Ledger-pung med spionchip: Sådan køber du en sikker kryptopung

En Ledger-pung med en skjult spionchip kan stjæle din kryptovaluta, før du har lagt en eneste mønt i den. Det er konklusionen på den sag, der har rystet markedet for hardware wallets i oktober: Kriminelle købte ægte Ledger-enheder, åbnede dem, monterede ekstra elektronik og sendte dem tilbage i salg via forhandlere i Sydøstasien. Ledger understreger, at der ikke er fundet fejl i selve produktet. Men sagen ændrer, hvordan du bør købe en kryptopung – også i Danmark, hvor ingen tilfælde er bekræftet.

Hvad der skete

Ledger beskriver i sin officielle redegørelse fra 15. oktober angrebet som udført af "a highly organized criminal group". Gruppen købte ægte enheder, ændrede dem og fik dem tilbage i distributionen. Implantaterne var bygget til at opsnappe gendannelsessætningen, mens køberen satte enheden op. Ledger skriver: "There was no flaw in Ledger's chip, operating system or servers." Det var med selskabets egne ord et angreb på distributionskæden, efter at enhederne havde forladt Ledgers kontrol.

Ledgers sikkerhedsteam Donjon fandt ifølge Decrypt, at implantatet læser de 24 ord direkte fra skærmen under opsætningen og sender dem ud over mobilnettet. Den, der har de 24 ord, kan genskabe pungen et andet sted og flytte alle midler. Ifølge BleepingComputer sagde Ledger, at alle anmeldelser om tømte punge kunne spores til enheder solgt gennem CryptoBilis, en forhandler med base i Malaysia, der sælger i hele Sydøstasien.

Ledger har bedt forhandlere og distributører om at stoppe salget i Sydøstasien og Hongkong. Ifølge Decrypt drejer det sig om Indonesien, Singapore, Thailand, Filippinerne, Vietnam, Malaysia og Hongkong. En uafhængig efterforsker har sporet mistænkelige tyverier for mere end 86 millioner dollar, men det tal har Ledger ikke bekræftet.

Europa og Danmark: Det ved vi

Den europæiske del af sagen begyndte i Tyskland. En tysk kunde meldte et muligt implantat, og efterfølgende fjernede MediaMarktSaturn alle Ledger-produkter. En talsperson sagde til Cointelegraph, at produkterne var fjernet "internationally in all of our countries", og at det var sket "as a precautionary measure". Det er vigtigt at holde fast i, hvad der ikke er sagt: Det er ikke bekræftet, at den tyske enhed var manipuleret. Ledger skriver selv, at selskabet har købt og åbnet enheder på lokale markeder, "including Germany", og at "every unit examined was clean".

Ledgers egen linje er, at de bekræftede tilfælde er begrænset til Sydøstasien, og ifølge Decrypt har selskabet ikke bekræftet et tyveri knyttet til en enhed købt andre steder. Der er altså ikke bekræftet manipulerede enheder i Europa, og vi kender ikke til en dansk sag.

MediaMarkts tilbagetrækning rammer ikke danske hylder direkte, fordi kæden ikke driver butikker i Danmark. På Ledgers egen liste over autoriserede forhandlere står der for Danmark tre navne: Elgiganten, Iphonehus og Proshop. Vi har ikke kunnet bekræfte, om de tre i øjeblikket har Ledger på lager eller har ændret salget efter sagen. Ledger skriver desuden i sin redegørelse, at produkterne ikke længere må stå frit fremme på hylder eller udstillinger, men skal udleveres ved købet. Returnerede enheder må aldrig sælges igen.

Sådan køber du en sikker kryptopung

Sagen viser, at selve købet er det svageste led. Disse råd gælder, uanset om du vælger Ledger eller et andet mærke.

1. Køb direkte fra producenten eller fra en forhandler på producentens egen liste. Hos Ledger betyder det Ledgers egen webshop eller en af de forhandlere, Ledger selv nævner. En "autoriseret" forhandler er ingen garanti – CryptoBilis var en stor forhandler – men det er den kæde, producenten har overblik over og kan stoppe.

2. Undgå markedspladser, brugte enheder og "åbnet emballage". En enhed, der har været i andres hænder, kan være åbnet. Det gælder også returvarer og tilbud, der virker for gode til at være sande.

3. Pas på falske webshops. Da vi søgte på Ledger i forbindelse med denne artikel, dukkede flere sider op på gratis hjemmesidetjenester, der udgav sig for at være Ledgers officielle side. Skriv adressen selv i stedet for at klikke på annoncer og søgeresultater.

4. Stol ikke blindt på Genuine Check. Ledgers indbyggede ægthedstjek bekræfter, at enhedens sikre chip er ægte. Men ifølge BleepingComputer advarer Ledger selv om, at tjekket "cannot detect added implants when the device's original Secure Element remains intact". Et ægte chip-tjek beviser altså ikke, at der ikke er lagt noget ekstra ind ved siden af.

5. Brug aldrig en gendannelsessætning, du ikke selv har fået vist af enheden. De 24 ord skal enheden selv lave under opsætningen. Ligger der en færdig sætning i æsken, eller beder nogen dig om at taste dine ord ind på en hjemmeside, er det et sikkert tegn på svindel. Ledger har tidligere udtalt, at selskabet aldrig beder om dine 24 ord – det samme mønster, vi så, da en falsk Trezor-mail bad 347.000 om deres seed.

6. Tjek enheden, før du sætter den op. Ser kabinettet ud til at have været åbnet, er der ridser ved samlingerne, eller er emballagen ikke forseglet, så lad være med at tage den i brug. Kontakt forhandleren og producenten.

Har du allerede en Ledger?

For langt de fleste danske ejere er der ingen grund til panik. Har du købt din enhed direkte hos Ledger eller hos en dansk forhandler, er du uden for det område, hvor tilfældene er bekræftet.

Har du derimod købt hos CryptoBilis eller en anden forhandler i de berørte lande – for eksempel på en rejse – er Ledgers råd ifølge BleepingComputer klart: Er enheden ikke sat op, så lad være med at gøre det. Er den sat op, bør du overveje at flytte dine midler til en ny Ledger med en helt ny gendannelsessætning. Den gamle sætning skal betragtes som kompromitteret.

Uanset hvor du har købt, er det værd at huske, at hardware wallets kun beskytter dine nøgler. De beskytter ikke mod alt det, der sker på din computer. Vi har tidligere skrevet om falske Firefox-udvidelser, der tømmer kryptopunge, og om Mac-malware, der går efter kryptopung og Keychain. Og konkurrenten Trezor havde sin egen sag, da 14.000 kryptoejeres hjemmeadresser slap ud – et godt argument for at tænke over, hvem der kender din adresse, når du køber.

Konklusion

Ledger-sagen handler ikke om en fejl i chippen, men om tillid til den vej, enheden har rejst, før den lander hos dig. Det gør købsstedet lige så vigtigt som produktet. Køb hos producenten eller en forhandler på dens egen liste, undgå brugte og åbnede enheder, og stol ikke på, at et softwaretjek kan afsløre ekstra hardware.

Ledger har lovet at offentliggøre flere detaljer og arbejder ifølge redegørelsen på "additional measures" i selve produktet. Det, der er værd at holde øje med, er, om den tyske kundes sag bliver afklaret, og om danske forhandlere ændrer, hvordan de sælger kryptopunge.