Dyrektor generalny Ledger, Pascal Gauthier, publicznie starł się z byłym szefem Mt. Gox, Markiem Karpelèsem, w sprawie ostrzeżeń dotyczących zmodyfikowanych portfeli sprzętowych powiązanych z szacowanymi stratami kryptowalut wynoszącymi 90 milionów dolarów.
Podsumowanie
- Dyrektor generalny Ledger, Pascal Gauthier, zakwestionował Marka Karpelèsa po krytyce ostrzeżeń firmy dotyczących zmanipulowanych portfeli.
- Karpelès wskazał na przewodnik bezpieczeństwa z marca, ale jego wrześniowa aktualizacja pozostawia pierwotną treść niepewną.
- Ledger przyznaje, że jego Genuine Check nie jest w stanie wykryć dodanych komponentów szpiegujących, gdy oryginalny chip bezpieczeństwa pozostaje nienaruszony.
- Badacze szacują straty powyżej 90 milionów dolarów, choć Ledger nie potwierdził publicznie ostatecznej skradzionej kwoty.
- Firma wstrzymała sprzedaż CryptoBilis po tym, jak śledczy odkryli urządzenia zmodyfikowane w celu zdalnego przechwytywania fraz odzyskiwania portfeli.
W wymianie zdań 17 października na X Karpelès zakwestionował, czy producent portfeli wystarczająco jasno zakomunikował niebezpieczeństwo zaawansowanych implantów szpiegujących, zanim klienci zgłosili straty związane z urządzeniami sprzedawanymi przez południowoazjatyckiego resellera CryptoBilis. Gauthier bronił pracy Ledger nad bezpieczeństwem i zakwestionował krytykę byłego dyrektora giełdy.
Spór nastąpił po odkryciu nieautoryzowanej elektroniki wewnątrz oryginalnego urządzenia Ledger. Śledczy ustalili, że dodatkowy sprzęt mógł przechwycić 24-wyrazową frazę odzyskiwania portfela podczas konfiguracji i przesłać ją przez połączenie komórkowe.
Szacunki badawcze umieszczają podejrzewane straty powyżej 90 milionów dolarów. Ledger nie ustalił tej kwoty jako ostatecznej zweryfikowanej sumy, a twierdzenie Karpelèsa, że wcześniejsze ostrzeżenia mogły zapobiec tym stratom, pozostaje nieudowodnione.
Dyrektor generalny Ledger kwestionuje krytykę Karpelèsa dotyczącą ostrzeżeń o portfelach
Nieporozumienie zaczęło się od zakwestionowania przez Karpelèsa wcześniejszej komunikacji Ledger na temat fizycznych modyfikacji jego portfeli sprzętowych.
W poście z 17 października sprostował wcześniejsze twierdzenie, że Ledger nie omawiał takich implantów przed najnowszym incydentem.
Karpelès przyznał, że firma opublikowała w marcu artykuł o bezpieczeństwie obejmujący ryzyka związane ze zmanipulowanymi urządzeniami. Argumentował jednak, że opublikowanie wskazówek w sekcji edukacyjnej było niewystarczające, biorąc pod uwagę zaawansowanie później odkrytych urządzeń.
Powiedział, że bardziej widoczne ostrzeżenie mogło zapobiec stratom przekraczającym 90 milionów dolarów. Gauthier odpowiedział, że firma intensywnie pracuje nad ochroną klientów, a osoby z zewnątrz powinny odróżniać ustalone dowody od spekulacji. Dyrektor generalny Ledger napisał, że zadanie jest trudne, uznał wkład Karpelèsa w dyskusję i poprosił go o ograniczenie komentarzy do tego, co może udowodnić.
Wymiana zdań stała się bardziej konfrontacyjna, gdy Gauthier odniósł się do wcześniejszego kierowania przez Karpelèsa upadłą giełdą Mt. Gox. „Biorąc pod uwagę, że pochodzi to od dyrektora generalnego Mt Gox… Daj spokój, człowieku. Nie jesteś żadnym rycerzem na białym koniu. Zejdź na ziemię” – napisał Gauthier, według postów dostarczonych wraz ze sporem.
