טרזור מנתקת משווקים מורשים ולדג'ר מורידה ארנקים מהמדפים בשבעה שווקים באסיה

טרזור הודיעה ב-13 באוקטובר לחלק מהמשווקים המורשים שלה שההרשאה שלהם תסתיים ב-1 בינואר 2027. באותו יום ביקשה לדג'ר מהמפיצים שלה באינדונזיה, סינגפור, תאילנד, הפיליפינים, וייטנאם, מלזיה והונג קונג להפסיק למכור את ארנקי החומרה שלה ולהוריד אותם מהמדפים. שני המהלכים נולדו מאותה פרשה: שתל אלקטרוני שהותקן בארנקי לדג'ר שנמכרו דרך משווק מורשה בדרום מזרח אסיה, ושידר לתוקפים את מילות השחזור של הקונים.

מי שמחזיק את המטבעות שלו בארנק קר, כלומר מכשיר ששומר את המפתחות מחוץ לאינטרנט, סומך על כך שהמכשיר הגיע אליו נקי. הפרשה הנוכחית פוגעת בדיוק בהנחה הזו, ושתי היצרניות מגיבות כעת בצמצום ערוצי ההפצה.

המכתב של דני סנדרס למשווקים

סמנכ"ל הסחר של טרזור, דני סנדרס, פרסם את המכתב שנשלח למשווקים שהחברה נפרדת מהם. לדבריו, טרזור כבר לא מסוגלת לבדוק כראוי כל שותף ברשת ההפצה הקיימת. "ארנק חומרה בטוח רק כמו הדרך שהוא עובר עד שהוא מגיע לבעליו", כתב. החברה בחנה כל מדינה בנפרד ושקלה את ההכנסות, את כיסוי ההפצה ואת יכולתה להגיע ללקוחות בעצמה.

המשווקים שנפגעו לא יקבלו מלאי חדש, והמשלוחים אליהם נעצרו כבר ביום ההודעה. הם רשאים למכור את המלאי הקיים לאורך הבלאק פריידיי ועונת החגים, וב-1 בינואר יוסרו מרשימת המשווקים המורשים. טרזור לא מסרה כמה עסקים נפגעו ובאילו שווקים. "אני מצטער. ההחלטה הזו לא אומרת דבר על המאמץ שלכם או על הדרך שבה ייצגתם אותנו", נכתב במכתב. מי שנשאר ברשת יעבור למסגרת משפטית מעודכנת ויעמוד בכללים מחמירים יותר לגבי מקור המכשירים, אחסונם והטיפול בהם.

במאי 2022 הזהירה טרזור מפני ארנקי Model T מזויפים שנמכרו באתר מסחר רוסי בידי מוכר לא מורשה. המכשירים נפתחו, רכיבים בתוכם הוחלפו, ומילות השחזור שהפיקו היו צפויות או מוגדרות מראש. אז המליצה החברה לקנות רק בחנות הרשמית או אצל משווק מורשה, ואת רשת המשווקים הזו היא מצמצמת עכשיו. לטרזור יש גם פרשה פתוחה משלה: באוגוסט נחשפו נתוני לקוחות שלה אצל שותפת השילוח ShipMonk, ולפי עדכון החברה מספטמבר מדובר ב-80,689 לקוחות. טרזור מסרה שהמערכות, המכשירים, המפתחות הפרטיים וגיבויי הארנקים לא נפגעו.

למה בדיקת המקוריות לא תופסת את השתל

צוות האבטחה של לדג'ר, Donjon, מצא שהרכיב שהותקן בארנקים של CryptoBilis קורא את המסך בזמן ההתקנה, מפענח את 24 מילות השחזור כשהן מוצגות ומשדר אותן ברשת LTE באמצעות eSIM, כרטיס סים שמובנה בחומרה. השתל פועל בנפרד מה-Secure Element, השבב ששומר את המפתחות, ובנפרד ממערכת ההפעלה. המכשיר נראה ומתפקד כרגיל וחותם על עסקאות כרגיל.

