“Todo mundo vai ser hackeado”: alerta da Ledger coloca a segurança das carteiras à prova

O alerta do CEO da Ledger, Pascal Gauthier, de que todos acabarão sendo hackeados veio depois que atacantes colocaram componentes ocultos dentro de carteiras de hardware genuínas para capturar frases de recuperação. O incidente leva a questão de segurança para além da chave privada armazenada em um chip. Um detentor também depende de o dispositivo chegar até ele intacto, de o backup permanecer privado e de a tela explicar com precisão o que ele está prestes a aprovar.

“Todo mundo será hackeado em algum momento. Segurança perfeita não existe”, disse o CEO da Ledger, Pascal Gauthier, durante uma entrevista à Bloomberg em 10 de novembro. Ele disse que a regra se aplicava à Ledger, bem como a outras empresas.

A pergunta que lhe foi feita dizia respeito a roubos associados a carteiras de hardware modificadas. A Ledger já havia descrito um ataque de distribuição no qual criminosos compravam dispositivos genuínos, adicionavam componentes ocultos e os devolviam ao canal de vendas. A empresa disse que os componentes foram projetados para coletar a frase de recuperação exibida durante a configuração.

Essa via importa porque alcança a informação destinada a resgatar o proprietário após a perda de um dispositivo. Uma vez que outra pessoa tenha o material de recuperação necessário, ela pode recriar o acesso em outro lugar. A carteira original pode continuar funcionando enquanto o proprietário não tem mais controle exclusivo.

O alerta veio acompanhado de uma defesa do negócio da Ledger

O CEO da Ledger, Pascal Gauthier, usou a entrevista para argumentar que distribuir a custódia entre detentores individuais reduz a concentração de risco encontrada em uma grande exchange. Ele comparou as perdas discutidas pelo entrevistador com o roubo muito maior da Binance e disse que a indústria de carteiras de hardware havia perdido uma proporção menor dos ativos que protege.

Esses números eram sua alegação comparativa. Uma avaliação das taxas de perda precisaria de períodos consistentes, uma medida clara dos ativos protegidos e um método acordado para atribuir roubos. Os ativos reportados de uma grande exchange e a estimativa de um fabricante de carteiras de hardware sobre os ativos controlados por clientes descrevem populações diferentes.

Um cliente pode usar o mesmo material de assinatura com vários dispositivos. Uma carteira pode conter ativos em várias chains. O fabricante pode não ver todos esses saldos, enquanto uma exchange normalmente mantém seu próprio registro de clientes. Isso torna o denominador importante ao comparar percentuais.

A entrevista também incluiu um argumento sobre atacantes se tornando mais capazes por meio da IA. Isso pode ser relevante para phishing e personificação, onde criminosos tentam persuadir uma pessoa a divulgar um segredo ou aprovar uma ação. Isso não explica a via física usada em um dispositivo modificado específico.

O valor prático do alerta está na falha que o segue. Uma declaração geral sobre comprometimento eventual não pode dizer a um detentor qual ação coloca seus fundos em risco. Os casos documentados fornecem um relato mais específico do que foi exposto e por que algumas salvaguardas familiares não o impediram.

Um dispositivo genuíno pode adquirir hardware extra

A resposta da Ledger em outubro situa a modificação após a fabricação. Ela afirma que os atacantes mantiveram dispositivos genuínos e instalaram hardware separado projetado para capturar o backup durante a configuração. A empresa descreve o ataque como ocorrendo no canal de distribuição.

O Crypto.news noticiou a confirmação pela Ledger de um implante não autorizado no dispositivo de um cliente afetado. Essa constatação física é evidência sobre a unidade examinada. Estimativas de pesquisadores de blockchain descrevem um conjunto maior de perdas suspeitas e devem ser lidas como seus resultados de rastreamento.

A razão pela qual componentes genuínos importam é que um teste de autenticidade pode ter sucesso no componente que ele verifica. Se o atacante deixa esse componente intacto e adiciona outro circuito, a verificação pode estabelecer a origem dessa peça sem estabelecer a ausência de eletrônicos adicionados.

