Ledgers VD säger att alla blir hackade!

Ledgers VD Pascal Gauthier gästade Bloomberg Crypto den 10 november och sa att alla kommer att bli hackade förr eller senare. Han tillade att detsamma gäller för Ledger, och att hotbilden förvärras för varje år.

Det är en helt rimlig konstatering. Lite mindre bra när det kommer från en person vars företag säljer en enhet som är utformad för att ge dig motsatt känsla. Crypto X uppmärksammade detta inom några timmar.

Frågan bakom svaret

Programledarna Isabelle Lee och Tim Stenovec frågade hur Ledger kan lugna kunderna efter händelserna i oktober. De hade en poäng. Den 9 oktober började användare som köpt Ledger-enheter via CryptoBilis, en auktoriserad återförsäljare med verksamhet i Malaysia, Indonesien och Filippinerna, rapportera att deras plånböcker tömts. Ledgers support uppmanade köpare från den återförsäljaren att inte konfigurera sina enheter. En dag senare bekräftade man att minst en drabbad enhet innehöll ett obehörigt hårdvaruimplantat.

Enligt Ledger kopierade implantatet återställningsfraser och skickade iväg dem via en mobilanslutning. Själva Secure Element-chipet hade inte komprometterats. Chipet gjorde alltså sitt jobb. Allt runt omkring det gjorde det inte.

Uppskattningarna av förlusterna varierar. Bitquery uppskattade i sin uppdatering den 12 oktober att cirka 102 miljoner dollar hade stulits från 324 plånböcker, medan andra spårare angav belopp mellan 72 och 93 miljoner dollar. Gauthier angav cirka 90 miljoner dollar på Bloomberg. Tether fryste cirka 10 miljoner dollar i USDT, och en del av den stulna ETH gick via Tornado Cash.

0,01%-försvaret

Gauthiers argument var en siffra. 90 miljoner dollar, hävdade han, är ungefär 0,01% av vad Ledger skyddar, och långt under de cirka 6 miljarder dollar som förlorades i Binance-intrånget. BTC-ECHO uppskattar hacket den 29 oktober till 6,4 miljarder dollar och uppger att FBI tillskriver det nordkoreanska angripare. Andra källor anger 6,3 miljarder dollar. Hur som helst är det ingen liten summa.

Han sa också att centraliserade plattformar är det större målet eftersom de samlar så mycket kryptovaluta på ett ställe, och nämnde FTX och Bybit. Enligt Wu Blockchains sammanfattning tillade han att marknaden fortfarande behöver banker och Binance. I ett större perspektiv uppskattade han kryptostölderna till cirka 9 miljarder dollar förra året och ungefär 12 miljarder dollar hittills under 2026, där AI-stödda attacker och så småningom kvantdatorer kommer att göra situationen ännu svårare.

En reservation när det gäller beräkningarna. Vid en första anblick innebär 0,01% att Ledger skyddar cirka 900 miljarder dollar, och den siffran är Ledgers egen uppskattning. Ingen har oberoende verifierat den.

Tidslinjen

BeInCryptos inlägg gjorde att rubriken nådde ut till många, och svaren var inte snälla. En användare, 0xdxve, frågade varför någon skulle bry sig om att förvara mynt på en Ledger om alla ändå blir hackade. Bert kallade det en märklig sak för en VD för en hårdvaruplånbok att säga. Jeremy sa att han skulle satsa stort på att Ledger skulle gå ner i värde om företaget vore börsnoterat. StarPlatinum påpekade att Ledgers hela verksamhet bygger på en enhet som är utformad för att förhindra hackningar.

Jag förstår ilskan. Jag tror också att en stor del av den missar vad som faktiskt hände. Det här var inte ett fel i säkerhetschipet. Det var ett fel i leveranskedjan uppströms från kunden, vilket är den typ av processattack som Gauthier redan 2019 sa står för de flesta kryptohack, enligt en gammal Breaker-intervju. Han var konsekvent. Han valde bara en tuff vecka att vara konsekvent på.

Vad Ledger inte upptäckte i tid

Den svårare frågan gäller hastigheten. Den tidigare VD:n för Mt. Gox, Mark Karpelès, publicerade bilder på en spionimplantat i en Nano X den 16 september, flera veckor innan Ledgers första offentliga varning. Han och Gauthier utbytte senare offentliga pikar om detta, enligt BTC-ECHO.

Sedan spred det sig. En tysk kund som köpt en Nano X på MediaMarkt rapporterade också om en spionmodul, och en annan köpare, Johannes, uppgav att en andra enhet från en annan butik i kedjan hade en sådan. MediaMarktSaturn stoppade försäljningen av Ledger-enheter i 11 länder den 13 oktober. Ledger uppger att inga förluster har bekräftats utanför Sydostasien, och The Block rapporterade att inga medel gick förlorade i det tyska fallet. Trezor uppgav senare att man hade hittat en manipulerad enhet som kom från samma CryptoBilis-återförsäljare, enligt 24/7 Wall St.

Vad Ledger ska sälja härnäst

Gauthier ägnade en stor del av intervjun åt Ledger Atom, en säker telefon med en pålitlig skärm. Han sa att företaget lanserade den mitt under attacken. Leveranserna är planerade till juli 2027, enligt Incrypteds artikel. Ledger har inte sagt när försäljningen hos MediaMarkt Saturn kommer att återupptas.