Расследование Rekt Builder вызвало обеспокоенность по поводу объема сбора данных Ledger Live, официального программного обеспечения для управления аппаратными кошельками Ledger. Разработчик утверждает, что Ledger Live отслеживает каждое движение пользователей, включая устанавливаемые ими приложения и хранимую ими криптовалюту.
Ledger Live скрытно отслеживает действия пользователей?
В интервью X от 27 декабря Rekt Builder утверждает, что Ledger Live встраивает подлинный чек в процедуру листинга приложения. Таким образом, это означает, что всякий раз, когда вы подключаете свое устройство Ledger и открываете Ledger Live, программное обеспечение проверяет, является ли устройство подлинным, и отправляет эту информацию на серверы Ledger. Эти данные включают серийный номер устройства, версию прошивки и список установленных приложений.
Rekt Builder также отмечает, что Ledger Live отслеживает криптобалансы, хранящиеся на устройстве. Однако беспокоит то, что все эти данные отправляются на серверы Ledger. Соответственно, это означает, что Ledger может получить доступ к подробной информации о криптоактивах своих клиентов.
Чтобы определить, отслеживает ли Ledger активность пользователей, разработчик попытался отключить функцию удаленного отслеживания в Ledger Live, но это оказалось невозможно. Любая попытка отключить отслеживание приводила к поломке программного обеспечения. Это говорит о том, что Ledger намеренно разработал Ledger Live для отслеживания активности пользователей.
Выводы Rekt Builder вызывают серьезные опасения по поводу конфиденциальности пользователей аппаратных кошельков Ledger. Если Ledger отслеживает каждое движение пользователей, то вполне возможно, что эти данные могут быть использованы для идентификации пользователей и отслеживания их криптотранзакций. Это может быть опасно, поскольку взлом любого из централизованных серверов Ledger может означать, что вредоносные агенты смогут контролировать критически важные данные, которые затем могут быть использованы для нападения на лиц с большими запасами биткойнов и других монет.
Ledger остается предметом обсуждения безопасности и конфиденциальности
На момент написания Ledger еще не ответил на обвинения Rekt Builder. Это не первый случай, когда Леджера обвиняют в нарушении конфиденциальности. В 2022 году Ledger обвинили в сборе данных об активности пользователей, включая веб-сайты, которые они посещали, и монеты, которыми они торговали. Позже Ledger извинилась за сбор данных и пообещала улучшить политику конфиденциальности.
В июле 2023 года исследователь безопасности обнаружил уязвимость в учетной записи Node Package Manager (NPM) Ledger. Эта уязвимость позволила злоумышленнику украсть пользовательские данные, включая адреса электронной почты и историю покупок. По оценкам, пострадало более 270 000 аккаунтов.