Um proprietário pode, portanto, receber um dispositivo que se comporta normalmente no uso rotineiro. O objetivo do atacante pode ser observar um único momento sensível durante a configuração, em vez de alterar cada transação. As descobertas técnicas publicadas pela Ledger sobre a conexão da tela descrevem essa rota. Uma tela que exibe as palavras de recuperação corretas pode expô-las se um observador adicionado puder copiar o que a tela recebe.

Isso muda a pergunta que um cliente faz sobre a via de venda. Uma relação com revendedor autorizado identifica um canal comercial. O incidente mostra por que o manuseio de estoque, as devoluções e o caminho do fabricante até o comprador também pertencem ao modelo de segurança.

A resposta da Ledger afirma que dispositivos devolvidos nunca devem ser revendidos e descreve um manuseio mais rigoroso do estoque. O Crypto.news cobriu as novas regras de varejo, incluindo mudanças destinadas a reduzir a oportunidade de substituir ou alterar produtos expostos. Essas medidas abordam a rota até as mãos do proprietário.

O alerta da Trezor dizia respeito a um dispositivo separado relatado

O aviso de 30 de outubro da Trezor descreveu um Safe 5 comprado por meio da CryptoBilis. A empresa havia recebido fotografias e entrevistado o denunciante, mas disse que ainda não havia inspecionado o dispositivo em seu próprio laboratório.

O relato descreveu uma placa extra entre a placa principal e a tela, com um componente celular e antena. A Trezor o considerou credível o suficiente para alertar os compradores afetados. O relato da empresa tornou a via de compra central para sua resposta preventiva.

Esse status precisa permanecer vinculado ao relato. O implante examinado pela Ledger e o dispositivo relatado pela Trezor estavam em estágios diferentes de investigação nos avisos publicados. Um revendedor em comum não estabelece por si só que todo dispositivo vendido por meio dele foi alterado.

A cobertura do Crypto.news sobre o alerta da Trezor explica a oferta da empresa de hardware de substituição para compradores elegíveis. A oferta e o conselho de migração diziam respeito à exposição de dispositivos fornecidos por essa via. Eles eram distintos de um recall geral de todos os produtos que a empresa fabrica.

A empresa pediu aos clientes que criassem uma nova carteira com um novo backup onde sua orientação se aplicasse. Esse requisito decorre do que o componente suspeito poderia observar. Se o próprio backup vazou, outra cópia da antiga configuração de assinatura não remove o acesso do atacante.

O backup pode contornar o PIN do dispositivo antigo

Um PIN protege o acesso a um dispositivo específico. Uma frase de recuperação permite ao proprietário restaurar a carteira após perda ou dano. O mesmo recurso dá ao atacante uma rota para contornar o dispositivo antigo se o material de recuperação necessário for roubado.

Restaurar uma carteira em um signatário substituto cria outra forma de usar as mesmas chaves. Isso não revoga as chaves no dispositivo original nem na cópia do atacante. Os fundos permanecem gastáveis sob as mesmas condições até serem movidos para uma nova configuração.

A distinção é visível em uma recuperação comum. Uma pessoa que perde um dispositivo pode restaurar o acesso sem pedir à rede para autorizar o novo hardware. A cadeia verifica se uma transação satisfaz as condições de gasto, não qual dispositivo físico produziu a assinatura.

Uma mudança de PIN também afeta o signatário local. Ela não altera o que uma pessoa que possui o backup pode derivar em outro lugar. Uma nova capa, uma redefinição de fábrica ou uma marca diferente de dispositivo podem deixar as chaves da carteira original controlando os mesmos ativos.

A documentação de passphrase da Trezor descreve um segredo adicional que pode derivar uma carteira separada a partir do backup. O usuário precisa da combinação exata para alcançar essa carteira. Perder a passphrase também pode impedir o proprietário legítimo de recuperá-la.

O recurso adiciona uma dependência; sua proteção depende de como os segredos são inseridos e do que uma configuração comprometida pode observar. Ele não pode substituir a compreensão de qual material um incidente expôs. Se o atacante tem tudo o que é necessário para uma carteira, mudar onde o proprietário armazena uma cópia deixa a cópia desse atacante utilizável.

