לפני שלושה ימים כתבנו כאן שהתיאור של השתל בארנקי Ledger מגיע מגורם חיצוני, מארק קרפלס, ושהחברה עצמה לא אישרה אותו. עכשיו Donjon, צוות האבטחה של Ledger, פרסם את הממצאים שלו, והם תואמים את התיאור ההוא כמעט במלואו.

מה קרה

לפי Donjon, בתוך המכשיר יושב רכיב נפרד שמזהה את המסכים שבהם מוצגות 24 מילות השחזור בזמן ההתקנה, מפענח את המילים, ושולח אותן ברשת סלולרית דרך eSIM שהוטמע בו מראש. החברה מדגישה גם מה השתל לא עושה: הוא לא משנה את השבב המאובטח, לא משנה את מערכת ההפעלה של הארנק, ולא נוגע בעסקאות או בחתימות שהמכשיר מייצר. כאן נכנס לתמונה החלק הלא נוח. בדיקת התקינות העצמית של הארנק בודקת בדיוק את הדברים האלה, ולכן היא עוברת בהצלחה גם על מכשיר שיש בו שתל.

היקף הפרשה גדל מאז. Ledger הורתה לכל המפיצים באינדונזיה, בסינגפור, בתאילנד, בפיליפינים, בווייטנאם, במלזיה ובהונג קונג להפסיק למכור ולהוריד את המכשירים מהמדפים עד שהבדיקות יסתיימו. במקביל התקבלו דיווחים של משתמשים על מכשירים שנקנו אצל מוכרים אחרים לגמרי: חנות של Metapod בנמל התעופה בסינגפור, ורשת MediaMarkt באירופה, שמקבלת את המכשירים מהמפיץ Aqipa GmbH והסירה אותם מהמדף. Ledger לא אישרה שהדיווחים מאירופה קשורים לאותה פרשה.

המספרים עדיין אינם שלה. החברה אומרת שלא אימתה כמה משתמשים נפגעו וכמה כסף נגנב, והטווח שמסתובב, מ-86 מיליון דולר ועד כ-103 מיליון, מגיע מחוקרי בלוקצ'יין ומכלי תקשורת. Ledger לא מאשרת אף אחד מהמספרים האלה.

Trezor, היצרנית הגדולה האחרת של ארנקי חומרה, הודיעה במקביל שהיא מצמצמת את רשת המשווקים שלה ושההסכמים עם חלק מהשותפים יסתיימו ב-1 בינואר 2027. לדבריה לא נמצאה שום עדות לכך שמכשירים שלה טופלו, והיא פועלת מראש.

למה זה חשוב לכם

את הסיפור של ה-12 באוקטובר אפשר היה לקרוא כבעיה של מפיץ אחד במלזיה. הדיווחים מאירופה משנים את הצורה שלו: מכשיר שנקנה ברשת קמעונאית גדולה בגרמניה, וחנות אלקטרוניקה בנמל תעופה. ישראלים קונים ארנקי חומרה באינטרנט, בחנויות קריפטו מקומיות ובטיולים בחו"ל, וחנות בנמל תעופה או רשת אירופית מוכרת הן בדיוק המקומות שמרגישים הכי בטוחים.

מה עושים?

אם קניתם ארנק אצל CryptoBilis, או אצל משווק בדרום-מזרח אסיה ובהונג קונג בחודשים האחרונים, ועוד לא הגדרתם אותו, אל תזינו ואל תשחזרו בו ביטוי שחזור.

אם כבר הגדרתם את המכשיר והעברתם לשם כסף, ההנחיה של Ledger היא להעביר את הנכסים למכשיר חדש עם ביטוי שחזור שנוצר מחדש. 24 המילים הישנות שרופות בכל מקרה.

אל תסתמכו על בדיקת התקינות של המכשיר כדי להסיר ממנו חשד. לפי Donjon השתל לא נוגע בתוכנה, ולכן הבדיקה הזאת תעבור בהצלחה גם כשהוא בפנים.

אם קניתם מכשיר בחנות פיזית בחו"ל בחודשים האחרונים, בדקו באתר של היצרן אם המשווק מופיע ברשימה הרשמית שלו, ועקבו אחרי העדכונים שהחברה מפרסמת על הפרשה.

בדיקת התקינות של הארנק לא נכשלה. היא פשוט נשאלה שאלה אחרת מזו שהקונים חשבו שהיא נשאלת.