آیا کاربران کریپتو می توانند به زنجیره تامین پشت کیف پول های سخت افزاری اعتماد کنند؟
ایمپلنت‌های کیف پول سخت‌افزاری لجر قبل از اینکه به دست خریداران برسند، حتی از طریق فروشندگان مجاز، مجدداً بر روی دستگاه‌های جابجایی واسطه‌ها نظارت می‌کنند.
ایمپلنت‌های کیف پول سخت‌افزاری لجر قبل از اینکه به دست خریداران برسند، حتی از طریق فروشندگان مجاز، مجدداً بر روی دستگاه‌های جابجایی واسطه‌ها نظارت می‌کنند.
جو گراند، محقق امنیتی، روز سه‌شنبه به کوین تلگراف گفت که نمی‌توان از صاحبان ارزهای دیجیتال معمولی انتظار داشت که دستکاری‌های پیچیده کیف پول‌های سخت‌افزاری را تشخیص دهند.
گراند در امنیت سخت افزار تخصص دارد و به بازیابی ارزهای دیجیتال از کیف پول های قفل شده کمک کرده است. کار او شامل توسعه تکنیک هایی برای دور زدن حفاظت های امنیتی و استخراج داده ها از تراشه های حافظه مورد استفاده در کیف پول های ساخته شده توسط Trezor و KeepKey است.
گراند گفت: «توضیح دادن به مردم واقعاً سخت است که چگونه باید به دستگاه‌های خود نگاه کنند، زیرا حتی افراد فنی مانند من به تک تک دستگاه‌ها نگاه نمی‌کنند تا ببینند آیا دستکاری شده است یا خیر.
این نگرانی‌ها روز جمعه پس از گزارش زیان‌های ارز دیجیتال مربوط به دستگاه‌های Ledger که از طریق CryptoBilis، یک فروشنده مجاز در اندونزی، مالزی و فیلیپین به فروش می‌رسند، ظاهر شد. لجر شنبه تایید کرد که یک دستگاه آسیب دیده حاوی ایمپلنت غیرمجاز است.
سازنده کیف پول سخت افزاری فرانسوی گفت، ایمپلنت های مخرب در کیف پول های Ledger که توسط CryptoBilis فروخته می شوند، عبارات بازیابی کاربران را ضبط کرده و آنها را از طریق شبکه های سلولی منتقل می کنند.
کیف پول‌های سخت‌افزاری به‌گونه‌ای طراحی شده‌اند که کلیدهای خصوصی را آفلاین نگه می‌دارند و قرار گرفتن در معرض حملات آنلاین را که می‌توانند کیف پول‌های نرم‌افزاری را هدف قرار دهند، کاهش می‌دهند. برخی از کیف پول‌های سخت‌افزاری به محبوبیت جهانی دست یافته‌اند و شبکه‌های توزیع آنها فرصت‌هایی را ایجاد کرده‌انددستکاری زنجیره تامین
متی گرینسپن، تحلیلگر کریپتو، به کوین تلگراف گفت که علیرغم اینکه از سال 2013 در این صنعت حضور داشته، هرگز از کیف پول سخت افزاری استفاده نکرده است، زیرا ارزش کمی در افزودن زنجیره اعتماد دیگری می بیند.
گرینسپن گفت: «هنگامی که یک کیف پول سخت‌افزاری می‌خرید، یک زنجیره کاملاً جدید از اعتماد را معرفی می‌کنید، از سازنده گرفته تا تأمین‌کننده تا کسانی که دستگاه را قبل از رسیدن به شما کار می‌کردند».
نیک نیومن، مدیر عامل شرکت امنیتی بیت کوین کاسا، گفت که اجتناب از اعتماد شخص ثالث به طور کامل غیرممکن است. او گفت: «همیشه یک واسطه وجود دارد که باید به آن اعتماد کنید،» و افزود که کاربران باید ریسک خود را بین چندین ارائه‌دهنده پراکنده کنند نه اینکه فقط به یک مورد اعتماد کنند.
Trezor، در میان رقبای اصلی لجر، گفت که دستگاه های آن تحت بررسی اصالت قرار می گیرند و فقط سیستم عامل امضا شده را می پذیرند، اما اذعان کرد که این حفاظت ها نمی توانند دستکاری فیزیکی را رد کنند.
سخنگوی Trezor به Cointelegraph گفت: «همچنین می‌توانید بررسی کنید که بسته‌بندی و مهر هولوگرافی سالم هستند و به دنبال علائم غیرعادی روی دستگاه باشید، اما این بررسی‌ها به تنهایی نمی‌تواند تضمین کند که آن را تغییر نداده‌اید».
این شرکت گفت که ایمپلنت‌های یافت شده در دستگاه‌های Ledger چالش متفاوتی را ایجاد می‌کنند، زیرا آنها اطلاعات را از صفحه نمایش بدون تغییر سیستم‌افزار ضبط می‌کنند. Trezor گفت که این نوع حمله را در دستگاه های خود مشاهده نکرده است.
روز سه شنبه، Trezor اعلام کرد که به عنوان یک اقدام "پیشگیرانه" تعداد فروشندگان را کاهش می دهد.
گراند چندین تغییر طراحی فیزیکی را پیشنهاد کرد،از پوشش‌های شفافی که اجزای داخلی را در معرض محفظه‌های مقاوم در برابر دستکاری قرار می‌دهند که مهاجمان را مجبور می‌کند تا محفظه را بازسازی کنند تا تغییرات را پنهان کنند.
او گفت: «تزریق سخت افزار اضافی به دستگاه برای دشمن بسیار سخت تر خواهد بود، زیرا آنها باید کل مسکن را بازسازی کنند.»
این محقق امنیتی همچنین به توصیه‌های طراحی ضد دستکاری مهندس الکترونیک دیو جونز اشاره کرد و در عین حال هشدار داد که چنین اقداماتی نباید به تنهایی مورد اتکا قرار گیرند. آنها می توانند حملات زنجیره تامین را دشوارتر کنند، اما خطر را از بین نخواهند برد.