Bir kod incelemesi, Ledger'ın yazılım geliştirme kiti (SDK)'sının imzalama bilgilerini ve işlem meta verilerini Ledger sunucularına gönderdiğini ortaya çıkardı. Gizlilik tutkunları, Cuma günü cüzdan uygulamalarının Ledger donanım cihazlarıyla bağlantı kurmak için kullandığı varsayılan SDK'da bu davranışı keşfetti. Bulgular sosyal medyada yayıldığında gizlilik savunucularını şaşırttı.
Paylaşım, Mayıs 2026 veya daha önceki context-module sürüm 1.16'dan beri varsayılan olarak etkinleştirilmiştir. Son Mayıs'tan beri Ledger cihazlarından Ledger sunucularına büyük miktarda meta veri akışmıştır. Uygulamalar ve kullanıcılar paylaşımı kapatmak zorundadır, ancak büyük çoğunluk bunu yapmamaktadır. Birçok kullanıcı, Ledger cüzdanlarının işlemlerini özel olarak imzalayıp kişisel detayları Ledger ile paylaşmadan doğrudan blok zinciri ağlarına yayınladığını yanlışlıkla düşünmüştür.
Ambire geliştiricisi Kaloyan Kosev, aynı zamanda superKalo olarak bilinen, sorunu dün işaret etti. Kosev, Ledger sunucularının kullanıcıların ödediği veya sorguladığı cihaz modellerini, yazılım sürümlerini ve blok zinciri adreslerini aldığını söyledi. Kosev, özellikle Ledger'da gizliliğin varsayılan olarak etkinleştirilmesi gerektiğini savundu.
SDK oluşturucu, varsayılan olarak bir Ledger sunucu uç noktasını seçer ve bu davranışın açıklanması yetersizdi. Ethereum tabanlı imzalayıcı, kullanıcı gizli imzalama isteğinde bulunsa da bulunmasa da, her işlem imzalama ve tiplenmiş veri imzalama isteği için bir rapor gönderir.
Ledger geliştiricileri, orijinal raporlama kodunu 26 Mart'ta taahhüt etti. Context-modül sürüm 1.16.0, kodu Nisan ayında canlı pakete dahil etti ve dağıtımını Nisan ve Mayıs ayları boyunca kullanıcılara gerçekleştirdi. İlk sürüm, paylaşılan verileri bir Ledger hazırlık sunucusuna yönlendirdi. Sürüm 2.1.0, hedefi üretim sunucularına değiştirdi.
Ledger Donjon, Ledger'in dahili güvenlik ekibi, Salı günü transferlerin açık imzalama parçası olduğunu söyledi. Donjon, açık imzalama tanımlayıcılarının ham işlemlerini okunabilir metne dönüştürdüğünü, ancak cihaz için çok büyük olduğunu söyledi. Donjon, SDK'nın performansı artırmak için tanımlayıcıları Ledger sunucularından aldığını söyledi. Donjon, uygun tanımlayıcıyı bulmak için ilgili işlem detaylarının iletilmesini gerektirdiğini söyledi. Ledger'in güvenlik ekibi, Ledger'in hiçbir veriyi saklamadığını söyledi. Güvenlik ekibi, cüzdanların varsayılan paylaşımı önlemek için kendi modülünü kullanabileceğini söyledi.
2023'te ayrılan Ledger kurucularından Nicolas Bacca, bitcoin hayranı Mr Hodl'a varsayılan ayarın gözden kaçırılmış olabileceğini söyledi. Mr Hodl, kimse katılmadığı halde paylaşımın kullanıcıların çıkarmasını neden zorunlu kıldığını sordu. Bacca, nedenini bilmediğini söyledi.
Ledger'in cüzdan uygulaması, Ledger altyapısı aracılığıyla diğer bilgileri de gönderir. Uygulamanın Bitcoin modülü, bir Ledger Explorer'dan hesap geçmişlerini ve ücret oranlarını alır ve işlemleri bu explorer üzerinden yayınlar. Uygulama, her adres için ayrı ayrı explorer'ı kontrol eder ve imzalanmış her işlemi explorer'ın gönderme uç noktasına iletir.
2023 yılında yayınlanan rapora göre, Ledger Live, tıklamalar, hesap sayıları, kripto varlık adları, cihaz türleri ve firmware hakkında analiz firması Segment'e bilgi gönderdi. Ledger, kişiselleştirme izleyicilerinin onay gerektirdiğini açıkladı. 2020 yılında meydana gelen ayrı bir veri sızıntısı, yaklaşık 272.000 Ledger müşterisine ait isimleri, adresleri ve telefon numaralarını ortaya çıkardı. Geçen ay, Malezya'da görünürde resmi ancak güvenilmez bir Ledger satıcısından satılan cihazlarda yer alan casus yazılım, mağdurlardan 86 milyon doları boşalttı.