Mt. Gox upadła w 2014 roku po ogromnych stratach Bitcoinów, pozostawiając wierzycieli w obliczu długotrwałego procesu odzyskiwania środków. Karpelès odpowiedział, że jego własne doświadczenie z poważną awarią giełdy jest powodem, by oczekiwać silniejszej komunikacji o bezpieczeństwie od firm zarządzających aktywami klientów.
Publiczny spór dotyczy reakcji Ledger na zagrożenie. Nie ustala, że firma celowo ukryła informacje o ataku CryptoBilis.
Marcowy przewodnik Ledger rodzi pytania o wcześniejszą wiedzę
Artykuł o bezpieczeństwie będący w centrum sporu nosi tytuł Best Practices To Securely Buy Your Ledger Signer. Strona internetowa Ledger podaje 6 marca 2026 r. jako datę pierwotnej publikacji, a 18 września jako datę najnowszej aktualizacji.
Obecna wersja wyjaśnia kilka sposobów, w jakie przestępcy mogą ingerować w portfele sprzętowe, zanim trafią one do klientów. Obejmuje ona podrobione urządzenia, portfele wysyłane z wstępnie wybranymi frazami odzyskiwania oraz oryginalne urządzenia zmodyfikowane po opuszczeniu fabryki.
Jej sekcja dotycząca fizycznej manipulacji opisuje atakujących dodających nieautoryzowane komponenty, które mogą przechwytywać informacje wyświetlane podczas konfiguracji portfela.
Strona zawiera zdjęcia zmodyfikowanej elektroniki, w tym przykłady płytek drukowanych i komponentów ukrytych wewnątrz sprzętu portfela.
Karpelès wskazał na te ilustracje, argumentując, że Ledger zetknął się z zaawansowanymi projektami implantów na miesiące przed październikowymi rewelacjami.
Jednak wrześniowa rewizja artykułu tworzy nierozstrzygnięte pytanie. Obecnie dostępna wersja nie ustala, kiedy dodano każde zdjęcie lub ostrzeżenie techniczne. Bez zachowanej kopii marcowej publikacji lub szczegółowej historii zmian, obrazy nie mogą niezależnie udowodnić, co Ledger wiedział o konkretnym ataku CryptoBilis w tamtym czasie.
Znajomość ogólnej metody modyfikowania portfeli sprzętowych nie jest tym samym co udokumentowana świadomość, że przestępcy umieścili takie urządzenia w zapasach sprzedawcy. Dostępny materiał nie ustala, kiedy Ledger po raz pierwszy dowiedział się o dotkniętych urządzeniach CryptoBilis ani czy artykuł o bezpieczeństwie odnosił się do tych konkretnych implantów.
Spór koncentruje się zatem częściowo na różnicy między publikowaniem ogólnych wskazówek dotyczących bezpieczeństwa a wydaniem ostrzeżenia powiązanego z konkretnym zagrożeniem.
Genuine Check nie może wykryć każdego ukrytego implantu
Własna dokumentacja Ledger potwierdza istotne ograniczenie jego systemu uwierzytelniania urządzeń. Firmowe Genuine Check weryfikuje kryptograficzną tożsamość Secure Element, chronionego chipu używanego do wykonywania wrażliwych operacji portfela.
Podczas konfiguracji oprogramowanie Ledger wysyła żądanie weryfikacji do urządzenia. Secure Element odpowiada za pomocą unikalnego podpisu kryptograficznego związanego z jego pierwotnym procesem produkcyjnym.
Pomyślna odpowiedź potwierdza, że urządzenie zawiera oryginalny chip bezpieczeństwa. Sprawdzenie nie bada każdego fizycznego komponentu wewnątrz portfela ani nie ustala, że nikt nie zmodyfikował urządzenia po produkcji. Przewodnik bezpieczeństwa Ledger stwierdza, że proces uwierzytelniania nie może wykryć nieautoryzowanych fizycznych dodatków, gdy oryginalny Secure Element pozostaje nienaruszony.
