Trezor güvenlik gerekçesiyle yetkili satıcı sayısını azaltıyor

Donanım cüzdan üreticisi Trezor, rakip şirket Ledger tarafından üretilen cihazlara kötü amaçlı donanım parçaları yerleştirildiğine dair raporların ardından, tedbir amaçlı olarak yetkili satıcılarının sayısını azaltacağını duyurdu.

Salı günü yapılan açıklamada şirket, Ledger kullanıcılarının kurtarma kelimelerini açığa çıkaran kötü amaçlı eklemeler tespit ettiğine yönelik iddiaların ardından, kendi cihazlarının güvenliğinin tehlikeye girdiğine dair tek bir kanıt dahi bulunmadığını belirtti.

Son tedarik zinciri olaylarını gerekçe gösteren Trezor, bayi ağını küçülteceğini bildirdi. Ticari İşler Direktörü Danny Sanders, bazı yetkili satıcılara 1 Ocak itibarıyla şirketin onaylı kuruluşlar listesinden çıkarılacaklarının bildirildiğini ve Trezor cihaz sevkiyatlarının salı gününden itibaren durdurulduğunu aktardı.

Trezor’un bu adımı, Güneydoğu Asyalı bir satıcıdan temin edilen en az bir Ledger cihazına izinsiz donanım eklentisi yapıldığının ve bunun kullanıcılarda milyonlarca dolarlık kayba yol açabileceğinin doğrulanmasından günler sonra geldi. Yetkili satıcı CryptoBilis tarafından satılan söz konusu cüzdanların, kurtarma kelimelerini ele geçirerek hücresel ağlar üzerinden korsanlara ilettiği belirlendi.

Şirket sözcüsü, kendi kurulum kontrollerinin sahte cihazları ve değiştirilmiş yazılımları tespit edecek şekilde tasarlandığını belirterek şu değerlendirmede bulundu: “CryptoBilis’ten alınan cihazda tespit edilen parça farklı bir yöntemle çalışıyor. Bu, bellenimi değiştirmeyen ancak ekrandaki bilgileri okuyarak daha sonra saldırgana ileten benzersiz bir müdahale yöntemidir. Şimdiye kadar Trezor cihazlarında gerçek dünyada bu tarz bir saldırıyla karşılaşmadık.”

Yürütülen soruşturma sürecinde yetkili Trezor bayisi CryptoBilis tüm donanım cüzdan satışlarını askıya aldı. Avrupa merkezli elektronik perakendecisi MediaMarkt’ın ana şirketi de önlem amacıyla fiziksel mağazalarından ve çevrim içi platformlarından tüm Ledger ürünlerini kaldırdığını duyurdu.

Blokzincir araştırmacıları donanım cüzdanı kullanıcılarının uğradığı zararın boyutunu incelemeyi sürdürüyor. İki bağımsız uzmanın yürüttüğü incelemeler, toplam kaybın 72 milyon dolar ile 86 milyon dolar arasında olabileceğine işaret ediyor. Ledger ise salı günü yaptığı bilgilendirmede, güvenlik ihlali nedeniyle etkilenen toplam kullanıcı sayısını veya kaybedilen fon miktarını henüz teyit etmediklerini ifade etti.

Trezor sözcüsü kullanıcılara, ürünleri doğrudan şirketin kendisinden satın almalarını, güvenlik mührünün sağlam olduğunu kontrol etmelerini ve tek bir cihazın ele geçirilmesi durumunda fonların taşınmasını önlemek için farklı üreticilerin cihazlarını kapsayan çoklu imza cüzdanlarını değerlendirmelerini tavsiye etti.