In breve: il ricercatore di sicurezza Joe Grand afferma di aver avvertito Ledger della presenza di dispositivi fisicamente modificati mesi prima che venisse alla luce un attacco più ampio alla catena di fornitura dei portafogli hardware. La controversia riguarda le comunicazioni e la distribuzione del prodotto, non la prova che la crittografia di base di Ledger sia stata violata.
Ledger sta subendo interrogativi su come ha gestito i precedenti avvertimenti, a seguito di segnalazioni di furti di criptovalute che coinvolgevano portafogli hardware fisicamente alterati.
Il ricercatore di sicurezza Joe Grand afferma di aver contattato l'azienda a marzo dopo aver esaminato un Ledger Nano X sospetto acquistato tramite un marketplace online in Thailandia.
Secondo quanto riferito, il dispositivo conteneva componenti non autorizzati che avrebbero potuto interferire con operazioni sensibili del portafoglio.
Un avvertimento precedente
Anche l'ex amministratore delegato di Mt. Gox, Mark Karpelès, ha pubblicamente messo in discussione la risposta di Ledger, richiamando le preoccupazioni relative alla manomissione dei dispositivi, già emerse prima che l'incidente di portata più ampia diventasse di dominio pubblico.
Le segnalazioni hanno suscitato nuovo interesse perché alcuni portafogli difettosi sono stati distribuiti tramite canali di vendita di terze parti anziché essere acquistati direttamente dal produttore.
Ledger ha distinto gli incidenti noti nella catena di approvvigionamento da qualsiasi compromissione dei propri sistemi di produzione o crittografici principali.
Queste distinzioni sono importanti. Un prodotto modificato fisicamente può compromettere la sicurezza dell'utente anche quando il design del dispositivo originale rimane intatto.
Perché la catena di approvvigionamento è importante
I portafogli hardware sono progettati per proteggere le chiavi private dai comuni malware e dagli attacchi online. La loro sicurezza si basa comunque sul fatto che gli utenti ricevano dispositivi autentici e non manomessi.
Le modifiche sofisticate possono essere difficili da individuare per i clienti semplicemente guardando la confezione.
L'attuale esame non ha stabilito che Ledger abbia intenzionalmente nascosto un pericolo noto o che tutti i dispositivi dei rivenditori siano stati interessati.
Questo episodio mette in luce un interrogativo importante per le aziende del settore della sicurezza: con quanta rapidità dovrebbero avvisare i clienti quando ricerche attendibili suggeriscono che gli hacker stanno modificando i prodotti prima della consegna?
Per chi possiede criptovalute, canali di acquisto affidabili e un'attenta configurazione rimangono elementi essenziali per una conservazione sicura.
Articolo scritto dalla redazione e curato da Samuel Rae.