Um formato de backup diferente pode preservar as mesmas chaves

Algumas carteiras permitem ao proprietário dividir o material de recuperação em partes. Um limite determina quantas são necessárias. Isso pode reduzir o risco de perder ou expor uma única parte armazenada, dependendo do esquema.

A orientação de backup multi-share da Trezor explica que criar uma nova configuração de backup para a mesma carteira compatível não invalida um backup anterior. Ambos podem permanecer como rotas para a mesma carteira.

Esse é um limite importante para uma mudança de armazenamento de outra forma útil. Uma melhor distribuição de novas partes pode melhorar como o proprietário lida com perda ou roubo futuros. Isso não cancela um backup completo que outra pessoa já copiou.

Uma carteira multisig aborda uma parte diferente do problema. Sua regra de gasto pode exigir várias chaves independentes para autorizar uma transação. Se uma for comprometida, o atacante ainda precisa do limite restante sob a configuração.

Os signatários precisam ser independentes na prática. Vários dispositivos restaurados a partir da mesma seed de assinatura única são cópias de uma autoridade. Eles não criam várias aprovações independentes. Armazenar várias chaves sob o controle imediato de uma única pessoa também pode concentrar um limite que parece distribuído no papel.

A questão relevante é o que o atacante precisaria reunir. Um dispositivo roubado, uma frase copiada e um computador compartilhado comprometido podem se sobrepor de diferentes maneiras. O design da carteira importa tanto quanto a forma como suas chaves e informações de backup são realmente tratadas.

Uma assinatura válida ainda pode autorizar a ação errada

Outra classe de roubo não exige o roubo da frase de recuperação. Um usuário pode manter a posse exclusiva da chave e assinar uma solicitação que dá a outra pessoa poder sobre um ativo. A transação resultante pode ser válida sob as regras da cadeia.

Uma transferência simples autoriza o destinatário e o valor especificados. Uma aprovação de token pode dar a um gastador permissão para mover ativos posteriormente. Uma mudança nas permissões de uma conta pode alterar quem pode agir pela conta. Essas são consequências diferentes mesmo quando são apresentadas através da mesma conexão de carteira.

Um signatário de hardware pode proteger a chave contra extração enquanto ainda executa uma instrução que o proprietário aprova. O isolamento da chave não pode dizer ao proprietário se a descrição do site corresponde à solicitação que está sendo assinada. Isso torna a informação exibida antes da confirmação parte da proteção.

A documentação de clear-signing da Ledger descreve o uso de metadados que permitem a um dispositivo apresentar detalhes de transações suportadas de forma legível. A cobertura depende da chain, da solicitação e da integração relevante. Um dispositivo suportado não torna toda interação possível automaticamente legível.

Um proprietário também precisa distinguir uma assinatura de uma transação já transmitida. Algumas mensagens assinadas podem ser enviadas posteriormente por outra pessoa. Fechar a janela do navegador após assinar não necessariamente remove a permissão que a assinatura criou.

Revogar uma aprovação de token pode limitar o uso futuro dessa aprovação se o proprietário ainda controla a conta e consegue enviar a alteração a tempo. Isso não reverte uma transferência anterior. Se o material de assinatura raiz for comprometido, o atacante pode ser capaz de criar uma nova autorização.

A tela faz parte da decisão

Uma transação pode chegar a um signatário por meio de um computador ou site comprometido. A tela tem o propósito de dar ao proprietário uma forma de verificar o que o dispositivo está sendo solicitado a aprovar. Sua utilidade depende de mostrar os detalhes que determinam o resultado.

Para uma transferência, esses detalhes incluem o ativo, o destino e o valor. Para uma interação com contrato, as informações importantes podem incluir o spender, o allowance ou o papel sendo concedido. Um nome de aplicação familiar é menos informativo do que a ação que a solicitação autorizaria.

A assinatura cega deixa mais da interpretação fora do dispositivo. O usuário pode ver dados que não consegue verificar de forma significativa e depender da aplicação host para explicá-los. O clear signing pode melhorar essa apresentação para solicitações cobertas, mas ainda exige que o proprietário leia a consequência e decida se ela corresponde à sua intenção.

