我飛往巴黎與 Charles Guillemet
(@P3b7_),@Ledger 的 CTO 交談
我擔心 Ledger 植入式攻擊可能是影響全球的漏洞利用,波及數萬台裝置,進而可能影響我們所有人
我很高興地表示,情況似乎並非如此
根據我與 Charles 的討論,我了解到以下情況:
• 這是針對實體硬體的實體攻擊。每台裝置都必須以人工方式拆開,裝上隱藏式植入物,然後重新無縫包裝。
• 每個植入物都需要客製化 PCB、LTE 數據機以及專門的製造流程
• 被動過手腳的裝置必須在不被察覺的情況下寄送給買家。
對單一地區的一名轉售商而言,這項操作「容易」執行,但要擴展至其他地區/轉售商則極其困難且成本高昂。
在單一地區篡改數百台裝置的估計成本超過 $1M
上述情況使這不太可能是影響數千台裝置的全球性問題
這是一次有針對性且成本高昂的供應鏈攻擊,而不是每個 Ledger 中都存在後門。
直接從 Ledger 購買的裝置不受影響