Prezes firmy Ledger twierdzi, że każdy pada ofiarą ataku hakerskiego!

Pascal Gauthier, dyrektor generalny firmy Ledger, wystąpił 10 listopada w programie Bloomberg Crypto i stwierdził, że każdy w pewnym momencie padnie ofiarą ataku hakerskiego. Dodał, że dotyczy to również firmy Ledger, a sytuacja w zakresie zagrożeń z roku na rok się pogarsza.

Jako stwierdzenie faktu brzmi to całkiem sensownie. Nieco mniej przekonująco brzmi to jednak z ust człowieka, którego firma sprzedaje urządzenie stworzone po to, by użytkownik czuł się dokładnie odwrotnie. Crypto X zauważyło to w ciągu kilku godzin.

Pytanie kryjące się za odpowiedzią

Prowadzący program, Isabelle Lee i Tim Stenovec, zapytali, w jaki sposób firma Ledger może uspokoić klientów po wydarzeniach z października. Mieli rację. 9 października użytkownicy, którzy kupili urządzenia Ledger za pośrednictwem CryptoBilis – autoryzowanego sprzedawcy obsługującego Malezję, Indonezję i Filipiny – zaczęli zgłaszać opróżnione portfele. Dział wsparcia Ledger poinformował nabywców od tego sprzedawcy, aby nie konfigurowali swoich urządzeń. Dzień później potwierdzono, że co najmniej jedno z dotkniętych problemem urządzeń zawierało nieautoryzowany implant sprzętowy.

Według firmy Ledger moduł ten kopiował frazy odzyskiwania i wysyłał je przez połączenie komórkowe. Sam element zabezpieczający (Secure Element) nie został naruszony. Chip więc spełnił swoje zadanie. Wszystko wokół niego – nie.

Szacunki strat są zróżnicowane. Bitquery w aktualizacji z 12 października oszacował straty na około 102 mln dolarów w 324 portfelach, podczas gdy inne serwisy podawały kwoty od 72 mln do 93 mln dolarów. Gauthier podał kwotę około 90 mln dolarów w serwisie Bloomberg. Tether zamroził około 10 milionów dolarów w USDT, a część skradzionych ETH przeszła przez Tornado Cash.

Obrona oparta na 0,01%

Argumentem Gauthier’a był współczynnik. Twierdził, że 90 milionów dolarów to około 0,01% wartości środków chronionych przez Ledger i znacznie mniej niż około 6 miliardów dolarów utraconych w wyniku włamania do Binance. Serwis BTC-ECHO szacuje wartość ataku z 29 października na 6,4 miliarda dolarów i podaje, że FBI przypisuje go północnokoreańskim hakerom. Inne źródła podają kwotę 6,3 miliarda dolarów. Tak czy inaczej, nie jest to mała kwota.

Stwierdził również, że platformy scentralizowane są większym celem, ponieważ gromadzą tak duże ilości kryptowalut w jednym miejscu, wymieniając FTX i Bybit. Zgodnie z podsumowaniem serwisu Wu Blockchain dodał, że rynek nadal potrzebuje banków i Binance. W szerszej perspektywie oszacował wartość kradzieży kryptowalut w ubiegłym roku na około 9 miliardów dolarów, a w 2026 roku – na około 12 miliardów dolarów, przy czym ataki wspomagane sztuczną inteligencją oraz, w dalszej perspektywie, obliczenia kwantowe będą utrudniać sytuację.

Jedno zastrzeżenie dotyczące obliczeń. Na pierwszy rzut oka 0,01% oznacza, że Ledger zabezpiecza około 900 mld dolarów, a ten mianownik jest własnym szacunkiem firmy Ledger. Nikt nie zweryfikował go niezależnie.

Kronologia wydarzeń

Post BeInCrypto sprawił, że nagłówek trafił do szerokiego grona odbiorców, a komentarze nie były przychylne. Jeden z użytkowników, 0xdxve, zapytał, po co w ogóle przechowywać kryptowaluty na Ledgerze, skoro i tak wszyscy padają ofiarą ataków hakerskich. Bert uznał to za dziwną wypowiedź jak na prezesa firmy produkującej portfele sprzętowe. Jeremy stwierdził, że gdyby firma Ledger była notowana na giełdzie, otworzyłby dużą pozycję krótką na jej akcjach. StarPlatinum zwrócił uwagę, że cała działalność firmy Ledger opiera się na urządzeniu zaprojektowanym właśnie po to, by zapobiegać włamaniom.

Rozumiem tę złość. Uważam też, że w wielu przypadkach nie dostrzega się tego, co faktycznie się wydarzyło. Nie była to awaria bezpiecznego chipa. Była to awaria łańcucha dostaw na etapie poprzedzającym klienta, czyli rodzaj ataku procesowego, o którym Gauthier mówił już w 2019 roku, że stanowi przyczynę większości włamań do kryptowalut, jak wynika ze starego wywiadu dla serwisu Breaker. Był konsekwentny. Po prostu wybrał na to niezbyt szczęśliwy tydzień.

Czego firma Ledger nie zauważyła na czas

Trudniejsze pytanie dotyczy szybkości. Były dyrektor generalny Mt. Gox, Mark Karpelès, opublikował 16 września zdjęcia implantu szpiegowskiego w urządzeniu Nano X – na kilka tygodni przed pierwszym publicznym ostrzeżeniem firmy Ledger. Jak podaje serwis BTC-ECHO, on i Gauthier wymienili się później publicznymi złośliwościami na ten temat.

Potem sprawa się rozprzestrzeniła. Niemiecki klient, który kupił Nano X w MediaMarkt, również zgłosił obecność implantu, a inny nabywca, Johannes, stwierdził, że drugie urządzenie z innego sklepu tej sieci również je posiadało. 13 października sieć MediaMarktSaturn wstrzymała sprzedaż produktów Ledger w 11 krajach. Firma Ledger twierdzi, że poza Azją Południowo-Wschodnią nie potwierdzono żadnych strat, a serwis The Block poinformował, że w przypadku niemieckim nie doszło do utraty środków. Według serwisu 24/7 Wall St. firma Trezor poinformowała później, że znalazła sfałszowane urządzenie pochodzące od tego samego sprzedawcy CryptoBilis.

Co firma Ledger zamierza wprowadzić na rynek

Gauthier poświęcił znaczną część wywiadu na omówienie Ledger Atom, bezpiecznego telefonu z zaufanym ekranem. Powiedział, że firma wprowadziła go na rynek w trakcie trwania ataku. Według artykułu serwisu Incrypted dostawy są zaplanowane na lipiec 2027 r. Firma Ledger nie podała, kiedy wznowiona zostanie sprzedaż w sieci MediaMarktSaturn.