Ledgers administrerende direktør siger, at alle bliver hacket!

Ledgers CEO, Pascal Gauthier, var gæst i programmet »Bloomberg Crypto« den 10. november og sagde, at alle på et eller andet tidspunkt vil blive hacket. Han tilføjede, at det samme gælder for Ledger, og at trusselsbilledet bliver værre for hvert år.

Det er fair nok som en konstatering af fakta. Lidt mindre flatterende, når det kommer fra manden, hvis virksomhed sælger en enhed, der er udviklet til at give dig den modsatte fornemmelse. Crypto X bemærkede det inden for få timer.

Spørgsmålet bag svaret

Værterne Isabelle Lee og Tim Stenovec spurgte, hvordan Ledger kan berolige kunderne efter oktober. De havde en pointe. Den 9. oktober begyndte brugere, der havde købt Ledger-enheder via CryptoBilis – en autoriseret forhandler, der dækker Malaysia, Indonesien og Filippinerne – at rapportere om tømte tegnebøger. Ledger Support bad købere fra denne forhandler om ikke at konfigurere deres enheder. En dag senere bekræftede virksomheden, at mindst én af de berørte enheder indeholdt et uautoriseret hardware-implantat.

Ifølge Ledger kopierede implantatet gendannelsesfraser og sendte dem videre via en mobilforbindelse. Selve Secure Elementet var ikke kompromitteret. Så chippen gjorde sit job. Alt omkring den gjorde ikke.

Skøn over tabene varierer. Bitquery opgav i sin opdatering fra 12. oktober et beløb på ca. 102 millioner dollars fordelt på 324 tegnebøger, mens andre trackere landede på mellem 72 og 93 millioner dollars. Gauthier angav et beløb på ca. 90 millioner dollars på Bloomberg. Tether indefrøs omkring 10 millioner dollar i USDT, og en del af den stjålne ETH gik gennem Tornado Cash.

0,01%-forsvaret

Gauthiers argument var et forholdstal. 90 millioner dollar, hævdede han, udgør omkring 0,01% af det, Ledger beskytter, og ligger langt under de cirka 6 milliarder dollar, der gik tabt i Binance-hackerangrebet. BTC-ECHO anslår hacket den 29. oktober til 6,4 milliarder dollar og siger, at FBI tilskriver det nordkoreanske angribere. Andre medier angiver 6,3 milliarder dollar. Uanset hvad er det ikke et lille beløb.

Han sagde også, at centraliserede platforme er det største mål, fordi de samler så meget kryptovaluta ét sted, og nævnte FTX og Bybit. Ifølge Wu Blockchains sammenfatning tilføjede han, at markedet stadig har brug for banker og Binance. Set i et bredere perspektiv anslog han kryptotyverier til omkring 9 milliarder dollar sidste år og cirka 12 milliarder dollar indtil videre i 2026, hvor AI-assisterede angreb og på sigt kvantecomputere vil gøre tingene endnu sværere.

En forbehold vedrørende beregningen. Umiddelbart antyder 0,01%, at Ledger sikrer omkring 900 milliarder dollar, og denne nævner er Ledgers eget skøn. Ingen har uafhængigt verificeret det.

Tidslinjen

BeInCryptos indlæg bragte overskriften for øjnene af mange, og svarene var ikke flatterende. En bruger, 0xdxve, spurgte, hvorfor nogen overhovedet skulle gide at opbevare coins på en Ledger, hvis alle alligevel bliver hacket. Bert kaldte det en mærkelig udtalelse for en CEO af en hardware-wallet at komme med. Jeremy sagde, at han ville satse stort på, at Ledger ville falde i værdi, hvis selskabet var børsnoteret. StarPlatinum påpegede, at hele Ledgers forretning bygger på en enhed, der er designet til at forhindre hacking.

Jeg forstår vreden. Jeg synes også, at meget af den går glip af, hvad der faktisk skete. Dette var ikke en fejl i sikkerhedschippen. Det var en fejl i forsyningskæden opstrøms for kunden, hvilket er den type procesangreb, som Gauthier allerede i 2019 sagde udgør størstedelen af kryptohacks, ifølge et gammelt Breaker-interview. Han var konsekvent. Han valgte bare en hård uge at være konsekvent i.

Hvad Ledger ikke opdagede i tide

Det sværere spørgsmål handler om hastighed. Den tidligere Mt. Gox-CEO Mark Karpelès offentliggjorde den 16. september billeder af en spionimplantat i en Nano X – flere uger før Ledgers første offentlige advarsel. Han og Gauthier udvekslede senere offentlige stikpiller om sagen, ifølge BTC-ECHO.

Derefter spredte det sig. En tysk kunde, der havde købt en Nano X hos MediaMarkt, rapporterede også om en spionimplantat, og en anden køber, Johannes, sagde, at en anden enhed fra en anden butik i kæden havde en. MediaMarktSaturn stoppede salget af Ledger-produkter i 11 lande den 13. oktober. Ledger oplyser, at der ikke er bekræftet tab uden for Sydøstasien, og The Block rapporterede, at der ikke gik penge tabt i det tyske tilfælde. Trezor oplyste senere, at de havde fundet en manipuleret enhed, der stammede fra den samme CryptoBilis-forhandler, ifølge 24/7 Wall St.

Hvad Ledger sælger næste gang

Gauthier brugte en stor del af interviewet på at tale om Ledger Atom, en sikker telefon med en pålidelig skærm. Han sagde, at virksomheden lancerede den, mens den var under angreb. Leveringerne er planlagt til juli 2027, ifølge Incrypteds artikel. Ledger har ikke oplyst, hvornår salget hos MediaMarkt Saturn vil blive genoptaget.