Portfel kryptowalutowy był oryginalny. Układ, który ktoś do niego dołożył, już nie.

Portfel sprzętowy ma być tym ostrożnym wyborem. Klucze trzyma się poza siecią, na małym urządzeniu w szufladzie, właśnie po to, żeby nic z komputera nie mogło ich dosięgnąć. To założenie trzymało się dokładnie do chwili, gdy ktoś otworzył obudowę i wlutował do środka pasażera na gapę.

Ledger potwierdził 12 października, że urządzenia sprzedawane przez CryptoBilis, dystrybutora działającego w Malezji, Indonezji i na Filipinach w cenach bliskich połowie zwykłej, zostały fizycznie zmodyfikowane, zanim trafiły do kupujących. Pojawiły się dwie wersje implantu. Jedna ukryta w pocienionej baterii zamiennej, druga wsunięta pod ekran OLED. Obie zawierały mikrokontroler ST i moduł eSIM o boku około dwóch milimetrów. Układ obserwował, co pokazuje ekran i które przyciski są naciskane, wyławiał 24-wyrazową frazę odzyskiwania podczas konfiguracji, a następnie wysyłał ją atakującym przez transmisję komórkową. Żadnego internetu, żadnego komputera, w żadnym momencie żadnego złośliwego oprogramowania.

Analitycy łańcucha bloków szacują straty na około 93 miliony dolarów przy ponad 300 portfelach, a Tether zamroził powiązane z tym 10 milionów dolarów w USDT. Ledger twierdzi, że jego oprogramowanie, element bezpieczny i podpisywanie transakcji nigdy nie zostały naruszone, co jest prawdą i niewielką pociechą, bo firma przyznaje zarazem, że jej Genuine Check nie wykryje dołożonego implantu, dopóki oryginalny element bezpieczny pozostaje nienaruszony. Każdemu, kto ma urządzenie od tego sprzedawcy, zaleca się, by nie konfigurował jeszcze nieużywanego egzemplarza i przeniósł środki na nowe urządzenie ze świeżo wygenerowaną frazą.

Wniosek wykracza daleko poza kryptowaluty. Sprzęt kupiony z podejrzanym rabatem od sprzedawcy, którego nie da się zidentyfikować, to sprzęt, któremu ufasz bez reszty. Na komputerze z Windows odpowiednikiem tego ryzyka jest zwykle oprogramowanie, a nie krzem, a kontrola bezpieczeństwa Tendvane przegląda to, co jest zainstalowane, i oznacza rzeczy, które pojawiły się bez pytania.