פרשת CryptoBilis: Ledger מרחיבה את עצירת המכירות בעקבות השתלת רכיבים בארנקי חומרה

לקונה בישראל, השאלה המעשית אינה רק איזה ארנק חומרה לבחור. צריך לברר גם מי מכר את המכשיר, מה עבר עליו לפני שנמסר, והאם הוראות ההגדרה הגיעו ממקור שאפשר לסמוך עליו. מכשיר מקורי ושרשרת אספקה בטוחה אינם אותו דבר.

מה Ledger פרסמה, ומה ידוע על CryptoBilis

בעדכון הרשמי של Ledger על מתקפת החומרה (נפתח בלשונית חדשה) מתואר מסלול שבו תוקפים רכשו מכשירים מקוריים, פתחו אותם, הוסיפו רכיבים נסתרים והחזירו אותם להפצה דרך משווקים באזור. לדברי החברה, הרכיבים נועדו לקלוט את מילות השחזור במהלך יצירת הארנק. היא מסרה שמעבדת האבטחה שלה, Donjon, פירקה את השתל ובדקה את פעולתו.

הדיווחים המוקדמים יותר התמקדו ב-CryptoBilis, משווק בדרום-מזרח אסיה. CoinDesk דיווח ב-12 באוקטובר, תוך ייחוס להודעות Ledger, כי שתל לא מורשה אושר לפחות במכשיר אחד שנמכר דרכו, וכי המקרים שאומתו אז נקשרו למשווק. זהו תיאור של המידע באותו שלב בחקירה, לא הוכחה שכל מכשיר שנמכר שם נפגע, וגם לא קביעה על זהות האחראים להשתלה.

ב-13 באוקטובר דיווח The Block כי MediaMarkt Saturn השעתה מכירות של מכשירי Ledger בחנויות ובאינטרנט, והביא תגובה מדובר הקבוצה. בנפרד, Ledger מסרה בעדכון המאוחר שערכה בדיקות מדגמיות גם בחנויות בגרמניה ובמחסנים, ולא מצאה פגיעה במכשירים שבדקה. מדגם נקי אינו בדיקה של כל מכשיר שנמכר.

ההבחנה החשובה: מילות השחזור ולא רק השבב

ארנק חומרה נועד להפריד פעולות רגישות מהמחשב או מהטלפון. עם זאת, מילות שחזור מאפשרות בדרך כלל לשחזר את המפתחות השולטים בכספים בארנק תואם. מי שמשיג אותן עשוי לקבל יכולת להוציא את הכספים בלי להחזיק במכשיר המקורי ובלי לדעת את הקוד לפתיחתו. לכן ההגנה על המכשיר וההגנה על הגיבוי הן שתי שכבות נפרדות.

Ledger טוענת שלא נמצאה חולשה בשבב, במערכת ההפעלה או בשרתים שלה, ושמערכותיה לא נפרצו. הטענה אינה אומרת שמכשיר שעבר שינוי פיזי בטוח לשימוש. להפך: לפי תיאור החברה, ההשתלה נועדה להשיג את הסוד ברגע שבו הוא מוצג למשתמש, בלי להזדקק לפריצה רגילה לתוכנה.

למי שהמונחים חדשים לו, ההסבר על מילות שחזור ומפתח פרטי מפריד בין גיבוי הארנק, סיסמת יישום וקוד המכשיר. החלפת סיסמה בלבד אינה מבטלת את הגישה של אדם שכבר העתיק מילות שחזור.

לפני שמגדירים מכשיר שנקנה מהמשווק

מי שרכש מכשיר מ-CryptoBilis וטרם הגדיר אותו צריך לעצור את ההגדרה ולברר את ההנחיה העדכנית מול התמיכה הרשמית של Ledger. בדיווחים הראשונים הובאה אזהרה לרוכשים בתקופה מסוימת לפני גילוי האירוע. אין להשתמש בחלון הזמן שצוטט אז כאישור בטיחות למכשיר ישן יותר, במיוחד לאחר הרחבת צעדי הזהירות האזוריים.

שמרו את החשבונית, פרטי המוכר, מועד הרכישה והאריזה. אפשר לתעד מבחוץ סימנים חריגים בלי לחשוף מידע סודי. אל תפרקו מכשיר חשוד כדי לנסות לאבחן אותו בעצמכם: בדיקת מעבדה אינה בדיקה ביתית, ופירוק עלול לפגוע במכשיר ובתיעוד האירוע.

אם המכשיר כבר הוגדר, וההנחיות הרשמיות מצביעות על חשש לחשיפת הגיבוי, מעבר בטוח מחייב ארנק עם מילות שחזור חדשות שנוצרו בסביבה מהימנה. הזנת אותן מילים למכשיר חדש אינה יוצרת סוד חדש. לפני העברה חשוב להבין את התהליך, לבדוק את כתובת היעד במכשיר מהימן ולפנות לתמיכה דרך כתובת שהגעתם אליה באופן עצמאי. אין למסור לה את מילות השחזור.

מה בודקים ברכישה הבאה, בלי להבטיח חסינות

עדיף לצמצם חוליות לא ידועות בשרשרת: לבדוק אפשרות רכישה ישירה מהיצרן, או לאמת משווק מול הרשימה הרשמית העדכנית שלו. שם מוכר באתר מסחר אינו תחליף לזיהוי המוכר בפועל. גם מחיר רגיל ואריזה שנראית חדשה אינם מוכיחים שהמכשיר לא עבר דרך גורם נוסף.

בצעו את בדיקות האריזה והמכשיר שהיצרן מפרסם ואת בדיקת המקוריות ביישום הרשמי, אך אל תפרשו בדיקה כזו כתעודת ביטוח נגד כל שינוי פיזי. בהנחיות התמיכה של Ledger מודגש כי דף מילות השחזור מגיע ריק: אין להשתמש במילים שסופקו מראש על פתק, בהודעה או בידי המוכר. יצרו את הארנק לפי ההנחיות הרשמיות בלבד.

לפי העדכון מ-15 באוקטובר, Ledger חידדה גם שאין למכור מחדש מכשירים שהוחזרו, ודרשה להרחיק מלאי ממדפי תצוגה נגישים. אלה צעדי הפצה של החברה, לא בדיקה שהצרכן יכול להחליף בעצמו. הקשר הרחב מוסבר במדריך על ארנק קריפטו והאחריות על המפתחות.

נכון לבדיקה ב-16 באוקטובר 2026, הודעת החברה אינה מספקת רשימה ציבורית מלאה של מכשירים שנפגעו או סכום הפסדים כולל ומאומת. לכן אין כאן מספר נזק סופי או אישור גורף למכשירים שלא הוזכרו. המסקנה המעשית מצומצמת וברורה: לבדוק את מקור המכשיר, לא להתחיל הגדרה כשיש חשד, ולא להפוך פנייה לעזרה למסירת הגיבוי.