Данные клиентов Ledger раскрыты через платёжного провайдера Global-E, но безопасность кошелька остаётся нетронутой

Ledger, ведущий мировой производитель аппаратных кошельков, сталкивается с серьёзным инцидентом с раскрытием данных, вызванным своим сторонним платежным процессором Global-e. Системы безопасности обнаружили несанкционированный доступ к информации клиентов, хранящейся в облачной инфраструктуре Global-e, что затрагивает неуказанное количество личных данных пользователей Ledger, включая имена и контактные данные. Эта утечка подчёркивает риски, связанные с опорой на сторонних провайдеров, хотя Ledger прояснила, что инцидент не нанес угрозы её основной платформы или пользовательским активам.

Что было скомпрометировано в инциденте с Global-E

Global-e, платформа электронной коммерции, обслуживающая крупных ритейлеров и брендов по всему миру, уведомила клиентов о нарушении безопасности после выявления необычной активности в своих системах. Расследование выявило, что несанкционированные лица получали доступ к данным заказов и личной информации — в частности к именам и контактным данным — из информационных систем Global-e. Однако данные платёжной карты не были замешаны в компрометации. Инцидент также затронул клиентов других брендов, использующих торговые сервисы Global-e, что указывает на широкую системную уязвимость, а не на атаку, связанную с Ledger. В частности, Global-e привлекла независимых судебных экспертов для проведения комплексного расследования и внедрила дополнительные меры безопасности для предотвращения несанкционированного доступа в будущем.

Что осталось в безопасности: основная инфраструктура Ledger

В официальном ответе на запросы СМИ Леджер подчеркнул несколько важных моментов относительно масштаба утечки. Компания заявила, что Global-e не поддерживает доступ к приватным ключам пользователей, балансам в блокчейне, seed-фразам (критически важный 24-словный механизм восстановления) или каким-либо секретам, связанным с цифровыми активами. Поскольку Ledger работает как платформа самосохранения, пользователи сохраняют полный контроль над своими криптографическими учетными данными. Кроме того, собственные системы, программное обеспечение и аппаратная инфраструктура Ledger не были скомпрометированы. Экспозиция строго ограничивалась данными транзакций заказов, обработанными через Global-e, что означало, что криптовалютные владения и функциональность кошелька оставались полностью безопасными. Ledger уточнил, что сотрудничает с Global-e для выявления и контакта со всеми пострадавшими пользователями, предоставляющими релевантную информацию об инциденте.

Исторический контекст: предыдущие инциденты с безопасностью в Ledger

Это не первый случай, когда Ledger сталкивается с проблемой безопасности данных. В 2020 году компания столкнулась с серьёзной утечкой через своего партнёра по электронной коммерции Shopify, которая раскрыла личные данные примерно 270 000 клиентов. Совсем недавно, в 2023 году, Ledger стал целью целенаправленного взлома, в результате которого было украдено почти 500 000 долларов и было скомпрометировано несколько децентрализованных финансовых приложений, связанных с скомпрометированными счетами. Эти прецеденты демонстрируют постоянную закономерность уязвимостей сторонних поставщиков, влияющих на поставщика аппаратных кошельков, несмотря на усилия Ledger по поддержанию безопасной первичной инфраструктуры.

Отраслевые последствия и меры предосторожности пользователей

Этот инцидент отражает более широкую проблему, с которой сталкиваются поставщики криптовалютных услуг: риски безопасности, связанные с интеграцией с основными платёжными и электронными платформами. Хотя дизайн Ledger с самосохранением защищает цифровые активы от компрометации, личная информация и история транзакций остаются уязвимыми при обработке через централизованные третьи стороны. Ledger призывает пользователей оставаться бдительными и подчёркивает свою постоянную приверженность борьбе с мошенниками и злоумышленниками, пытающимися скомпрометировать информацию пользователей в секторах криптовалют и электронной коммерции. Компания продолжает утверждать, что несмотря на эти уязвимости сторонних сторон, её основная аппаратная технология кошелька и активы, находящиеся в ней, остаются защищенными и находятся под контролем пользователя.