Μεταχειρισμένο Ledger από αγγελία: γιατί να το αποφύγεις

Βλέπεις μια αγγελία: «Ledger, σφραγισμένο, σαν καινούργιο, φθηνότερα». Το hardware wallet είναι η συσκευή που κρατά τα κλειδιά σου εκτός ίντερνετ. Η ασφάλειά του όμως ξεκινά πριν το ανοίξεις: από το ποιος σου το πούλησε.

Εδώ εξηγούμε γιατί η αγορά από αγγελία ή μεταχειρισμένη αγορά είναι κακή ιδέα, ποιους κινδύνους κρύβει και τι ελέγχεις. Η ίδια λογική ισχύει για κάθε hardware wallet, όχι μόνο για το Ledger.

Μπορώ να αγοράσω μεταχειρισμένο Ledger;

Τεχνικά μπορείς. Δεν συμφέρει. Η Ledger γράφει στην Academy της ότι συστήνει αγορά από την ίδια ή από εξουσιοδοτημένο μεταπωλητή. Υπάρχει επίσημη λίστα με αυτούς. Η αγορά από πωλητές εκτός λίστας, προσθέτει, φέρνει επιπλέον κινδύνους. Συστήνει επίσης μεγάλη προσοχή στις διαδικτυακές αγορές τρίτων.

Επιπλέον, μια συσκευή με προ-ρυθμισμένα στοιχεία μπορεί να έχει συσκευασία που φαίνεται άθικτη. Άρα ένα «σφραγισμένο» κουτί από τρίτο δεν αποδεικνύει ότι η συσκευή είναι ασφαλής.

Δεν λέμε ότι κάθε μεταχειρισμένη συσκευή είναι κακή. Λέμε ότι το ιστορικό της δεν ελέγχεται, ενώ το όφελος είναι μικρό σε σχέση με όσα προστατεύει.

Ποιοι είναι οι τρεις κίνδυνοι;

1. Παραποιημένη συσκευή. Είναι συσκευή που έχει υποστεί μη εξουσιοδοτημένη φυσική τροποποίηση στο υλικό της (hardware). Η Ledger επισημαίνει ότι τέτοιες αλλαγές δεν εντοπίζονται πάντα από τον έλεγχο γνησιότητας.

2. Έτοιμο PIN ή έτοιμη φράση ανάκτησης. Η φράση ανάκτησης (seed phrase) είναι οι λέξεις που ανοίγουν το πορτοφόλι σου. Η Ledger είναι κατηγορηματική: μια γνήσια συσκευή δεν έρχεται ποτέ με ρυθμισμένο PIN ή φράση. Στα αγγλικά το λέει έτσι: «A legitimate Ledger device never comes with a recovery phrase or PIN code pre-configured. Ever.» Δηλαδή, μια νόμιμη συσκευή δεν έρχεται με προ-ρυθμισμένη φράση ή PIN, ποτέ.

Υποθετικό παράδειγμα: ο αγοραστής ανοίγει ένα «σφραγισμένο» κουτί και βρίσκει κάρτα με 24 λέξεις και ένα PIN, «για να ξεκινήσεις γρήγορα». Όποιος έγραψε αυτές τις λέξεις γνωρίζει τα κλειδιά. Μπορεί να περιμένει μέχρι να στείλεις κεφάλαια και μετά να τα αδειάσει.

3. Ψεύτικη εφαρμογή ή «οδηγίες». Μαζί με τη συσκευή μπορεί να σου στείλουν σύνδεσμο για «την εφαρμογή» ή οδηγίες εγκατάστασης. Η εφαρμογή της Ledger κατεβαίνει μόνο από τις επίσημες πηγές. Και η φράση ανάκτησης δεν γράφεται σε καμία διαδικτυακή πλατφόρμα. Όπως λέει η Ledger, αν κάτι σου τη ζητά, είναι απάτη.