A simulação é outra camada. Um serviço pode estimar o que uma transação fará contra um determinado estado. A estimativa pode ajudar a identificar movimentações de ativos ou permissões, enquanto a execução real ainda depende do estado e da solicitação que chegam à rede.

O ataque de distribuição também coloca uma questão separada para a tela. Um observador adicionado pode visar informações mostradas durante a configuração mesmo que a exibição da transação seja precisa depois. Proteger o caminho da chave até a tela e proteger o sigilo do backup abordam momentos diferentes na vida do dispositivo.

O CEO da Ledger, Pascal Gauthier, promoveu a arquitetura de tela de um produto futuro na entrevista à Bloomberg. Uma alegação de produto pode identificar o que a empresa pretende mudar. Sua proteção real contra um ataque conhecido precisa ser avaliada em relação ao design entregue e às condições sob as quais o ataque pode operar.

Um token congelado é um passo em direção à recuperação

Após uma transferência, a resposta disponível depende do ativo e de para onde ele foi. Alguns emissores de tokens podem restringir saldos por meio de seus contratos. Um ativo nativo como o Bitcoin não tem o mesmo mecanismo de congelamento controlado pelo emissor.

Um congelamento pode impedir que um saldo de token especificado se mova. Ele não decide por si só quem deve recebê-lo nem completa um pagamento de volta às vítimas. A recuperação pode exigir um processo separado para identificar reivindicações, estabelecer autoridade e distribuir os ativos.

O atacante também pode trocar o token antes que um congelamento entre em vigor. Um poder sobre o token original não controla automaticamente o ativo diferente recebido na troca. O histórico de transações pode permanecer visível mesmo depois que o ponto específico de intervenção já passou.

Um custodiante pode ter outro tipo de controle se os recursos chegarem a uma conta ali. Ele pode restringir saques sob suas políticas e a lei aplicável. Um aviso enviado a um serviço, uma restrição de conta e uma devolução de fundos permanecem eventos separados.

Essa distinção é útil ao ler um total de perdas. Fundos suspeitos de roubo, saldos ainda mantidos em endereços identificados e dinheiro efetivamente devolvido aos proprietários medem estágios diferentes. Um dispositivo de reposição aborda o uso futuro do hardware. Ele não substitui por si só os ativos já tomados.

A pessoa que responde também precisa estabelecer se a conta ainda está sob o controle do proprietário. Uma aprovação às vezes pode ser revogada. Um limite de permissão alterado pode impedir que a chave original aja sozinha. Um backup copiado pode permitir que o atacante recrie o acesso em várias chains.

Por que a comparação de perdas precisa de uma medida comum

O Crypto.news cobriu a disputa entre o CEO da Ledger, Pascal Gauthier, e o ex-CEO da Mt. Gox, Mark Karpelès, sobre alertas a respeito de dispositivos modificados. A discordância destaca um problema ao passar de um mecanismo confirmado para uma declaração ampla sobre segurança relativa.

Um pesquisador pode identificar um conjunto de endereços que se acredita estarem associados a uma operação. Esse conjunto pode mudar à medida que o rastreamento avança. Um fabricante pode inspecionar um dispositivo e identificar um componente físico. As duas investigações podem se apoiar mutuamente sem produzir a mesma contagem.

Um backup pode controlar endereços em várias redes. Uma pessoa pode ter várias carteiras. Portanto, um total de endereços não se traduz diretamente em um número de dispositivos alterados ou de compradores afetados. Os mesmos limites se aplicam ao estimar o montante que um fabricante protege.

Comparar a autocustódia com uma exchange também reúne diferentes formas de risco. Uma exchange pode sofrer comprometimento operacional, uso indevido de ativos de clientes ou restrição de acesso. Uma carteira pessoal pode perder seu backup, aprovar uma solicitação prejudicial ou chegar com hardware alterado. Uma única porcentagem pode ocultar essas rotas distintas.

