Konflikt mellem Ledger og tidligere Mt. Gox-chef
Ledger CEO Pascal Gauthier har offentligt været i konflikt med den tidligere Mt. Gox-chef Mark Karpelès over advarsler om modificerede hardware wallets, der er knyttet til et anslået tyveri af $90 millioner i kryptovaluta. I en udveksling den 17. oktober på X stillede Karpelès spørgsmålstegn ved, om wallet-producenten klart nok havde kommunikeret faren ved sofistikerede spionimplantater, før kunder rapporterede tab vedrørende enheder solgt gennem den sydøstasiatiske forhandler CryptoBilis.
Uenighed om sikkerhedskommunikation
Gauthier forsvarede Ledgers sikkerhedsarbejde og udfordrede Karpelès’ kritik. Konflikten fulgte efter opdagelsen af uautoriseret elektronik inde i en ægte Ledger-enhed, som kunne opfange en wallets 24-ords gendannelsesfrase under opsætningen og transmittere den gennem en mobilforbindelse. Forskning anslår, at de mistænkte tab ligger over $90 millioner, men Ledger har ikke fastslået dette beløb som et endeligt verificeret total.
Karpelès’ påstand om, at tidligere advarsler kunne have forhindret disse tab, forbliver ubekræftet.
Karpelès anerkendte, at virksomheden havde offentliggjort en sikkerhedsartikel i marts, der dækkede risici forbundet med manipulerede enheder, men argumenterede for, at offentliggørelse af vejledning i en uddannelsessektion var utilstrækkelig.
Ledgers sikkerhedsguide og reaktion
Den sikkerhedsartikel, der er i centrum for konflikten, har titlen “Best Practices To Securely Buy Your Ledger Signer”. Den nuværende version forklarer flere måder, hvorpå kriminelle kan interferere med hardware wallets, før de når kunderne. Den dækker forfalskede enheder, wallets sendt med forudvalgte gendannelsesfraser og ægte enheder, der er modificeret efter at have forladt fabrikken.
Gauthier svarede, at virksomheden arbejder intensivt for at beskytte kunderne, og at udenforstående bør skelne mellem etablerede beviser og spekulation. Han bad Karpelès om at begrænse sine kommentarer til det, han kunne underbygge.
“Kommer fra Mt. Gox CEO… Kom nu, mand. Du er ingen hvid ridder. Bliv realistisk,” skrev Gauthier.
Implikationer af det rapporterede angreb
Ledger sagde, at opdagelsen ikke viste, at dens Secure Element, operativsystem eller transaktionssigneringsproces var blevet kompromitteret. Det rapporterede angreb involverede i stedet fysisk interferens med enheder under distribution. Tidligere dækning af crypto.news af implantatet detaljerede, hvordan den ekstra elektronik kunne læse gendannelsesord uden at erstatte den beskyttede sikkerhedschip.
Ledger begyndte at undersøge klager fra kunder, der havde købt hardware wallets gennem CryptoBilis. Den 9. oktober bad virksomheden CryptoBilis om at suspendere salg og forsendelser, mens efterforskere undersøgte rapporter om manglende kryptovaluta.
Konklusion
Den offentlige uenighed vedrører Ledgers reaktion på truslen og fastslår ikke, at virksomheden bevidst skjulte oplysninger om CryptoBilis-angrebet. Ledgers nuværende købsvejledning anbefaler at købe direkte fra virksomheden eller gennem autoriserede sælgere og advarer om, at autoriseret distribution og en vellykket Genuine Check ikke kan garantere, at en wallet aldrig er blevet fysisk modificeret.
