Lådan var förseglad. Plastfilmen var perfekt. Men inuti Ledger hårdvaruplånboken låg ett litet kretskort som var gjort för att stjäla lösenordet och ägarens krypto. Det berättar före detta Mt. Gox-chefen Mark Karpelès.
Karpelès, som ledde börsen som gick under 2014, säger att spionprogrammet låg gömt bakom skärmen, där det egentligen borde funnits en dyna. Det fanns en antenn och ett litet SIM-kort som kunde skicka plånbokens 24-ords-återställningsfras.
Dessa ord räcker för att tömma kryptoplånboken på distans. En angripare behöver därför aldrig röra enheten igen.
Ledgers säkerhetskontroll kan missa spionchippet
Ledgers Genuine Check visar om en enhet har ett äkta säkerhetschip. Men den upptäcker inte alltid alla fysiska ändringar runt det chippet. Detta förklarar Ledger själva i sina egna rekommendationer.
En manipulerad plånbok kan därför klara kontrollen medan en dold komponent övervakar skärmen.
Detta kommer samtidigt som Ledger utreder rapporter om tömda plånböcker som rör den malaysiska återförsäljaren CryptoBilis. Ledger har bett företaget att sluta sälja och skicka sina enheter.
Utredare på kedjan uppskattade först förlusterna till över 86 miljoner USD.
En senare Bitquery-analys säger att det rör sig om 92,9 miljoner USD från 311 plånböcker. Ledger har inte bekräftat dessa siffror. En användare förlorade enligt uppgift 80 Bitcoin.
Karpelès säger att hans enhet kom från en annan säljare. Ledger har inte kunnat visa att den manipulerade hårdvaran orsakat CryptoBilis-förlusterna.
Vem tar ansvar?
Vissa lägger skulden på köparna.
Men Ledger själva rekommenderar auktoriserade återförsäljare, till exempel officiella butiker på Amazon, Shopee och Lazada.
En hårdvaruplånbok ska ta bort behovet av att lita på någon med dina pengar. Men köper du en från en mellanhand måste du lita på en okänd person som hanterar själva enheten som skyddar dina pengar.
För alla som litar på en liten enhet med sina besparingar är det svårt att ignorera den varningen.
