Ledger má uklidňující zprávu: ochranu jeho bezpečnostního čipu nikdo neprolomil. Majitelům prázdných peněženek zbývá vymyslet, jak se z toho radovat.
Lidem, kteří si koupili Ledger od prodejce CryptoBilis, někdo 9. října 2026 ukradl kryptoměny. Podle výpočtů Bitquery k 15. říjnu šlo přibližně o 102 milionů dolarů a 324 peněženek. Je to odhad výzkumníků, který Ledger zatím nepotvrdil.
Kód k trezoru prostě někdo odkoukal
Ledger 13. října vysvětlil, jak fungovala špionážní součástka nalezená v přístroji jednoho z poškozených. Uvnitř pouzdra byl cizí díl. Při nastavování přístroje četl z displeje 24 slov pro obnovení peněženky a odesílal je útočníkům přes mobilní síť. Hlavní čip, systém zařízení i podpisy transakcí přitom zůstaly nedotčené.
Těmto slovům se říká obnovovací neboli seedová fráze. Pokud k ní majitel nepřidal další heslo, stačí tato slova k obnovení peněženky na jiném zařízení. Samotný Ledger už pak zloděj nepotřebuje. Nemusí na něm ani mačkat tlačítka.
Představte si trezor s výborným zámkem. Někdo vedle klávesnice schoval kameru a odkoukal kód. Zámek obstál ve všech zkouškách. Obsah trezoru tenhle úspěch z nějakého důvodu neocenil.
Kontrola úspěšná. Překvapení uvnitř
Ledger nabízí kontrolu pravosti zařízení. Ve vlastním návodu ale uvádí její omezení: tato kontrola neodhalí fyzické úpravy včetně špionážních součástek, pokud původní bezpečnostní čip zůstal neporušený.
„Pravý Ledger“ a „nikdo dovnitř nic nepřidal“ jsou dvě různá tvrzení. Technik ten rozdíl chápe. Zákazníka, který zaplatil za bezpečí a jehož přístroj prošel kontrolou, může tahle drobnost stát všechny úspory.
Další krok má jistou eleganci. Stejný návod nabízí fotografie vnitřku přístroje k vlastní kontrole a zároveň varuje, že otevřením můžete přístroj poškodit. Koupili jste si peněženku, abyste nemuseli tolik řešit bezpečnost. Teď máte důvod studovat plošné spoje.
Černá skříňka měla spolubydlícího
Svést všechno na nákup u náhodného překupníka tady dost dobře nejde: CryptoBilis figuroval v oficiálním seznamu prodejců Ledgeru. Kdo zařízení upravil a v jaké fázi, se stále vyšetřuje.
Právě tady dostává slib klidného spaní trhliny. Zákazník má věřit výrobci, prodejci, dopravci i tomu, co je uvnitř krabičky. Pak se ukáže, že kontrola odpovídá jen na část otázky. Co kontrola nepokryje, je najednou osobní problém zákazníka.
Útočníci v tomto případě ani nemuseli měnit program zařízení. Přidali si vlastního pozorovatele. Stačilo jim místo hned vedle toho, co mělo peníze chránit.
Nejde o potvrzené prolomení aplikace Ledger Live ani o důkaz, že je napadený každý Ledger. V upřesnění ze 14. října firma uvedla, že při kontrole zásob u německých prodejců a distributorů nenašla známky zásahu; podezřelé přístroje ukázané na internetu ještě neobdržela. Tím ale nalezená špionážní součástka nezmizí.
Co mají zákazníci dělat teď
U přístrojů koupených přes CryptoBilis je doporučení Ledgeru jednoduché: nepoužitý přístroj nenastavujte. Pokud už jste ho používali, vytvořte na důvěryhodném zařízení novou peněženku s novou obnovovací frází a převeďte do ní prostředky. Přenést i starou frázi nedává smysl: kopie, kterou může mít zloděj, tím nezmizí. Nezadávejte ji na webech nabízejících „bezpečnostní kontrolu“.
Karta je trezor. Šifrujete vy.
U každého zařízení má smysl vědět, co dělá ono a co děláte vy. Karta Mitilena je zkrátka trezor pro data, která si zašifrujete sami. Zvolíte si heslo, data jím zašifrujete a na kartu uložíte už zašifrovaný obsah.
Záznam ve standardním formátu NFC si můžete přečíst v běžné aplikaci, třeba v NFC Tools. Přečtení záznamu ale není totéž co dešifrování dat. V tom je celá myšlenka: šifrování máte ve svých rukou. Karta uchovává to, co jste na ni uložili.