Растет число обвинений в нарушении цепочки поставок в отношении компании Ledger, производителя аппаратных кошельков для криптовалют. После обнаружения ранее модифицированных устройств Ledger теперь утверждается, что шпионское ПО было также обнаружено в устройствах, приобретенных в различных магазинах Европы.
Пользователь, опубликовавший в социальных сетях новые заявления по этому поводу, утверждал, что безопасность цепочки поставок Ledger в Европе была скомпрометирована, и настаивал на том, что компания должна немедленно начать процесс отзыва продукции для защиты своих пользователей.
По словам заявителя, одинаковые физические изменения были обнаружены на двух разных устройствах Ledger, приобретенных в разных европейских магазинах. Пользователь заявил, что после покупки второго устройства он снял на видео распаковку и снова обнаружил внутри шпионское ПО.
В обоих исследованных устройствах, как утверждается, содержались дополнительные компоненты, такие как кабели и модуль связи LTE, которые не входили в первоначальную конструкцию. Предполагается, что эти компоненты могли быть установлены с целью утечки данных из устройств.
Пользователь предположил, что эта ситуация может указывать на более масштабную атаку на цепочку поставок, а не на единичный инцидент, отметив, что у рассматриваемой розничной сети более 1000 магазинов в 11 европейских странах. Однако пока нет подтвержденных доказательств того, что другие устройства Ledger в этих магазинах также были затронуты.
Подозрения обратились к дистрибьютору, работающему по всей Европе.
Заявитель утверждал, что первоначально полагал, что скомпрометированные устройства были ранее приобретены, возвращены, а затем перепроданы магазинами.
Однако он сообщил, что сотрудник магазина, с которым он разговаривал, сказал ему, что приобретенное им устройство не подлежит возврату, и что возвращенные устройства Ledger отправляются напрямую производителю, а не перепродаются.
Пользователь заявил, что отправил первое найденное им устройство бывшему генеральному директору Mt. Gox Марку Карпелесу для экспертизы, а второе устройство отправит напрямую Леджеру.
Компания Ledger также настоятельно призвала пользователей, купивших свои устройства у продавцов, отличных от официального магазина производителя, тщательно осмотреть свои устройства.
Ранее Марк Карпелес утверждал, что в некоторых устройствах Ledger были встроены скрытые коммуникационные модули, и что эти устройства могли пройти официальную проверку подлинности, проводимую производителем.
Если новые обвинения подтвердятся, рассматривается возможность того, что инцидент может представлять собой более масштабную атаку на цепочку поставок оборудования, затрагивающую не только несколько устройств, но и физические каналы продаж по всей Европе.
Однако на данном этапе масштабы атаки, количество затронутых устройств и потенциальные злоумышленники не были независимо подтверждены.
*Это не инвестиционная рекомендация.
