Po szeroko nagłośnionym i zakrojonym na dużą skalę naruszeniu bezpieczeństwa u konkurenta Ledger, które według doniesień spowodowało straty w kryptowalutach sięgające dziesiątek milionów dolarów, producent portfela sprzętowego Trezor znacząco ogranicza swoją sieć autoryzowanych resellerów.
W liście do partnerów dyrektor handlowy Trezor, Danny Sanders, ujawnił, że firma odwoła autoryzację dla objętych tym resellerów 1 stycznia 2027 r., aby przejąć większą kontrolę nad łańcuchem dostaw.
Ogłoszenie to nastąpiło po wykryciu złośliwych implantów sprzętowych w urządzeniach Ledger sprzedawanych przez zewnętrznych resellerów.
Choć ta odważna zmiana może sugerować, że firma podejrzewa, iż urządzenia Trezor również mogą być zagrożone, Trezor podkreślił, że środek ten ma charakter ściśle zapobiegawczy i nie ma dowodów na to, że urządzenia Trezor zostały naruszone.
"Mówiąc całkiem jasno: nie ma ani jednego dowodu na to, że urządzenia Trezor zostały naruszone" – napisał Sanders.
Dyrektor zauważył, że niedawny atak hakerski na innego producenta portfeli sprzętowych potwierdził wcześniejsze obawy firmy dotyczące możliwych ryzyk związanych z dystrybucją przez strony trzecie.
Sanders argumentował, że nawet jeśli portfel sprzętowy jest technicznie bezpieczny, nadal istnieje ryzyko, jeśli hakerzy mogą uzyskać dostęp do portfela, zanim trafi on do właściciela portfela.
Umowa z resellerami
Resellerzy, którzy otrzymali wypowiedzenie, zostaną usunięci z oficjalnej listy autoryzowanych partnerów Trezor 1 stycznia 2027 r.
Nowe zapasy nie będą już wysyłane do objętych tym firm, ale firma poinformowała, że dotknięci resellerzy nadal będą mogli sprzedawać to, co pozostało w ich zapasach, aż do daty zakończenia współpracy, w tym w czasie niezwykle ważnego Black Friday i sezonu świątecznego.
Trezor wyjaśnił, że ocena każdego indywidualnego rynku opierała się na przychodach, możliwościach dystrybucyjnych oraz już ugruntowanej obecności firmy na rynku.
Ostatecznie firma uznała, że mniejsza liczba resellerów oznacza możliwość przeprowadzenia bardziej dogłębnych kontroli bezpieczeństwa.
Co ważne, dyrektor podkreślił, że decyzja ta nie stawia objętych nią firm w złym świetle ani nie sugeruje, że dystrybuowały one naruszone urządzenia.
Wobec autoryzowanych partnerów firma zaostrzy umowę i zwiększy kontrolę nad tym, w jaki sposób urządzenia są pozyskiwane, przechowywane i obsługiwane.
Firma nie podała, ilu resellerów straci autoryzację.
Problemy branży
Ogłoszenie to nastąpiło zaledwie kilka dni po tym, jak producent portfeli sprzętowych Ledger został zamieszany w poważny skandal dotyczący bezpieczeństwa łańcucha dostaw z udziałem resellera portfeli sprzętowych, CryptoBilis, w Azji Południowo-Wschodniej.
Ledger przyznał, że niektóre urządzenia sprzedawane przez tego resellera miały nieautoryzowane implanty sprzętowe, które mogły przechwytywać 24-wyrazowe frazy odzyskiwania użytkowników podczas inicjalizacji ich urządzeń.
Ustalenia opublikowane przez zespół ds. bezpieczeństwa Donjon firmy Ledger ujawniły, że złośliwe implanty miały zdolność wysyłania skradzionych fraz odzyskiwania przez sieci komórkowe, potencjalnie narażając użytkowników na utratę dostępu do ich środków w kryptowalutach.
Analitycy śledzący łańcuch bloków oszacowali, że zdarzenie to mogło doprowadzić do strat przekraczających 90 milionów dolarów, choć Ledger nie potwierdził tej liczby samodzielnie.
Ten znaczący wysiłek restrukturyzacyjny pokazuje, że w następstwie fiaska Ledger producenci portfeli sprzętowych kwestionują implikacje bezpieczeństwa dystrybucji przez strony trzecie, nawet jeśli nie ma dowodów na to, że ich urządzenia są rzeczywiście naruszone.