A comparação prática depende do usuário. Uma pessoa que consegue manter backups independentes e inspecionar solicitações de assinatura pode lidar com uma carteira de forma diferente de alguém que depende da recuperação de conta de uma exchange. A existência de riscos em ambos os arranjos deixa uma necessidade de entender o controle real e o caminho de recuperação em cada um.

A declaração do CEO da Ledger, Pascal Gauthier, é mais útil quando vinculada a esse trabalho. As evidências do caso do implante colocam a distribuição e a exposição do backup na mesma discussão que a segurança do chip. Os casos de assinatura colocam informações de aprovação legíveis ao lado do isolamento de chaves.

O que muda quando a segurança é tratada como uma sequência

Uma carteira chega ao proprietário, cria ou restaura chaves, registra um backup e assina solicitações. Uma falha em cada etapa pode dar ao atacante um tipo diferente de autoridade. A resposta correspondente depende de o proprietário ter perdido o sigilo, aprovado uma permissão ou perdido o acesso.

Um novo dispositivo pode resolver um assinante quebrado. Um novo conjunto de chaves pode remover a dependência de um backup exposto depois que os ativos forem transferidos. A revogação pode resolver uma aprovação ativa. Um plano de herança ou recuperação pode ajudar uma pessoa autorizada a recuperar o acesso sem entregar autoridade imediata a todos que sabem que ele existe.

Essas ações ficam mais claras quando o incidente é descrito com precisão. Um implante que captura as palavras de configuração exige uma resposta diferente de uma página falsificada que solicita uma assinatura. Um resultado de autenticidade do dispositivo responde a uma pergunta diferente de uma inspeção em busca de eletrônicos adicionados.

As mudanças no varejo anunciadas pela Ledger e o conselho de migração emitido pela Trezor demonstram o ponto. As empresas abordaram de onde o hardware veio e qual backup continuou a controlar a carteira. As próximas divulgações técnicas podem mostrar quanto dessa rota os projetos futuros e os controles de distribuição fecharão.

Configuração e uso cotidiano têm diferentes pontos de exposição

A frase de recuperação é excepcionalmente valiosa porque pode conectar a configuração de uma carteira com o controle sobre muitas transações posteriores. Um componente que registra a frase uma vez pode dar ao atacante tempo para esperar enquanto o proprietário deposita mais ativos. O proprietário pode ver o dispositivo funcionar normalmente durante esse período.

Uma aprovação prejudicial tem um cronograma diferente. O atacante pode precisar que o proprietário assine depois que a conta contiver um token específico. A permissão pode permanecer em vigor até ser usada ou revogada sob as regras do contrato. A perda pode, portanto, ocorrer bem depois de a página que solicitou a aprovação ter sido fechada.

Uma mudança de permissão de conta pode ser ainda mais persistente. Se uma cadeia permite limites e funções, a mudança assinada pode alterar quais chaves têm permissão para agir. O proprietário pode ainda manter seu segredo original enquanto carece do peso necessário para fazer uma transação corretiva sozinho.

Esses mecanismos exigem registros de incidentes diferentes. Uma suspeita de vazamento de frase começa com quais carteiras foram derivadas do material e quais ativos permanecem sob essas chaves. Uma investigação de aprovação começa com o gastador, o contrato e a permissão. Uma investigação de permissão começa com as regras de assinatura atuais da conta.

A mesma distinção explica por que uma lista de endereços afetados pode estar incompleta no início. Uma frase pode gerar várias contas e endereços. O proprietário ou investigador pode descobrir outra cadeia afetada mais tarde. Uma drenagem visível pode revelar controle sem revelar todos os alvos restantes.

Separar as economias do uso de aplicativos altera a exposição

Uma pessoa pode usar uma carteira para ativos que raramente movimenta e outra para interagir com aplicativos. A segunda conta pode conter apenas o que é necessário para a atividade pretendida. Se uma aprovação de token se aplicar a essa conta, os ativos em uma conta separada ficam fora dessa permissão.

O benefício depende de como as chaves são organizadas. Várias contas derivadas do mesmo material de recuperação exposto podem permanecer acessíveis pelo mesmo atacante. Uma distinção na interface da carteira não necessariamente cria segredos independentes.

