​​„Technisch“ möglich, Benutzerschlüssel zu extrahieren? Ledger-Adressen gelöschter Tweet

Ledger ging auf einen inzwischen gelöschten kontroversen Tweet ein, in dem es hieß, es sei immer möglich gewesen, die Schlüsselextraktion zu erleichtern.

Der Krypto-Hardware-Wallet-Hersteller Ledger stand im Mittelpunkt der Kontroversen, nachdem er „Ledger Recover“ angekündigt hatte, eine optionale Sicherheitsfunktion, die es Benutzern ermöglichen würde, ihre Vermögenswerte nach dem Verlust ihrer privaten Schlüssel wiederherzustellen.

Ein Tweet eines Ledger-Kundenbetreuers vom 17. Mai schürte die negative öffentliche Meinung über das Unternehmen zusätzlich.

„Technisch gesehen ist und war es schon immer möglich, Firmware zu schreiben, die die Schlüsselextraktion erleichtert. „Ob Sie es wussten oder nicht, Sie haben Ledger immer darauf vertraut, dass er keine solche Firmware bereitstellt“, heißt es in dem inzwischen gelöschten Tweet.

Die Krypto-Community war natürlich alarmiert über die Nachricht, die offenbar andeutete, dass das Unternehmen immer die Möglichkeit hatte, diese Firmware in sein Produkt einzuarbeiten, ohne dass die Benutzer es besser wussten.

Ledger ging einige Stunden später in einem Update auf den gelöschten Tweet ein und erklärte, dass ein Kundendienstmitarbeiter „verwirrende Formulierungen“ verwendet habe, um zu klären, wie die Hardware-Wallets des Unternehmens funktionieren.

[2/3] Wir haben es gelöscht, weil wir nicht wollen, dass die Leute dadurch weiterhin verwirrt werden, und ersetzen es durch Tweet-Threads, die alle häufig gestellten Fragen und Bedenken so verständlich und genau wie möglich beantworten.

- Ledger-Unterstützung (@Ledger_Support) 18. Mai 2023

Charles Guillemet, CTO von Ledger, hat außerdem einen ausführlichen Twitter-Thread verfasst, um Missverständnisse auszuräumen und zu erklären, wie die Firmware tatsächlich funktioniert.

„Die Verwendung einer Wallet erfordert ein Mindestmaß an Vertrauen. Wenn Ihre Hypothese lautet, dass Ihr Wallet-Anbieter der Angreifer ist, sind Sie dem Untergang geweiht.“ sagte Guillemet.

„Wenn das Wallet eine Hintertür implementieren möchte, gibt es viele Möglichkeiten, dies zu tun, in der Zufallszahlengenerierung, in der kryptografischen Bibliothek, in der Hardware selbst.“ Es ist sogar möglich, Signaturen zu erstellen, sodass der private Schlüssel nur durch Überwachung der Blockchain abgerufen werden kann“, fügte er hinzu.

Seiner Ansicht nach löst eine Open-Source-Codebasis das Problem nicht und es gibt keine Garantie dafür, dass das elektronische Gerät oder die Firmware, auf der es läuft, nicht durch eine Hintertür geschützt sind.

22 /
Wenn Sie völlig vertrauenswürdig sein wollen, müssen Sie Elektronik lernen, um Ihren Computer zu bauen, ASM lernen, um Ihren Compiler zu bauen, dann einen Wallet-Stack, Ihren eigenen Knoten und Synchronisierer bauen, Sie müssen Kryptographie lernen, um Ihren eigenen zu bauen Signaturstapel.

— Charles Guillemet (@P3b7_) 18. Mai 2023

Abschließend teilte er den Benutzern mit, dass eine Hardware-Wallet hauptsächlich als Signiergerät verwendet wird, das private Schlüssel schützt.

„Ihre privaten Schlüssel verlassen niemals die Hardware-Wallet. Bei jeder Verwendung wird Ihr Einverständnis eingeholt“, sagte er.