Пробивът при Ledger: колко сигурен е хардуерният ви портфейл?

Купувате хардуерен портфейл. Настройвате го, записвате фразата за възстановяване и прехвърляте криптоактивите си. Направили сте всичко това с една цел: да ги защитите.

Но какво се случва, ако някой е стигнал до устройството преди вас?

Точно този въпрос излезе на преден план след последните сигнали за откраднати средства от потребители на Ledger. Случаят е свързан с устройства, закупени през търговеца CryptoBilis в Югоизточна Азия, а публичните оценки за загубите надхвърлят 86 млн. долара. Точният размер все още се установява.

Проблемът може да започне още преди първото включване

Обикновено свързваме кражбата на криптоактиви с фалшив сайт, фишинг имейл или невнимателно подписана трансакция. Затова и много хора избират хардуерен портфейл: искат да държат ключовете си далеч от подобни заплахи.

При последния случай с Ledger обаче вниманието е насочено към самото устройство.

След първоначалните сигнали компанията иска CryptoBilis да спре продажбите и доставките. Впоследствие потвърждава, че в портфейла на един от засегнатите потребители е открит допълнително поставен неоторизиран хардуерен компонент.

Това поставя въпроса какво може да се случи с един портфейл по пътя от производителя до неговия собственик. Защото дори добре проектираното устройство зависи от това да пристигне при вас във вида, в който е произведено.

Оригинален портфейл, но с чужда намеса

Има една подробност, която лесно може да бъде пропусната.

Оригиналното устройство също може да бъде манипулирано.

Ledger описва този риск в собствената си документация. При физическа модификация целта на нападателите може да бъде извличане на информацията, показвана на екрана. Компанията посочва, че проверката ѝ за автентичност Genuine Check не открива всички възможни неоторизирани промени по хардуера.

За потребителя това е трудната част. Купувате позната марка, получавате устройство и очаквате защитата му да работи. Но преценката дали вътре е добавен чужд компонент е далеч отвъд обичайното настройване на един портфейл.

Към момента Ledger не съобщава за установен пробив в собствената си инфраструктура, системи или услуги. Разследването е свързано с устройствата от конкретния търговец, а точният обхват и механизмът зад всички докладвани загуби още се изясняват.

Пълният контрол идва и с пълната отговорност

Това е същинският въпрос, който случаят повдига.

При самостоятелното съхранение вие избирате устройството, настройвате го, пазите фразата за възстановяване и следите предупрежденията за сигурността. Ако възникне проблем, от вас зависи и следващата стъпка.

В предупреждението си от 9 октомври Ledger препоръча на клиентите, закупили устройство от CryptoBilis през предходните 90 дни, да не започват настройването му. На вече активиралите устройствата си препоръча да обмислят прехвърляне на активите към ново устройство с нова фраза за възстановяване.

Така покупката на хардуерен портфейл се оказва само началото. След нея идва постоянната грижа за всичко, от което зависи достъпът до средствата ви.

Според Ростислав Тотев, основател на Altcoins.bg, случаят поставя по-широк въпрос за начина, по който разбираме сигурността и отговорността при съхранението на криптоактиви:

„Случаят с Ledger показва един от най-подценяваните рискове при съхранението на криптоактиви: сигурността не започва в момента, в който включим хардуерния портфейл, а много преди това.

Най-притеснителното е, че говорим за устройства, закупени от официално оторизиран дистрибутор. Това поставя много сериозен въпрос за сигурността на цялата верига на доставка. Дори най-добрата технология не може да гарантира защита, ако устройството е било физически компрометирано, преди да достигне до своя собственик.

Този инцидент не означава, че хардуерните портфейли са несигурни или че хората трябва да се откажат от самостоятелното съхранение на криптоактиви. Означава обаче, че трябва да подхождаме към него със същата сериозност, с която подхождаме към защитата на значителни финансови средства.

В криптоиндустрията често повтаряме „Not your keys, not your coins“. Но притежаването на собствените ключове не е автоматична гаранция за сигурност. То означава и че носиш цялата отговорност за тяхната защита.

Именно затова смятам, че с развитието на пазара все по-голямо значение ще придобива професионалното съхранение на криптоактиви при регулирани доставчици, които разполагат с необходимите системи за сигурност, контрол и управление на риска. Това не елиминира рисковете, но предлага различен модел за тяхното управление.

В крайна сметка най-важният въпрос не е единствено кой държи ключовете, а доколко надеждно са защитени те.“

Ростислав Тотев
Основател на Altcoins.bg

Това не е и единственият подобен случай през последните месеци. При Coldcard уязвимост в генерирането на фразите за възстановяване беше използвана за кражба на средства. За различния механизъм на тази атака разказахме в статията ни за пробива в Coldcard.

Вашите криптоактиви заслужават постоянна грижа

За много хора самостоятелното съхранение е съзнателен избор и те са готови да поемат тази отговорност. Други предпочитат да управляват криптоактивите си, без сами да се грижат за хардуерни устройства, частни ключове и резервни копия.

Именно за тях е Altcoins Wallet.

Чрез нашата услуга по попечителство и администриране можете да съхранявате криптоактивите си в Altcoins.bg и да ги управлявате директно през своя акаунт. Получавате, изпращате, купувате, продавате и обменяте на едно място, с български екип, към който можете да се обърнете за съдействие. Услугата е част от платформата ни с MiCA лиценз от Комисията за финансов надзор.

Когато избирате попечителство, поверявате управлението на ключовете на доставчика. Затова има значение кой стои зад услугата, какви са условията и към кого можете да се обърнете.

С Altcoins Wallet имате удобството да управлявате своето крипто и екип, на който да разчитате за съдействие по услугата.

Разгледайте Altcoins Wallet