Kryptoanvändare väger sina hårdvaruplånböcker efter en skandal med manipulerade enheter som kopplas till stölder på cirka 93 miljoner USD. Men den här typen av bevis kan avslöja ett implantat utan att visa att enheten är helt säker.
Kontrollen blev populär efter att Ledger bekräftade ett dolt implantat i en enhet såld via CryptoBilis, en återförsäljare som Ledger listar för Sydostasien. Ledger säger att deras egna system inte har blivit påverkade, men den påverkade enheten kom ändå till köparen via den officiella återförsäljaren.
Varför ägare väger sina hårdvaruplånböcker
Vägning lockar eftersom du inte behöver öppna den förseglade enheten. Tillverkare publicerar referensvikter att jämföra med.
Ledger skriver att Nano X väger 34 gram och Trezor anger Safe 3 till 14 gram. Ägare jämför sedan sin egen enhets vikt med detta.
I teorin väger extra komponenter, som kretskort, antenn och modem, mer. Därför ser en tyngre enhet misstänkt ut.
Den tidigare Mt. Gox-chefen Mark Karpelès hittade just detta i en förseglad Nano X köpt i Malaysia. Enligt honom kunde ett gömt spionchip läsa av recovery phrase från skärmen och skickade den via ett mobilnät.
Varför några gram bevisar lite åt båda hållen
Men implantatet behövde aldrig exakt matcha vikten. I Karpelès enhet satt kretskortet bakom skärmen och ett mindre batteri skapade plats, vilket minskade extra vikten.
Karpelès själv uppskattade skillnaden till cirka ett gram. Han säger att detta ligger inom normal fabriksvariation, eftersom batterier med samma kapacitet kan väga olika.
En köksvåg som visar steg om ett gram kan inte skilja på vanlig skillnad och ett litet implantat. Mer noggranna mikrovågar kan ge bättre svar, men bara om de kalibreras med referensvikt. Att öppna skalet är fortfarande det enda direkta sättet att undersöka kretskortet.
Ledger själva går längre. Företaget stoppade försäljning via återförsäljare och rekommenderar att nya CryptoBilis-kunder inte använder sina hårdvaruplånböcker alls.
En vanlig köksvåg upptäcker bara ett grovt implantat, inte ett välgjort. När attacker mot hårdvaruplånböcker nu sker direkt i enheten är det oftast säkrare att köpa direkt från tillverkaren, istället för att testa hemma.
