Bu, ekim başından bu yana hızlı ilerleyen bir haberin üçüncü gelişmesi; dolayısıyla buradaki yeni bilgiyi daha önce ortaya konanlardan ayırmak gerekiyor.
Bilinenler: bayiler üzerinden satın alınan cüzdanlar ele geçirilmiş durumda, etkilenen kullanıcılardan yaklaşık 86 milyon dolar çekildi ve olayın ölçeği ilk bildirilenden daha geniş çıktı. Bunlar 10 ve 15 Ekim tarihli haberlerimizde ortaya konmuştu.
Ledger'ın şimdi eklediği bilgi, Alman güvenlik yayını heise'e verdiği demeçte, saldırının niyeti ve ölçeği. Üretici, "tüm sektöre" yönelik, aylarca hazırlanmış ve bütçesi milyonlarla ifade edilen bir saldırıdan söz ediyor. Heise'in "Verwanzte Wallets" (yaklaşık olarak "böceklenmiş cüzdanlar") ifadesi, vurguyu uzaktan bir sömürüden çok fiziksel cihazlar üzerinde tutuyor.
Bu tanım birlikte okunduğunda tek bir soygun değil, bir tedarik zinciri kampanyası tarif ediyor: önceden harcanan para, cihazları dağıtım kanalına yerleştirmek için harcanan zaman ve hiçbir üreticinin kullanıcısının asıl hedef olmadığı kadar geniş bir hedef kümesi. Donanım cüzdanı kullanıcıları için bu en kötü senaryodur; çünkü ürünün tek vaadi anahtarın hiç kurcalanmamış bir cihazda üretildiğidir ve böyle bir cihazı satın almanın tek nedeni bir web sitesine güvenmekten kaçınmaktır.
Hâlâ çözülmemiş sorular: kaç cihazın ve hangi markaların etkilendiği, ihlalin dağıtım zincirinin neresinde gerçekleştiği, herhangi bir satıcının suç ortağı mı yoksa yalnızca istismar edilen taraf mı olduğu ve etkilenen kullanıcıların hangi haklara sahip olduğu. "Tüm sektör" ifadesinin kaynağı Ledger'ın kendisi; kendi kategorisine yönelik tehdidi anlatan bir üretici tarafsız bir kaynak değildir.
Bu sorular açık kaldığı sürece pratik öneriler değişmiyor: yalnızca üreticiden ya da yetkili satıcıdan alın, kurtarma ifadesini cihazın üzerinde kendiniz oluşturun, önceden doldurulmuş tohum kartını asla kabul etmeyin ve kullanmadan önce yazılım imzalarını doğrulayın.
