Разработчик ПО, использующий псевдоним REKTBuilder, выяснил, что программное обеспечение аппаратного кошелька для хранения биткоинов Ledger Live отслеживает своих пользователей и собирает их данные.
REKTBuilder исследовал код Python программного обеспечения устройства и предположил, что оно выполняет «проверку подлинности устройства» каждый раз, когда пользователь подключает кошелек Ledger к компьютеру или телефону. По словам REKTBuilder, эту проверку проходят все приложения, установленные на устройстве, поэтому Ledger может узнать, какие сети использует владелец кошелька.
В начале декабря REKTBuilder заявил, что Ledger Live записывает криптовалютные балансы пользователей. Позднее была выпущена альтернатива Ledger Live с открытым исходным кодом, без трекеров, под названием «Lecce Libre». Теперь REKTBuilder утверждает, что обнаружил более серьезную проблему конфиденциальности в Ledger Live. Он выяснил, что несколько строк кода содержат фразу «genuine check» (подлинность проверки). Когда он добавил в этот код фразу «tracing prints» (отслеживание отпечатков), то обнаружил, что устройство не запускалось в ходе его проверки. Это вызвало любопытство у разработчика, и REKTBuilder продолжил расследование. Он обнаружил, что фактическая проверка встроена в подпрограмму listApps. Ledger может использовать эту проверку для определения времени и даты подключения пользовательского устройства, утверждает REKTBuilder. Разработчик попытался удалить код, в результате чего программное обеспечение «сломалось» и стало непригодным для использования.
Напомним, что недавно компания Ledger пообещала покрыть убытки пользователей, понесенные в ходе хакерской атаки на аппаратные устройства компании. В октябре Ledger официально запустила функцию восстановления сид-фразы криптокошелька, части которой хранятся сторонними держателями, и эта функция вызвала в криптосообществе множество споров.
