ארנק קריפטו מהסוג שנועד להגן על הכסף שלכם עובד על הנחה אחת: 24 המילים שהוא מציג במסך בפעם הראשונה שמפעילים אותו הן סוד שרק אתם ראיתם. מי שמכיר את המילים האלה יכול להעביר את הכסף מכל מקום בעולם, בלי המכשיר ובלי הקוד. לקוחות בדרום-מזרח אסיה שקנו ארנקים של Ledger גילו בשבוע שעבר שהכסף שלהם זז בלי שנגעו בו.

מה קרה

ביום שישי, 9 באוקטובר, הודיעה Ledger שהיא בודקת פניות של לקוחות שהכסף נעלם מהארנקים שלהם, וביקשה מ-CryptoBilis, מפיץ שפועל במלזיה, באינדונזיה ובפיליפינים, להפסיק זמנית את המכירות והמשלוחים. יום אחרי זה החברה פרסמה משפט אחד שהפך את הסיפור: באחד המכשירים של הלקוחות שנפגעו נמצא שתל חומרה שלא אמור להיות שם. ב-11 באוקטובר היא הוסיפה שמספר המכשירים נראה מוגבל, שכל המקרים המאומתים עד כה עוברים דרך אותו מפיץ, ושהמערכות הפנימיות שלה והמכירות הישירות באתר שלה לא נפגעו.

מה בדיוק עושה השתל, Ledger לא פירטה. התיאור שמסתובב מגיע ממארק קרפלס, לשעבר מנכ"ל בורסת Mt. Gox, שתיאר מכשיר Nano X שנפתח ובתוכו כרטיס אלקטרוני נוסף עם מודם סלולרי ו-eSIM. לפי התיאור הזה הרכיב קורא את המילים בדיוק ברגע שהמכשיר מציג אותן בהתקנה, ומוציא אותן ברשת הסלולרית בלי לגעת בשבב המאובטח שאמור לשמור עליהן. החברה לא אישרה את ההסבר הזה, וגם לא אישרה שהשתל הוא מה שגרם לגניבות. גם המספרים אינם שלה: חוקרי בלוקצ'יין, בהם חוקר שמכונה Specter, סופרים בין 86 ל-93 מיליון דולר שיצאו מיותר מ-300 ארנקים בביטקוין, באת'ריום ובטרון.

למה זה חשוב לכם

ארנק חומרה נקנה כמעט תמיד באינטרנט, והרבה ישראלים קונים אותו דרך זירות מכירה, חנויות קריפטו מקומיות או מפיצים שמציגים את עצמם כמוסמכים. CryptoBilis הציגה את עצמה כמפיץ המוסמך של Ledger במלזיה. כאן נכנס לתמונה הפער האמיתי: המכשיר יכול להיות מקורי, הקופסה יכולה להגיע סגורה, והבעיה נכנסה בדרך בין פס הייצור לדלת שלכם. לסוג הזה של התקפה קוראים התקפת שרשרת אספקה, והיא עובדת כי אף אחד לא בודק חומרה שהגיעה ממקור שנראה לגיטימי.

מה עושים?

קנו ארנק חומרה רק מאתר היצרן, או ממפיץ שמופיע ברשימה הרשמית באתר שלו. לא מזירת יד שנייה, ולא מספק שמציע מחיר חריג.

אם קניתם ארנק Ledger דרך CryptoBilis ב-90 הימים האחרונים ועוד לא הפעלתם אותו, אל תפעילו. אם כבר הפעלתם והעברתם לשם כסף, החברה ממליצה להעביר את הנכסים למכשיר חדש עם ביטוי שחזור שנוצר מחדש.

24 המילים צריכות להיווצר במכשיר עצמו ולהופיע רק במסך שלו. אם קיבלתם אותן מודפסות על דף, או שמישהו הכתיב לכם אותן, המכשיר אינו בטוח ואין מה לעשות איתו.

אף יצרן ואף נציג לא יבקש מכם את ביטוי השחזור, לא בטלפון, לא בצ'אט ולא במייל. מי שמציע לשחזר לכם כסף שנגנב בתמורה למילים האלה הוא הגנב הבא בתור.

ההצפנה והשבב המאובטח מגנים על המילים מהרגע שהן נוצרות. על הדרך שבה המכשיר הגיע אליכם הם לא מגנים.