דובר טרזור הסביר שבדיקות ההתקנה של החברה בנויות לזהות מכשירים מזויפים וקושחה ששונתה. השתל הזה לא נוגע בקושחה, ולכן הבדיקות האלה לא מזהות אותו. לדבריו, טרזור לא ראתה עד כה את סוג התקיפה הזה על המכשירים שלה. פירוט נוסף על המנגנון מופיע בכתבה שלנו על השתל שלדג'ר מצאה.

לדג'ר עוצרת מכירות בשבעה שווקים

לדג'ר הדגישה שהאירועים המאומתים היחידים עד כה מוגבלים לדרום מזרח אסיה, ושלא אימתה ריקון ארנק שקשור למכשיר שנקנה במקום אחר. ובכל זאת, הדיווחים מתרחבים. MediaMarktSaturn הגרמנית השעתה את מכירת ארנקי לדג'ר בחנויות ובאתרים אחרי דיווח על מכשיר עם שתל שנקנה בגרמניה, ולפי לדג'ר לא דווח על הפסד כספי במקרה הזה. הרקע לצעד של מדיה מרקט מתואר אצלנו בהרחבה.

בסינגפור דיווח מרק קרפלס, לשעבר מנכ"ל Mt. Gox, על שתל ריגול ב-Ledger Flex שנקנה בחנות MetaPod בנמל התעופה צ'אנגי. אנליסט CryptoQuant המכונה Darkfost הצביע על Ledger Flex שלפי הדיווח עבר שינוי, ונקנה בסניף VivoCity של רשת Challenger. לדג'ר לא אישרה את שני המקרים ולא קשרה אותם לתקיפה של CryptoBilis. Darkfost פרסם גם רשימת מעקב של משווקים מורשים בדרום מזרח אסיה ובאירופה, והבהיר שהופעה ברשימה לא מעידה על פריצה. לדג'ר מסרה שאין לה סימן לפגיעה בתשתיות, במערכות או בערוץ המכירה הישיר שלה.

ציר הזמן והערכות הנזק

• 9 באוקטובר: החקירה נחשפת אחרי דיווחים על גניבות שקשורות למכשירים של CryptoBilis.
• 10 באוקטובר: לדג'ר מאשרת את קיום השתל.
• 13 באוקטובר: מכתב טרזור, השעיית המכירות ב-MediaMarktSaturn ובקשת לדג'ר לעצור מכירות בשבעה שווקים.
• עד סוף דצמבר: המשווקים שנותקו מוכרים את המלאי הקיים, כולל בבלאק פריידיי ובעונת החגים.
• 1 בינואר 2027: הסרתם מרשימת המשווקים של טרזור.

לפני שאתם מחברים ארנק חומרה שקניתם בארץ או בחו"ל

אם קניתם ארנק באתר סחר בינלאומי, בחנות מקומית או ממשווק בחו"ל, ההנחיה של לדג'ר ללקוחות CryptoBilis נותנת כיוון: מי שקנה שם ב-90 הימים האחרונים התבקש לא להתקין את המכשיר, ומי שכבר התקין התבקש להעביר את הכספים למילות שחזור חדשות על מכשיר שנקנה מלדג'ר. אם אתם לא בטוחים במקור של הארנק שלכם, אותו היגיון חל עליכם.

טרזור ממליצה לקנות ישירות מהיצרן ולבדוק שהחותם שלם. היא מבקשת לא לפתוח את המעטפת בעצמכם, כי פתיחה בכוח עלולה לפגוע במכשיר, ובדגם Safe 7 הסוללה המובנית הופכת את זה למסוכן. היא מציעה גם לשקול ארנק מרובה חתימות עם מכשירים של יצרנים שונים, כך שמכשיר פרוץ אחד לא יוכל להזיז כספים לבדו. עוד על גיבוי נכון של מילות השחזור תמצאו במדריך לשמירת ביטקוין בבטחה.

מי שלא רוצה לנהל משמורת עצמית יכול לקבל חשיפה למחיר דרך קרנות מחקות ביטקוין בישראל, שנסחרות מאז 31 בדצמבר 2024 בדמי ניהול של כ-0.2% בשנה, או דרך קרנות סל אמריקאיות בחשבון ברוקר רגיל. בשני המסלולים המס מנוכה במקור ואין ארנק להתקין, אבל גם אין לכם שליטה על המטבעות עצמם.