Ledger haalt hardwarewallets uit winkelschappen na verborgen implantaten
Ledger haalt zijn hardwarewallets weg uit winkelschappen en displays. Erkende verkopers moeten voorraad voortaan achterhouden en pas bij aankoop aan de klant overhandigen.
De maatregel volgt op een aanval waarbij criminelen originele Ledger-apparaten kochten, fysiek aanpasten en opnieuw in omloop brachten. De verborgen hardware was volgens Ledger bedoeld om tijdens de installatie herstelwoorden buit te maken.
De fabrikant zegt dat zijn Secure Element, besturingssysteem en servers niet zijn gekraakt. De zwakke plek zat volgens het eigen onderzoek in de distributieroute nadat apparaten Ledgers directe controle hadden verlaten.
Originele wallets werden geopend en aangepast
Ledger beschrijft de aanval in zijn verklaring van 15 oktober.
Volgens het bedrijf kocht een georganiseerde groep echte apparaten, opende die en voegde speciaal gebouwde onderdelen toe.
Daarna werden de wallets opnieuw in distributie gebracht via wederverkopers in Zuidoost-Azië.
De implantaten probeerden herstelwoorden tijdens de installatie af te vangen. Met die woorden kan een aanvaller dezelfde wallet elders herstellen en bij de bijbehorende crypto komen.
Dat maakt de aanval anders dan een simpele namaakwallet.
De oorspronkelijke Ledger-hardware bleef aanwezig. Juist daarom kon een apparaat op bepaalde echtheidscontroles legitiem lijken.
Voorraad mag niet meer op het schap liggen
Ledger scherpt daarom de regels voor erkende verkopers aan.
Nieuwe winkelinstructies schrijven voor dat Ledger-producten niet langer op publiek toegankelijke schappen of displays horen te liggen.
De voorraad moet achter de schermen blijven en pas bij de aankoop aan de klant worden gegeven.
Daarmee probeert Ledger te voorkomen dat apparaten langdurig fysiek bereikbaar zijn voor iemand die ze zou kunnen verwisselen of manipuleren.
De regel geldt volgens het bedrijf per direct binnen zijn netwerk van erkende resellers en distributeurs.
Retourapparaten mogen nooit opnieuw worden verkocht
Ledger herhaalt daarnaast een bestaande regel.
Een teruggestuurd apparaat mag niet opnieuw worden verkocht. Dat geldt ook wanneer de verpakking ongeopend lijkt of het product er nieuw uitziet.
Die eis bestond al vóór deze aanval.
Juist bij hardwarewallets is dat logisch. Een verkoper kan aan de buitenkant niet betrouwbaar vaststellen wat er eerder met een apparaat is gebeurd.
Ook moeten wederverkopers verdachte of afwijkende producten voortaan snel bij Ledger melden.
Genuine Check controleert niet alles
De aanval legt een technische grens bloot van Ledgers Genuine Check.
De beveiligingsdocumentatie van Ledger Donjon beschrijft hoe een apparaat cryptografisch bewijst dat het een originele Secure Element-chip bevat.
Daarvoor ondertekent de chip een uitdaging waarmee Ledgers servers kunnen controleren of het beveiligde onderdeel echt is.
Dat helpt tegen volledig nagemaakte apparaten.
Maar Ledger schrijft zelf dat zo'n controle geen ongeautoriseerde fysieke toevoegingen hoeft te herkennen wanneer het originele Secure Element intact blijft.
Een echte chip en een gemanipuleerd apparaat kunnen dus tegelijk bestaan.
Een groene controle zegt niets over de hele reis
Dat verschil is belangrijk voor gebruikers.
De Genuine Check beantwoordt vooral de vraag of de beveiligde chip authentiek is.
Hij vertelt niet volledig wat er tussen fabriek en koper met de rest van het toestel is gebeurd.
Ledger noemt dat zelf een reden om rechtstreeks bij het bedrijf of via erkende verkooppartners te kopen.
De nieuwe winkelregels voegen daar in feite een extra beveiligingslaag aan toe: ook een erkende verkoper moet de fysieke toegang tot ongekochte apparaten beperken.
Onderzochte Duitse voorraad was volgens Ledger schoon
Ledger zegt tijdens zijn onderzoek ook apparaten uit winkels en magazijnen te hebben geopend en gecontroleerd.
Daarbij werden onder meer apparaten in Duitsland onderzocht.
Volgens de fabrikant waren alle onderzochte exemplaren schoon.
Dat is relevant voor Europese kopers, maar het is geen garantie over ieder apparaat dat ooit via een Europese winkel is verkocht.
De steekproef toont alleen wat Ledger binnen de gecontroleerde voorraad aantrof.
Het bedrijf noemt de aanval zelf lokaal en zegt geen bewijs te hebben voor een systeembrede aanval op zijn volledige distributieketen.
Zuidoost-Azië en Hongkong kregen verkoopstop
Eerder had Ledger erkende verkopers en distributeurs in Zuidoost-Azië en Hongkong gevraagd de verkoop tijdelijk stil te leggen.
Dat gebeurde nadat meldingen verschenen over verdwenen cryptotegoeden en fysieke manipulatie van apparaten.
De nieuwe wereldwijde winkelregels gaan een stap verder.
Niet alleen verdachte regio's krijgen aandacht. Ledger verandert nu structureel hoe erkende verkopers hardwarewallets moeten bewaren en uitgeven.
Daarmee wordt een incidentmaatregel onderdeel van het reguliere verkoopproces.
Controleer vooral wie het apparaat daadwerkelijk verkoopt
Voor kopers blijft de verkoper zelf een belangrijk controlepunt.
Ledger waarschuwt in zijn aankooprichtlijnen dat bekende webwinkels soms producten van meerdere externe verkopers tonen.
Een vertrouwde website betekent daardoor niet automatisch dat de daadwerkelijke leverancier door Ledger is erkend.
Het bedrijf houdt daarom een eigen lijst van geautoriseerde verkooppartners bij.
Wie via een marketplace koopt, moet dus niet alleen naar het platform kijken, maar ook naar de naam van de verkoper achter de aanbieding.
Herstelwoorden horen alleen op het apparaat te ontstaan
Nog belangrijker is wat er tijdens de eerste installatie gebeurt.
Een nieuw Ledger-apparaat hoort niet met een vooraf gekozen pincode of vooraf ingevulde herstelwoorden te komen.
De herstelwoorden worden tijdens de installatie op het apparaat zelf aangemaakt.
Ledger waarschuwt gebruikers die woorden nooit in te voeren op een website, telefoon of computer.
Dat punt raakt direct aan de implantaat-aanval.
Als gemanipuleerde hardware probeert herstelwoorden buiten het beveiligde proces te krijgen, is ieder afwijkend installatieverzoek reden om onmiddellijk te stoppen.
Winkelbeveiliging wordt onderdeel van walletbeveiliging
De aanval laat daarmee zien dat een hardwarewallet niet alleen zo sterk is als zijn cryptografie.
Ook de fysieke route naar de koper telt.
Een originele Secure Element-chip kan nog steeds in een apparaat zitten waaraan iemand elders hardware heeft toegevoegd.
Ledger reageert daarop niet met een nieuwe cryptografische controle, maar met iets veel eenvoudigers: minder fysieke toegang tot winkelvoorraad.
Dat klinkt banaal.
Voor een product dat private sleutels beschermt, kan de ruimte tussen magazijn en kassa echter net zo relevant blijken als de chip zelf.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
