Ledgerin toimitusjohtaja sanoo, että kaikki joutuvat hakkeroinnin kohteeksi!

Ledgerin toimitusjohtaja Pascal Gauthier esiintyi 10. marraskuuta Bloomberg Crypto -ohjelmassa ja totesi, että jokainen joutuu jossain vaiheessa hakkeroinnin kohteeksi. Hän lisäsi, että sama pätee myös Ledgeriin ja että uhkakuvio pahenee vuosi vuodelta.

Tosiasiana tämä on täysin perusteltu väite. Hieman vähemmän mairittelevaa se on kuitenkin suusta, jonka takana on mies, jonka yritys myy laitetta, joka on suunniteltu antamaan käyttäjälle päinvastaisen tunteen. Crypto X huomasi asian muutamassa tunnissa.

Vastauksen takana oleva kysymys

Ohjelman juontajat Isabelle Lee ja Tim Stenovec kysyivät, miten Ledger voi rauhoittaa asiakkaitaan lokakuun tapahtumien jälkeen. Heillä oli hyvä pointti. 9. lokakuuta käyttäjät, jotka olivat ostaneet Ledger-laitteita CryptoBilisiltä – valtuutetulta jälleenmyyjältä, joka toimii Malesiassa, Indonesiassa ja Filippiineillä – alkoivat ilmoittaa tyhjentyneistä lompakoista. Ledgerin tuki kehotti kyseisen jälleenmyyjän asiakkaita olemaan ottamatta laitteitaan käyttöön. Päivä myöhemmin se vahvisti, että ainakin yhdessä vaikutuksen kohteeksi joutuneessa laitteessa oli luvaton laitteistoimplantti.

Ledgerin mukaan laite kopioi palautuslauseet ja lähetti ne matkapuhelinverkon kautta. Secure Element -suojausmoduuli itsessään ei vaarantunut. Siru siis toimi tarkoitetulla tavalla. Sen ympärillä olevat osat eivät.

Arviot menetyksistä vaihtelevat. Bitquery laski 12. lokakuuta julkaistussa päivityksessään noin 102 miljoonaa dollaria 324 lompakosta, kun taas muiden seurantapalvelujen arviot olivat 72–93 miljoonaa dollaria. Gauthier käytti Bloombergin luvuissa noin 90 miljoonaa dollaria. Tether jäädytti noin 10 miljoonaa dollaria USDT:tä, ja osa varastetusta ETH:sta kulki Tornado Cashin kautta.

0,01%:n puolustus

Gauthierin perustelu oli suhdeluku. Hän väitti, että 90 miljoonaa dollaria on noin 0,01% siitä, mitä Ledger suojaa, ja selvästi alle Binancen tietomurrossa menetetyn noin 6 miljardin dollarin summan. BTC-ECHO arvioi 29. lokakuuta tapahtuneen hakkeroinnin vahingot 6,4 miljardiksi dollariksi ja kertoo, että FBI katsoo sen olevan pohjoiskorealaisten hyökkääjien tekosia. Muiden lähteiden mukaan summa on 6,3 miljardia dollaria. Kummassakin tapauksessa kyseessä ei ole pieni summa.

Hän sanoi myös, että keskitetyt alustat ovat suurempi kohde, koska niillä on niin paljon kryptovaluuttaa yhdessä paikassa, ja mainitsi esimerkkeinä FTX:n ja Bybitin. Per Wu Blockchainin yhteenvedon mukaan hän lisäsi, että markkinat tarvitsevat edelleen pankkeja ja Binancea. Laajemmassa perspektiivissä hän arvioi kryptovaluuttojen varkauksien arvoksi noin 9 miljardia dollaria viime vuonna ja noin 12 miljardia dollaria tähän mennessä vuonna 2026, ja tekoälyavusteisten hyökkäysten sekä lopulta kvanttitietokoneiden myötä tilanne vaikeutuu entisestään.

Yksi varoitus laskelmien suhteen. Nimellisarvoltaan 0,01% tarkoittaa, että Ledger turvaa noin 900 miljardia dollaria, ja tämä nimittäjä on Ledgerin oma arvio. Kukaan ei ole tarkistanut sitä riippumattomasti.

Aikajana

BeInCrypton julkaisu toi otsikon monien silmien eteen, eikä vastaukset olleet lempeitä. Yksi käyttäjä, 0xdxve, kysyi, miksi kenenkään pitäisi vaivautua säilyttämään kolikoita Ledgerissä, jos kaikki joutuvat joka tapauksessa hakkeroinnin kohteeksi. Bert piti sitä outona lausuntona laitteistolompakon toimitusjohtajalta. Jeremy sanoi, että hän tekisi suuren lyhyen position Ledgerissä, jos se olisi pörssiyhtiö. StarPlatinum huomautti, että Ledgerin koko liiketoiminta perustuu laitteeseen, joka on suunniteltu estämään hakkerointeja.

Ymmärrän vihan. Mielestäni suuri osa siitä menee kuitenkin ohi siitä, mitä todella tapahtui. Kyseessä ei ollut suojatun sirun vika. Se oli asiakasta edeltävässä toimitusketjussa tapahtunut vika, joka on juuri sellainen prosessihyökkäys, jonka Gauthier sanoi jo vuonna 2019 olevan syynä suurimpaan osaan kryptovaluuttojen hakkeroinneista, vanhan Breaker-haastattelun mukaan. Hän oli johdonmukainen. Hän vain valitsi epäsuotuisan viikon olla johdonmukainen.

Mitä Ledger ei huomannut ajoissa

Vaikeampi kysymys koskee nopeutta. Entinen Mt. Goxin toimitusjohtaja Mark Karpelès julkaisi 16. syyskuuta kuvia Nano X:ään asennetusta vakoilulaitteesta, viikkoja ennen Ledgerin ensimmäistä julkista varoitusta. Hän ja Gauthier vaihtoivat myöhemmin julkisia piikkejä asiasta, kuten BTC-ECHO kertoo.

Sitten asia levisi. Saksalainen asiakas, joka oli ostanut Nano X:n MediaMarktista, ilmoitti myös vakoilulaitteesta, ja toinen ostaja, Johannes, kertoi, että toisessa laitteessa, joka oli ostettu ketjun toisesta myymälästä, oli sellainen. MediaMarktSaturn keskeytti Ledger-laitteiden myynnin 11 maassa 13. lokakuuta. Ledgerin mukaan menetyksiä ei ole vahvistettu Kaakkois-Aasian ulkopuolella, ja The Blockin mukaan saksalaisessa tapauksessa varoja ei menetetty. Trezor ilmoitti myöhemmin löytäneensä peukaloidun laitteen, joka oli peräisin samalta CryptoBilis-jälleenmyyjältä, 24/7 Wall St:n mukaan.

Mitä Ledger myy seuraavaksi

Gauthier käytti suuren osan haastattelusta Ledger Atomiin, turvalliseen puhelimeen, jossa on luotettava näyttö. Hän kertoi, että yritys toi laitteen markkinoille ollessaan hyökkäyksen kohteena. Incryptedin artikkelin mukaan toimitukset on suunniteltu alkavaksi heinäkuussa 2027. Ledger ei ole ilmoittanut, milloin myynti MediaMarkt Saturnissa jatkuu.