13 października Pascal Gauthier, dyrektor generalny Ledger, zapowiedział przegląd kontroli sprzedaży bezpośredniej i u resellerów, procedur nadzoru nad obiegiem urządzeń oraz wykrywania manipulacji. Poprosił też badaczy i innych dostawców o współpracę przy tych działaniach. Gauthier ogłosił przegląd po tym, jak Ledger potwierdził implant w jednym portfelu sprzętowym sprzedanym przez CryptoBilis, resellera z Azji Południowo-Wschodniej.
Co Ledger potwierdził o implancie
Według aktualizacji Ledger z 13 października osobny komponent odczytywał 24 słowa frazy odzyskiwania wyświetlane podczas konfiguracji urządzenia, dekodował je i przesyłał przez LTE z użyciem skonfigurowanej eSIM. Ledger podał, że implant nie ingerował w układ Secure Element ani system operacyjny urządzenia i nie zmieniał transakcji ani podpisów.
W tej samej aktualizacji firma informowała, że wszystkie straty, które do tego czasu powiązała z incydentem, dotyczyły urządzeń sprzedanych przez CryptoBilis. Ledger nie zweryfikował przypadku utraty środków z portfela kupionego gdzie indziej. Firma podała również, że CryptoBilis wstrzymał sprzedaż portfeli Ledger.
Co powinni zrobić kupujący od CryptoBilis
Ledger zalecił kupującym, by nie inicjalizowali nieużywanego urządzenia. Jeśli portfel został już skonfigurowany, firma poleciła niezwłocznie przenieść aktywa na nowy portfel sprzętowy z nową frazą odzyskiwania. Na urządzeniu kupionym od CryptoBilis nie należy wpisywać ani przywracać frazy odzyskiwania.
Przed wysłaniem podejrzanego urządzenia należy skontaktować się z Ledger Support lub lokalnymi organami ścigania. Osoby, które straciły środki, Ledger instruuje, by przed otwarciem urządzenia skoordynowały działania z organami ścigania.
