קנו ארנק כדי להגן על הקריפטו - וגילו שהכסף נעלם: חשד לגניבת 86 מיליון דולר

ארנק פיזי לקריפטו אמור להיות אחד האמצעים הבטוחים לשמירת נכסים דיגיטליים. במקום להחזיק את המפתחות הפרטיים בחיבור קבוע לאינטרנט, המשתמש שומר אותם במכשיר ייעודי. אלא שלקוחות שרכשו ארנקים של חברת לדג'ר (Ledger) ממשווק מורשה בדרום-מזרח אסיה החלו לדווח על היעלמות כספים מחשבונותיהם. חוקרי בלוקצ'יין מעריכים כי היקף הגניבות החשודות עולה על 86 מיליון דולר.

החברה פתחה בחקירה בעקבות הדיווחים, וביקשה מהמשווק CryptoBilis לעצור את המכירות והמשלוחים של מוצריה. מדובר במשווק שהופיע ברשימת המשווקים המורשים של לדג'ר באינדונזיה, במלזיה ובפיליפינים.

ב-11 באוקטובר אישרה לדג'ר כי באחד המכשירים שנבדקו התגלה רכיב חומרה לא מורשה. הממצא מחזק את החשד שהמכשירים עברו שינוי פיזי לפני שהגיעו ללקוחות, אולם החברה טרם קבעה אם זו הסיבה לכל מקרי הגניבה שעליהם דווח.

איך ארנק שאמור להגן על הכסף הופך לסיכון?

ארנקים פיזיים נועדו לשמור את המפתחות הפרטיים הדרושים להעברת מטבעות דיגיטליים בסביבה מבודדת יחסית. בזמן הגדרת הארנק מקבל המשתמש גם רצף מילים לשחזור הגישה לנכסים. מי שמחזיק ברצף הזה יכול, בתנאים המתאימים, לשחזר את הארנק ולהעביר ממנו כספים.

החשד הוא שרכיב שהותקן במכשיר לפני מכירתו אפשר לגורם חיצוני להשיג מידע רגיש במהלך ההגדרה הראשונית. במקרה כזה, גם לקוח שמקפיד על כללי אבטחה ואינו משתף את מילות השחזור שלו עלול להיחשף לגניבה.

חוקרי בלוקצ'יין שעקבו אחר העברות הכספים הצביעו על כתובות חשודות ברשתות ביטקוין, את'ריום וטרון. אחד החוקרים העריך את הנזק ביותר מ-86 מיליון דולר, ואחר העריך אותו ביותר מ-72 מיליון דולר. לדג'ר עדיין לא אישרה את הסכומים, ולא ברור כמה לקוחות נפגעו או אם כל ההעברות החשודות קשורות לאותו אירוע.

החברה מזהירה לקוחות שרכשו מכשירים בשלושת החודשים האחרונים

לדג'ר המליצה ללקוחות שרכשו מכשירים מ-CryptoBilis במהלך 90 הימים האחרונים שלא להפעיל אותם אם טרם עשו זאת. למי שכבר הפעיל מכשיר כזה המליצה לשקול להעביר את הנכסים לארנק חדש, עם רצף מילות שחזור חדש.

החברה מדגישה כי לא נמצאה פגיעה במערכותיה המרכזיות, וכי החקירה מתמקדת במכשירים שנמכרו דרך המשווק. בשלב זה אין ראיה שכלל מוצרי לדג'ר או כל המשווקים שלה נפגעו.

לפרשה יש משמעות החורגת מהסכום שנגנב לכאורה. אחד היתרונות המרכזיים של ארנק פיזי הוא האפשרות לשמור נכסים דיגיטליים ללא תלות בבורסות קריפטו ובפלטפורמות מסחר. אולם המקרה הנוכחי ממחיש שהאבטחה תלויה גם בשרשרת האספקה של המכשיר עצמו, וביכולת לוודא שלא בוצע בו שינוי לפני שהגיע לרוכש.

• שבעה מצבים מהחיים ושבע הכרעות: איזו אפליקציית תשלום פותחים בכל אחד
• 2.95% שלא רואים בקבלה: העמלה האמיתית של פייפאל

עבור יצרניות הארנקים מדובר גם בשאלה עסקית: עד כמה אפשר להבטיח ללקוחות שמכשיר שנרכש אצל משווק מורשה אכן מספק את רמת ההגנה שעליה שילמו. תוצאות החקירה של לדג'ר יקבעו אם מדובר במקרה נקודתי או בכשל רחב יותר במנגנוני הבקרה על שרשרת ההפצה.