लेजर ने आपूर्ति श्रृंखला हमले में अनधिकृत हार्डवेयर इम्प्लांट की पुष्टि की, नुकसान $86 मिलियन से अधिक हो सकता है

फ्रांसीसी क्रिप्टो हार्डवेयर वॉलेट निर्माता ने दक्षिण पूर्व एशियाई पुनर्विक्रेता के माध्यम से बेचे गए उपकरणों को प्रभावित करने वाले एक परिष्कृत आपूर्ति श्रृंखला उल्लंघन का खुलासा किया, दुर्भावनापूर्ण चिप्स उपयोगकर्ता धन को निकाल रहे हैं।

दुनिया के सबसे लोकप्रिय क्रिप्टोकरेंसी हार्डवेयर वॉलेट में से एक के पीछे फ्रांसीसी निर्माता लेजर ने रविवार को पुष्टि की कि वास्तविक उपकरणों में एक अनधिकृत हार्डवेयर इम्प्लांट खोजा गया है, जो संभावित रूप से दक्षिण पूर्व एशिया में हजारों उपयोगकर्ताओं को प्रभावित कर रहा है। कंपनी ने कहा कि घटना क्षेत्र में एकल पुनर्विक्रेता तक सीमित प्रतीत होती है, हालांकि प्रारंभिक ब्लॉकचेन फोरेंसिक के अनुसार निकाले गए वॉलेट से नुकसान $86 मिलियन से अधिक हो सकता है।

सॉफ्टवेयर हैक या फ़िशिंग हमलों के विपरीत, यह उल्लंघन कहीं अधिक गंभीर खतरे का प्रतिनिधित्व करता है: एक आपूर्ति श्रृंखला हमला जिसमें ग्राहकों तक पहुंचने से पहले भौतिक उपकरणों के साथ छेड़छाड़ की गई थी। दुर्भावनापूर्ण इम्प्लांट—अन्यथा प्रामाणिक लेजर इकाइयों के अंदर सर्किट बोर्ड पर मिलाया गया एक छोटा चिप—हमलावरों को निजी कुंजी और सीड वाक्यांशों को रोकने की अनुमति देता है जबकि उपयोगकर्ता अपने वॉलेट सेट अप कर रहे थे या एक्सेस कर रहे थे, भले ही उपकरण सामान्य रूप से काम करते दिखाई दें।

लेजर ने कहा कि वह कई न्यायालयों में कानून प्रवर्तन के साथ काम कर रही है और यह निर्धारित करने के लिए एक आंतरिक जांच शुरू की है कि इम्प्लांट कैसे पेश किए गए। कंपनी ने जोर देकर कहा कि Ledger.com से सीधे या उत्तरी अमेरिका और यूरोप में सत्यापित पुनर्विक्रेताओं से खरीदे गए उपकरण छेड़छाड़ के कोई संकेत नहीं दिखाते हैं। हाल के महीनों में उपकरण खरीदने वाले दक्षिण पूर्व एशिया के उपयोगकर्ताओं से तुरंत आधिकारिक चैनलों के माध्यम से खरीदे गए उपकरण पर बनाए गए नए वॉलेट में धन स्थानांतरित करने का आग्रह किया जा रहा है।

$86 मिलियन का आंकड़ा प्रारंभिक है और वॉलेट पतों पर आधारित है जिन्हें सुरक्षा शोधकर्ताओं ने समझौता किए गए उपकरणों से जोड़ा है। जैसे-जैसे अधिक पीड़ित सामने आएंगे, वास्तविक नुकसान बढ़ सकता है। लेजर ने चल रही जांच का हवाला देते हुए शामिल पुनर्विक्रेता का नाम नहीं बताया है, लेकिन कहा कि उसने वितरक को शिपमेंट निलंबित कर दिया है और अपने पूरे साझेदार नेटवर्क का ऑडिट कर रही है।

लेजर जैसे हार्डवेयर वॉलेट को क्रिप्टो सुरक्षा के लिए स्वर्ण मानक के रूप में विपणन किया जाता है ठीक इसलिए क्योंकि वे निजी कुंजी को ऑफलाइन और इंटरनेट से जुड़े कंप्यूटरों से अलग रखते हैं। यह हमला यह दिखाकर इस वादे को कमजोर करता है कि अगर आपूर्ति श्रृंखला का उल्लंघन किया जाता है तो एयर-गैप्ड उपकरणों से भी समझौता किया जा सकता है। उपयोगकर्ताओं के लिए, यह केवल आधिकारिक स्रोतों से हार्डवेयर वॉलेट खरीदने और भौतिक छेड़छाड़ के संकेतों के लिए उपकरणों का निरीक्षण करने के महत्वपूर्ण महत्व को उजागर करता है।

यह घटना क्रिप्टो उद्योग के लिए एक संवेदनशील समय पर होती है, जिसने एक्सचेंज पतन और कस्टडी विफलताओं के बाद विश्वास का पुनर्निर्माण करने में वर्षों बिताए हैं। FTX पतन के बाद हार्डवेयर वॉलेट की बिक्री बढ़ गई क्योंकि उपयोगकर्ता स्व-हिरासत समाधान की मांग कर रहे थे, और इन उपकरणों में विश्वास का कोई भी क्षरण निवेशकों को विनियमित संरक्षकों की ओर वापस धकेल सकता है या पूरी तरह से क्रिप्टो अपनाने को कम कर सकता है। लेजर के प्रतियोगी, जिनमें Trezor और Coldcard शामिल हैं, ने अभी तक सार्वजनिक रूप से टिप्पणी नहीं की है लेकिन संभवतः अपने स्वयं के आपूर्ति श्रृंखला नियंत्रणों की समीक्षा कर रहे हैं।

रोजमर्रा के निवेशकों के लिए, सबक स्पष्ट है: सबसे सुरक्षित तकनीक भी केवल उसके पीछे के वितरण नेटवर्क जितनी सुरक्षित है। विशेषज्ञ छेड़छाड़-सबूत पैकेजिंग की जांच करने, निर्माता की वेबसाइट पर डिवाइस सीरियल नंबर सत्यापित करने, और सुरक्षित वातावरण में वॉलेट सेट अप करने की सलाह देते हैं। लेजर ने जांच आगे बढ़ने पर आगे के अपडेट साझा करने का वादा किया है और पुष्टि किए गए पीड़ितों को मुफ्त प्रतिस्थापन उपकरण की पेशकश कर रहा है।