitojen Ledger-laitteiden sisältä löytyneiden luvattomien elektronisten laitteiden löytämistä. Tutkijat havaitsivat, että lisälaitteet pystyivät tallentamaan lompakon 24-sanaisen palautuslauseen asennuksen aikana ja välittämään sen matkapuhelinyhteyden kautta. Tutkimukset arvioivat epäiltyjen menetysten olevan yli 90 miljoonaa dollaria.
”Tulee Mt. Goxin toimitusjohtajalta… Tule nyt. Et ole valkoinen ritari. Ole realistinen,” Gauthier kirjoitti riidan mukana toimitetuissa viesteissä.
Karpelèsin väitteet ja Ledgerin vastaus
Karpelès myönsi, että yritys oli julkaissut turvallisuuteen liittyvän artikkelin maaliskuussa, jossa käsiteltiin muokattuihin laitteisiin liittyviä riskejä. Hän kuitenkin väitti, että ohjeiden julkaiseminen koulutusosiossa oli riittämätöntä ottaen huomioon myöhemmin löydettyjen laitteiden monimutkaisuus. Hän sanoi, että näkyvämpi varoitus olisi voinut estää yli 90 miljoonan dollarin menetykset.
Gauthier vastasi, että yritys työskentelee laajasti asiakkaidensa suojelemiseksi ja että ulkopuolisten tulisi erottaa vakiintunut todistusaineisto spekulaatiosta. Ledgerin toimitusjohtaja kirjoitti, että työ oli vaikeaa, myönsi Karpelèsin panoksen keskusteluun ja pyysi häntä rajoittamaan kommenttinsa siihen, mitä hän pystyi todistamaan.
Turvallisuus ja muokatut laitteet
Ledgerin oma dokumentaatio vahvistaa tärkeän rajoituksen sen laitteiden todennusjärjestelmässä. Yrityksen Genuine Check vahvistaa Secure Elementin kryptografisen identiteetin, suojatun sirun, jota käytetään herkissä lompakko-operaatioissa. Onnistunut vastaus vahvistaa, että laite sisältää aito turvallisuuspiirin. Tarkistus ei kuitenkaan tarkista jokaista fyysistä komponenttia lompakon sisällä tai vahvista, että kukaan ei ole muokannut laitetta tuotannon jälkeen.
CryptoBilis-tapaus ja sen seuraukset
Ledger aloitti tutkimuksen asiakkailta, jotka olivat ostaneet laitteistolompakoita CryptoBilis-jälleenmyyjältä. Lokakuun 9. päivänä yritys pyysi CryptoBilistä keskeyttämään myynnin ja toimitukset, kun tutkijat tutkivat raportteja kadonneista kryptovaluutoista. Asiakkaille, jotka olivat ostaneet laitteita jälleenmyyjältä edeltävien 90 päivän aikana, annettiin neuvoja olla alustamatta käyttämättömiä lompakoita.
Ledgerin nykyiset ostosuositukset suosittelevat ostamista suoraan yritykseltä tai valtuutetuilta myyjiltä, näkyvän muokkauksen tarkistamista ja todennuksen suorittamista virallisella ohjelmistolla. Se varoittaa, että valtuutettu jakelu ja onnistunut Genuine Check eivät voi taata, että lompakkoa ei ole koskaan muokattu fyysisesti.
