Trezor'dan CryptoBilis uyarısı: Safe 5'te şüpheli donanım implantı iddiası

Kripto donanım cüzdanı üreticisi Trezor, Mart ayından bu yana eski yetkili satıcısı CryptoBilis üzerinden cüzdan satın alan müşterilerine fonlarını yeni bir cüzdana taşıma çağrısı yaptı. Gerekçe, Endonezya'da bir kullanıcının ağustos ayında Tokopedia platformundan satın aldığı Trezor Safe 5 cihazın içinde yetkisiz bir devre kartı tespit etmesi. Şüpheli donanım implantının, cihazın ekranında görüntülenen bilgileri — cüzdan kurtarma ifadeleri dahil — yakalayıp hücresel ağ üzerinden dışarı iletebilecek şekilde tasarlanmış olabileceği bildirildi.

Trezor bildirimi güvenilir kabul ediyor

Şirket, söz konusu cihazı laboratuvarında henüz incelemediğini ve bu yolla fon kaybına dair herhangi bir bildirim almadığını açıkladı. Şirket baş ticari sorumlusu Danny Sanders, yaklaşımı şöyle özetledi: "Cihazı henüz laboratuvarımızda inceleyemedik ama bildirimi güvenilir kabul ediyoruz; teyidi bekleyip birinin bu arada fon kaybetmesini görmektense insanları şimdi uyarmayı tercih ederiz." Donanım cüzdanı güvenliğinde kurtarma ifadesi, cüzdana erişimi tek başına sağlayabildiği için risk, doğrulama beklenmeden ciddiye alındı.

İlgili: Uğraştırılmış Ledger cüzdanları Singapur'da 2,7 milyon dolar kayba yol açtı

Satış ölçeği küçük, kurcalama noktası belirsiz

Bir Trezor sözcüsü, CryptoBilis kanalıyla gerçekleşen satışların "çok küçük" ölçekte olduğunu söyledi ancak rakam paylaşmayı reddetti. Şirket, kurcalamanın tedarik zincirinin hangi aşamasında gerçekleştiğini henüz belirleyemedi. Donanım korumalarını gözden geçiren Trezor, mühür ve ambalaj gibi mevcut güvenlik önlemlerinin tek başına yeterli olmadığını da kabul etti. Şirket, 13 Ekim'de satıcı ağını küçültme planını zaten duyurmuştu.

Ledger vakasıyla benzer yöntem

Bulgular, CryptoBilis üzerinden satılan Ledger cüzdanlarıyla ilgili kripto kayıplarının gündeme geldiği 9 Ekim'in ardından geldi; Ledger, etkilenen bir cihazda yetkisiz bir donanım implantını doğrulamıştı. Trezor'un açıklamasına göre o olayda tespit edilen implant, cihazın yazılımını değiştirmeden yalnızca ekranı okuyordu. Trezor'un kurulum kontrolleri ise sahte cihazları ve değiştirilmiş yazılımları hedefliyor; ekranı okuyan bir implant bu kontrollerden kaçabiliyor. Çalınan bir kurtarma ifadesi, saldırganın cüzdanı başka bir cihazda geri yükleyerek içindeki fonları transfer etmesine olanak tanıyor.

Yetkisiz satıcı kanalları zaten tartışma konusuydu

Güvenlik araştırmacısı Joe Grand, TikTok ve Facebook'taki yetkisiz satıcılardan alınan kurcalanmış Trezor One ve Model T cüzdanlarını ağustos ayında Trezor'a bildirmişti. Trezor, o tarihteki "ihlal edilmiş cüzdana dair kanıt yok" açıklamasının yalnızca yetkili satıcılardan satılan yeni cüzdanlar için geçerli olduğunu vurguladı. Yaşanan gelişmeler, kripto kullanıcılarının donanım cüzdanlarını yalnızca üreticiden ya da yetkili kanallardan temin etmesinin önemini bir kez daha gündeme taşıdı; Bitcoin gibi varlıkların saklanmasında kullanılan bu cihazlarda, yazılım değil fiziksel seviyedeki bir kurcalama tespit edilmeyi zorlaştırabiliyor.