Обычные владельцы криптовалюты физически не способны выявить сложные манипуляции с аппаратными кошельками, заявил исследователь безопасности Джо Гранд в интервью Cointelegraph во вторник.
Эксперт специализируется на защите аппаратных устройств и ранее помогал восстанавливать доступ к криптовалютным кошелькам, блокированным по разным причинам. В его арсенале — методы обхода защиты и извлечения данных из микросхем, используемых в устройствах от Trezor и KeepKey.
«Объяснить людям, как проверять свои устройства, крайне сложно, — признался Гранд. — Даже специалисты вроде меня не могут осмотреть каждое устройство на предмет вмешательства».
Вопросы безопасности возникли после того, как в пятницу были зафиксированы потери криптовалют пользователями, использовавшими устройства Ledger, купленные через дистрибьютора CryptoBilis, официально работающего в Индонезии, Малайзии и Филиппинах. Компания Ledger подтвердила в субботу, что одно из устройств содержало несанкционированный модуль.
Злоумышленники внедрили в кошельки Ledger, продаваемые через CryptoBilis, устройства, перехватывающие фразы восстановления и передающие их через мобильные сети, — сообщил производитель из Франции.
Больше контроля — не всегда меньше рисков
Аппаратные кошельки создавались для хранения приватных ключей вне сети, минимизируя угрозы онлайн-атак, характерных для программных аналогов.
Однако популярность таких устройств и расширение их дистрибьюторских сетей создали новые возможности для вмешательства в цепочки поставок.
Аналитик крипторынка Мати Гринспан, работающий в индустрии с 2013 года, признался, что никогда не пользовался аппаратными кошельками, считая их дополнительным звеном доверия сомнительной ценности.
«Покупая аппаратный кошелек, вы добавляете в цепочку доверия множество звеньев: от производителя до дистрибьютора и всех, кто обрабатывал устройство до момента его попадания к вам», — отметил он.
Ник Нойман, генеральный директор компании Casa по безопасности биткоина, считает, что полностью исключить доверие третьим лицам невозможно. «Всегда найдется посредник, которому придется доверять», — подчеркнул он, рекомендуя пользователям распределять риски между несколькими поставщиками.
Проверки безопасности не гарантируют полной защиты
Основной конкурент Ledger — Trezor — заявляет, что его устройства проходят проверку подлинности и принимают только подписанное фирмвар. Однако компания признает, что эти меры не исключают физического вмешательства.
«Можно проверить целостность упаковки и голографических наклеек, осмотреть устройство на предмет следов манипуляций, но даже это не дает стопроцентной гарантии отсутствия изменений», — отметил представитель Trezor.
Компания добавила, что обнаруженные в устройствах Ledger импланты представляют особую угрозу, так как перехватывают данные со экрана без изменения прошивки. Trezor утверждает, что подобных атак на свои устройства не зафиксировано.
Во вторник Trezor объявила о сокращении числа официальных дистрибьюторов в качестве профилактической меры.
Конструктивные решения для снижения рисков
Гранд предложил несколько физических изменений в дизайне кошельков: от прозрачных корпусов, открывающих доступ к внутренним компонентам, до защищенных от вмешательства оболочек, вынуждающих злоумышленников полностью реконструировать корпус для маскировки манипуляций.
«Для атакующей стороны станет значительно сложнее внедрить дополнительное оборудование, так как придется полностью воссоздавать корпус», — пояснил эксперт.
Он также сослался на рекомендации инженера-электронщика Дэвида Джонса по защите от вмешательства, предупредив, что такие меры не решат проблему полностью, но существенно усложнят атаки на цепочки поставок.
📋 Краткое резюме
Исследователь безопасности Джо Гранд заявил, что обычные пользователи не могут выявить сложные манипуляции с аппаратными кошельками. Недавний скандал с Ledger, где через дистрибьютора CryptoBilis распространялись устройства с внедренными модулями для кражи фраз восстановления, подтвердил риски вмешательства в цепочки поставок. Эксперты предлагают конструктивные решения, но признают: полной защиты от таких атак не существует.
📊 Анализ рынка
События с Ledger демонстрируют, что даже проверенные аппаратные кошельки не застрахованы от атак на цепочки поставок. Инвесторам стоит диверсифицировать активы между несколькими кошельками разных производителей и внимательно выбирать официальных дистрибьюторов. Однако полного доверия ни одному звенью цепочки быть не может — риски остаются высокими даже при использовании самых защищенных устройств.
💬 Мнение редакции
Индустрия криптовалют должна признать: проблема не в отдельных производителях, а в самой модели доверия к физическим устройствам. Решения вроде прозрачных корпусов — шаг вперед, но настоящая безопасность возможна только при децентрализации хранения и минимизации участия посредников. Пока же пользователи остаются заложниками цепочек, которые они не могут проконтролировать.
📖 Читайте также
📣 Подписывайтесь на наш Telegram-канал, чтобы не пропускать важные новости крипторынка✈ Перейти в Telegram
