Генеральний директор Ledger заявляє: «Усі стають жертвами хакерів!»

10 листопада генеральний директор Ledger Паскаль Готьє виступив у програмі Bloomberg Crypto і заявив, що рано чи пізно кожного зламають. Він додав, що це стосується й самої компанії Ledger, і що ситуація з загрозами погіршується з кожним роком.

Як констатація факту — це справедливо. Трохи гірше, коли це говорить людина, чия компанія продає пристрій, створений для того, щоб ви відчували протилежне. Crypto X помітив це вже за кілька годин.

Питання, що стоїть за відповіддю

Ведучі Ізабель Лі та Тім Стеновек запитали, як Ledger може заспокоїти клієнтів після подій жовтня. У них була рація. 9 жовтня користувачі, які придбали пристрої Ledger через CryptoBilis — офіційного дистриб’ютора, що охоплює Малайзію, Індонезію та Філіппіни, — почали повідомляти про спустошені гаманці. Служба підтримки Ledger порадила покупцям цього дистриб’ютора не налаштовувати свої пристрої. Наступного дня було підтверджено, що принаймні один з уражених пристроїв містив несанкціонований апаратний імплант.

За даними Ledger, цей імплант копіював фрази відновлення та надсилав їх через стільниковий зв’язок. Сам Secure Element не був скомпрометований. Отже, чіп виконав свою роботу. А все, що було навколо нього, — ні.

Оцінки збитків різняться. У своєму оновленні від 12 жовтня Bitquery нарахував приблизно 102 мільйони доларів у 324 гаманцях, тоді як інші сервіси оцінили суму від 72 до 93 мільйонів доларів. Гаутьє надав цифру близько 90 мільйонів доларів у Bloomberg. Tether заморозив близько 10 мільйонів доларів у USDT, а частина вкрадених ETH пройшла через Tornado Cash.

Захист на рівні 0,01%

Аргументом Готьє стало співвідношення. Він стверджував, що 90 мільйонів доларів — це приблизно 0,01% від того, що захищає Ledger, і значно менше, ніж приблизно 6 мільярдів доларів, втрачених під час злом Binance. BTC-ECHO оцінює збитки від хакерської атаки 29 жовтня у 6,4 мільярда доларів і зазначає, що ФБР приписує її північнокорейським зловмисникам. Інші джерела називають цифру 6,3 мільярда доларів. У будь-якому разі, це не мала сума.

Він також зазначив, що централізовані платформи є більш привабливою ціллю, оскільки вони накопичують величезні обсяги криптовалюти в одному місці, назвавши FTX та Bybit. Згідно з підсумками Wu Blockchain, він додав, що ринок все ще потребує банків та Binance. У більш широкому контексті він оцінив обсяг крадіжок криптовалюти минулого року приблизно в 9 млрд доларів, а в 2026 році — приблизно в 12 млрд доларів, причому атаки з використанням штучного інтелекту та, зрештою, квантові обчислення ускладнюють ситуацію.

Одне застереження щодо розрахунків. На перший погляд, 0,01% означає, що Ledger захищає близько 900 млрд доларів, і цей знаменник є власною оцінкою Ledger. Ніхто не перевіряв її незалежно.

Хронологія

Публікація BeInCrypto привернула увагу багатьох читачів, і коментарі були не надто прихильними. Один із користувачів, 0xdxve, запитав, навіщо взагалі зберігати монети на Ledger, якщо всіх і так зламають. Bert назвав це дивним висловлюванням для генерального директора компанії, що виробляє апаратні гаманці. Джеремі сказав, що зробив би велику коротку позицію щодо Ledger, якби компанія була публічною. StarPlatinum зазначив, що весь бізнес Ledger — це пристрій, призначений для запобігання хакерським атакам.

Я розумію обурення. Але також вважаю, що багато хто не враховує, що насправді сталося. Це не була несправність захисного чіпа. Це була несправність у ланцюжку постачання вище за клієнта — саме такий тип атаки на процес, як зазначив Готьє ще у 2019 році, є причиною більшості криптохаків, згідно зі старим інтерв’ю для Breaker. Він був послідовним. Просто він обрав для цього не найкращий тиждень.

Чого Ledger не встиг вчасно виявити

Складніше питання — це швидкість. Колишній генеральний директор Mt. Gox Марк Карпелес опублікував фотографії шпигунського імплантату в Nano X 16 вересня, за кілька тижнів до першого публічного попередження від Ledger. Пізніше він і Готьє обмінялися публічними випадами з цього приводу, як повідомляє BTC-ECHO.

Потім інформація поширилася. Німецький клієнт, який придбав Nano X у MediaMarkt, також повідомив про шпигунський імплант, а інший покупець, Йоганес, зазначив, що другий пристрій з іншого магазину цієї мережі мав такий самий імплант. 13 жовтня MediaMarktSaturn призупинив продаж пристроїв Ledger у 11 країнах. У компанії Ledger заявляють, що за межами Південно-Східної Азії втрат підтверджено не було, а The Block повідомив, що у випадку з Німеччиною кошти не були втрачені. Пізніше компанія Trezor заявила, що виявила підроблений пристрій, який походив від того самого дистриб’ютора CryptoBilis, як повідомляє 24/7 Wall St.

Що Ledger продаватиме далі

Готьє присвятив значну частину інтерв’ю Ledger Atom — безпечному телефону з надійним екраном. Він зазначив, що компанія випустила цей пристрій у період, коли зазнавала атак. Згідно з публікацією Incrypted, поставки заплановано на липень 2027 року. Компанія Ledger не повідомила, коли відновиться продаж у мережі MediaMarkt Saturn.