W przypadku CryptoBilis złośliwa elektronika podobno działała równolegle z legalnym sprzętem, pozwalając oryginalnym funkcjom bezpieczeństwa urządzenia pozostać funkcjonalnymi. Śledczy opisali implant umieszczony w pobliżu ekranu, który mógł przechwytywać słowa odzyskiwania prezentowane podczas inicjalizacji.
Fraza odzyskiwania pozwala właścicielowi portfela przywrócić kontrolę nad adresami kryptowalut. Każdy, kto uzyska pełną frazę, może potencjalnie uzyskać dostęp do powiązanych środków bez posiadania oryginalnego urządzenia.
Zgłoszony implant wykorzystywał łączność komórkową do przesyłania przechwyconych informacji, unikając potrzeby fizycznego odzyskania portfela przez atakującego po konfiguracji.
Ledger stwierdził, że odkrycie nie wykazało, iż jego Secure Element, system operacyjny lub proces podpisywania transakcji zostały naruszone.
Zgłoszony atak obejmował natomiast fizyczną ingerencję w urządzenia podczas dystrybucji. Wcześniejszy artykuł crypto.news o implancie szczegółowo opisał, jak dodatkowa elektronika mogła odczytywać słowa odzyskiwania bez zastępowania chronionego chipu bezpieczeństwa.
Osobny raport ze śledztwa udokumentował potwierdzenie przez Ledger nieautoryzowanego komponentu w urządzeniu klienta.
Śledztwo CryptoBilis trwa wśród spornych szacunków strat
Ledger rozpoczął badanie skarg od klientów, którzy kupili portfele sprzętowe za pośrednictwem CryptoBilis, sprzedawcy działającego w Azji Południowo-Wschodniej.
9 października firma poprosiła CryptoBilis o wstrzymanie sprzedaży i wysyłek, podczas gdy śledczy badali doniesienia o brakujących kryptowalutach. Klientom, którzy kupili urządzenia od sprzedawcy w ciągu poprzednich 90 dni, zalecano nieinicjalizowanie nieużywanych portfeli.
Ledger zalecał, aby dotknięci klienci, którzy zdążyli już skonfigurować swoje urządzenia, przenieśli środki do portfela wygenerowanego za pomocą nowej frazy odzyskiwania na zaufanym urządzeniu. Prowadzone następnie śledztwo potwierdziło, że co najmniej jeden zbadany portfel zawierał nieautoryzowaną elektronikę zdolną do gromadzenia informacji odzyskiwania. Podawana łączna kwota kradzieży różniła się w niezależnych szacunkach, w miarę jak śledczy identyfikowali potencjalnie powiązane adresy i transakcje.
Galaxy Research w swojej analizie z 16 października opisało około 91 milionów dolarów domniemanych strat. Liczby tej nie należy traktować jako kwoty ostatecznie skradzionej za pośrednictwem każdego zmodyfikowanego urządzenia Ledger ani jako zweryfikowanego miernika tego, czemu wcześniejsze ostrzeżenia mogły zapobiec. Doniesienia o zmanipulowanym portfelu w Niemczech skłoniły sprzedawców detalicznych do zbadania ich ustaleń dotyczących dystrybucji w miarę kontynuowania śledztwa. Incydent ten obejmował zatem kwestie nadzoru nad sprzedawcami oraz zabezpieczeń technicznych wbudowanych w poszczególne urządzenia.
Obecne wytyczne zakupowe Ledger zalecają kupowanie bezpośrednio od firmy lub za pośrednictwem autoryzowanych sprzedawców, sprawdzanie widocznych oznak manipulacji oraz przeprowadzanie uwierzytelnienia za pomocą oficjalnego oprogramowania. Firma ostrzega, że autoryzowana dystrybucja i pomyślne przejście Genuine Check nie mogą zagwarantować, że portfel nigdy nie został fizycznie zmodyfikowany.
Udokumentowane zasady firmy zabraniają autoryzowanym sprzedawcom zwracania zwróconych urządzeń do zapasów w celu odsprzedaży. Jej przewodnik bezpieczeństwa został zaktualizowany 18 września, kilka tygodni przed rozpoczęciem publicznego śledztwa CryptoBilis w październiku.