Αρκεί ο έλεγχος γνησιότητας;

Όχι. Το Genuine Check είναι ο έλεγχος που κάνει η εφαρμογή για να δει αν η συσκευή είναι γνήσια. Η ομάδα ασφαλείας Donjon της Ledger εξηγεί στο μοντέλο απειλών της ότι ο έλεγχος δεν εντοπίζει μη εξουσιοδοτημένες φυσικές τροποποιήσεις. Δεν επαληθεύει ούτε το ιστορικό της εφοδιαστικής αλυσίδας, δηλαδή από ποια χέρια πέρασε η συσκευή. Γι’ αυτό συστήνει αγορά απευθείας από τη Ledger ή από εξουσιοδοτημένο μεταπωλητή.

Υποθετικό παράδειγμα: κάποιος αγοράζει μεταχειρισμένη συσκευή «για να γλιτώσει». Ακόμη κι αν περνά τον έλεγχο, δεν ξέρει ποιος την χειρίστηκε. Ο έλεγχος δεν απαντά σε αυτή την ερώτηση.

Λίστα ελέγχου αγοράς

• Αγοράζεις από το επίσημο κατάστημα της Ledger ή από εξουσιοδοτημένο μεταπωλητή που υπάρχει στη λίστα της. Όχι από αγγελία, όχι από άγνωστο πωλητή σε διαδικτυακές αγορές.
• Οι σφραγίδες και οι ταινίες του κουτιού είναι άθικτες. Αν δεις φθορά ή σημάδια ανοίγματος, δεν τη χρησιμοποιείς.
• Δεν υπάρχει μέσα στο κουτί κάρτα με γραμμένες λέξεις ούτε έτοιμο PIN.
• Τη φράση ανάκτησης τη δημιουργείς εσύ, στη συσκευή, και ποτέ δεν την πληκτρολογείς σε υπολογιστή, κινητό ή ιστοσελίδα.
• Την εφαρμογή (Ledger Wallet) την κατεβάζεις μόνο από τις επίσημες πηγές της Ledger και τρέχεις τον έλεγχο γνησιότητας από εκεί, όχι από σύνδεσμο του πωλητή.
• Αν σου έφτασε συσκευή που δεν παρήγγειλες, δεν τη συνδέεις.

Τι κάνω αν ήδη αγόρασα;

Αν δεν έχεις βάλει χρήματα ακόμη:

1. Μην βάλεις χρήματα.
2. Μην χρησιμοποιήσεις τις λέξεις ή το PIN που ήρθαν μαζί.
3. Κράτα το πακέτο και ό,τι ήρθε μέσα, και επικοινώνησε με την υποστήριξη της Ledger.

Αν έχεις ήδη μεταφέρει κεφάλαια, σταμάτα εδώ και μην στείλεις κι άλλα. Μην δώσεις τη φράση σε κανέναν «βοηθό ανάκτησης». Όποιος σε προσεγγίζει με τέτοια πρόταση στήνει συνήθως δεύτερη απάτη, όπως εξηγούμε στο Εταιρεία υπόσχεται να ανακτήσει τα κρύπτο σου; Μην πληρώσεις.

Για τη διαφορά των πορτοφολιών και για το πώς φυλάς τις λέξεις σου μετά την αγορά, δες το Hot ή cold πορτοφόλι: ποιο ταιριάζει σε σένα; και το Seed phrase: πώς τη φυλάς και τι δεν κάνεις ποτέ;.

Τι σημαίνει αυτό για σένα;

• Αγόραζε hardware wallet μόνο από το επίσημο κατάστημα του κατασκευαστή ή από εξουσιοδοτημένο μεταπωλητή. Η έκπτωση μιας αγγελίας δεν αξίζει τον κίνδυνο.
• Μια νέα συσκευή έρχεται πάντα χωρίς PIN και χωρίς φράση. Αν δεις έτοιμα στοιχεία, σταμάτα.
• Το Genuine Check είναι ένα βήμα, όχι εγγύηση. Δεν δείχνει από ποια χέρια πέρασε η συσκευή.
• Τη φράση ανάκτησης τη δημιουργείς εσύ, στη συσκευή σου. Δεν την πληκτρολογείς σε ιστοσελίδα και δεν τη δίνεις σε κανέναν.