Um arranjo de economia com multisig pode adicionar um limite antes que os fundos se movam. Uma carteira de aplicativo pode usar uma rota de assinatura mais simples para transações frequentes. O trade-off é o trabalho adicional necessário para manter os signatários da economia e as informações de recuperação acessíveis às pessoas autorizadas.

Um limite também pode ser enfraquecido por infraestrutura comum. Se vários signatários dependem do mesmo host comprometido para descrever uma transação, eles podem aprovar a mesma solicitação enganosa. Chaves independentes reduzem uma rota para a perda, enquanto detalhes legíveis da transação abordam outra.

O ponto é identificar o que um comprometimento alcança. Uma aprovação deve ser avaliada pelo seu escopo. Um backup deve ser avaliado pelas contas que pode recriar. Um dispositivo ou serviço compartilhado deve ser avaliado pelas funções de assinatura e recuperação que desempenha.

O incidente cria uma segunda oportunidade para impersonação

O aviso da Trezor alerta explicitamente que o suporte nunca solicitará a frase de recuperação. O processo de substituição diz respeito ao dispositivo físico e à rota de compra do cliente. Uma frase inserida em um formulário remoto pode dar a outra pessoa os meios para restaurar a carteira.

Uma solicitação de assinatura pode ser disfarçada como um tipo diferente de ajuda. Uma página pode pedir ao proprietário que prove o controle ou verifique a elegibilidade. A questão relevante ainda é o que a solicitação autoriza e se ela cria uma permissão transferível em vez de meramente exibir um endereço.

A origem da solicitação importa porque um cliente existente pode ter motivo genuíno para esperar uma atualização. Informações de contato expostas em outros lugares podem tornar uma mensagem mais convincente sem estabelecer que ela veio do fabricante. O relacionamento anterior do proprietário com um vendedor não autentica toda comunicação posterior que carregue seu nome.

Um programa de resposta deve, portanto, tornar o próximo passo fácil de identificar por meio das orientações publicadas pelo fabricante. O período de compra, os termos de substituição e a rota de suporte são mais úteis para um comprador afetado do que uma garantia geral sobre segurança.

O que um produto futuro precisa demonstrar

Uma nova arquitetura pode abordar uma rota de ataque conhecida. Para avaliar essa alegação, a questão relevante é quais informações o atacante podia observar anteriormente e qual componente agora as protege. A comparação precisa seguir esse caminho em vez de se basear apenas na categoria do produto.

O mesmo se aplica às atualizações de software. Uma atualização pode melhorar a interpretação de transações ou adicionar cobertura para outro aplicativo. Não se pode presumir que ela remova hardware físico adicionado ou revogue uma frase já copiada de uma configuração anterior.

Uma divulgação técnica útil explicaria o acesso do atacante, os dados observados e as condições necessárias para a extração. Ela poderia então mostrar como o design revisado altera uma ou mais dessas condições. Isso permite que os usuários distingam a proteção que podem usar agora de um recurso prometido para hardware futuro.

Os comentários de novembro do CEO da Ledger, Pascal Gauthier, colocam esse trabalho futuro ao lado da resposta existente. A orientação imediata ainda depende do dispositivo do proprietário, do backup e das permissões assinadas. Os próximos produtos serão julgados por como protegem esses mesmos pontos de autoridade.

O que observar

• Divulgações técnicas: Exames publicados podem mostrar o que um implante observou e quais partes do dispositivo permaneceram inalteradas.
• Controles no varejo: Rotas de compra, manuseio de estoque devolvido e termos de substituição determinam como a resposta chega aos compradores afetados.
• Cobertura de assinatura: O suporte de carteiras e aplicativos determina quais solicitações podem exibir movimentações de ativos e permissões legíveis.
• Atribuição de perdas: Descobertas em dispositivos e rastreamento baseado em endereços devem identificar suas próprias populações antes de serem combinados em uma estimativa de perdas.
• Transações de recuperação: Ativos devolvidos e distribuições documentadas estabelecem o que os detentores recuperaram após qualquer congelamento ou restrição.

Perguntas frequentes