خلف بيع 8.8 مليون وحدة، كان هناك من يضع شريحةً في محفظةٍ عتادية قادرة على إرسال رسائل نصية من تلقاء نفسها 🦖
🚨 行情变了群里说
أكد فريق الأبحاث الأمنية Donjon التابع لـ Ledger يوم الثلاثاء أن بعض أجهزة التوقيع المباعة عبر الموزع في جنوب شرق آسيا CryptoBilis كانت تخفي وحدة زرع عتادية غير مصرح بها. كانت هذه الوحدة تراقب شاشة الجهاز تحديدًا، وتقرأ محتوى عبارة الاسترداد المكونة من أربعٍ وعشرين كلمة بالكامل في اللحظة التي تظهر فيها، ثم تُرسل البيانات فورًا عبر شبكة LTE باستخدام شريحة eSIM مدمجة ⚠️
أكثر ما يثير الدهشة في هذه السلسلة هو أنها لا تلمس الشريحة الأمنية، ولا تعدّل النظام، ولا تغيّر توقيع المعاملات. يبدو الجهاز طبيعيًا تمامًا وهو في يدك، بينما تكون العملات قد سُحبت بالفعل.
إذا وضعنا الأرقام: هذه الوحدة المزروعة مكوّن مستقل، وبطاقة طاقة مستقلة، وتعتمد فقط على الشاشة. والجهاز الوحيد الذي أكدت الشركة تأثره حتى الآن هو وحدة واحدة. وتتبع المحقق على السلسلة Specter أشار إلى أن المبلغ المسروق المشتبه به تجاوز 86 مليون دولار، بينما رفعت وسيلة إعلام أمنية أخرى التقدير إلى 103 ملايين دولار، عبر ثلاث سلاسل هي إيثريوم وترون وبيتكوين. أما Ledger نفسها فتقول إنها باعت أكثر من 8 ملايين محفظة عتادية خلال عشر سنوات 📉
الخط الزمني كان قصيرًا جدًا: يوم الجمعة 9 أكتوبر أبلغ مستخدم عن فقدان الجهاز، وفي السبت أكدت الشركة رسميًا أن جهازًا واحدًا قد تم العبث به بالفعل، ولم تُعلن آلية الهجوم إلا يوم الثلاثاء. والآن بدأت سلسلة متاجر MediaMarkt في أوروبا بسحب منتجات Ledger من الرفوف، كما أوقف الموزع CryptoBilis البيع بالكامل، وحتى Trezor وOneKey سارعَا إلى النأي بأنفسهما عن القضية.
تقييمي: هذه ليست عملية اختراق برمجية، بل تمزيقٌ في سلسلة التوريد. أكبر ميزة تسويقية للمحفظة العتادية كانت أصلًا أن المفتاح الخاص لا يخرج أبدًا إلى الإنترنت، لكن عندما يكون الجهاز قد فُتح أو عُبث به قبل أن يصل إلى يدك، تصبح عبارة "لا يخرج أبدًا إلى الإنترنت" مجرد كلام فارغ. ومن زاوية أخرى، يفسر هذا لماذا بدأت مؤسسات أكثر تضع أموالها لدى الحفظ الأمين بدلًا من الاعتماد على نفسها: قد تكون قادرًا على حماية المفتاح الخاص، لكنك لست بالضرورة قادرًا على حماية حلقة الشحن بأكملها.
ما يستحق المتابعة هو أن بعض خبراء الهاوي الأبيض أشاروا إلى أنه إذا جرى تشديد فحص العبث في مرحلة التصنيع وتطبيق المساءلة على مسار التوزيع، فإن تكلفة مثل هذه الهجمات سترتفع كثيرًا. لذا فالمتوتر حقًا ليس شركة بعينها، بل كل قناة أجهزة لا تملك مساءلةً شاملة من البداية إلى النهاية.
شاركونا في التعليقات: هل ما زلت تجرؤ على نطق عبارة الاسترداد الخاصة بمحفظتك العتادية بصوت مسموع لنفسك؟
تابعونا يوميًا لأهم مستجدات أمن التشفير: ليس فقط لمعرفة ما حدث في الأخبار، بل لفهم المنطق والفرص الكامنة خلفها 👀🚀
🚨 行情变了群里说
أكد فريق الأبحاث الأمنية Donjon التابع لـ Ledger يوم الثلاثاء أن بعض أجهزة التوقيع المباعة عبر الموزع في جنوب شرق آسيا CryptoBilis كانت تخفي وحدة زرع عتادية غير مصرح بها. كانت هذه الوحدة تراقب شاشة الجهاز تحديدًا، وتقرأ محتوى عبارة الاسترداد المكونة من أربعٍ وعشرين كلمة بالكامل في اللحظة التي تظهر فيها، ثم تُرسل البيانات فورًا عبر شبكة LTE باستخدام شريحة eSIM مدمجة ⚠️
أكثر ما يثير الدهشة في هذه السلسلة هو أنها لا تلمس الشريحة الأمنية، ولا تعدّل النظام، ولا تغيّر توقيع المعاملات. يبدو الجهاز طبيعيًا تمامًا وهو في يدك، بينما تكون العملات قد سُحبت بالفعل.
إذا وضعنا الأرقام: هذه الوحدة المزروعة مكوّن مستقل، وبطاقة طاقة مستقلة، وتعتمد فقط على الشاشة. والجهاز الوحيد الذي أكدت الشركة تأثره حتى الآن هو وحدة واحدة. وتتبع المحقق على السلسلة Specter أشار إلى أن المبلغ المسروق المشتبه به تجاوز 86 مليون دولار، بينما رفعت وسيلة إعلام أمنية أخرى التقدير إلى 103 ملايين دولار، عبر ثلاث سلاسل هي إيثريوم وترون وبيتكوين. أما Ledger نفسها فتقول إنها باعت أكثر من 8 ملايين محفظة عتادية خلال عشر سنوات 📉
الخط الزمني كان قصيرًا جدًا: يوم الجمعة 9 أكتوبر أبلغ مستخدم عن فقدان الجهاز، وفي السبت أكدت الشركة رسميًا أن جهازًا واحدًا قد تم العبث به بالفعل، ولم تُعلن آلية الهجوم إلا يوم الثلاثاء. والآن بدأت سلسلة متاجر MediaMarkt في أوروبا بسحب منتجات Ledger من الرفوف، كما أوقف الموزع CryptoBilis البيع بالكامل، وحتى Trezor وOneKey سارعَا إلى النأي بأنفسهما عن القضية.
تقييمي: هذه ليست عملية اختراق برمجية، بل تمزيقٌ في سلسلة التوريد. أكبر ميزة تسويقية للمحفظة العتادية كانت أصلًا أن المفتاح الخاص لا يخرج أبدًا إلى الإنترنت، لكن عندما يكون الجهاز قد فُتح أو عُبث به قبل أن يصل إلى يدك، تصبح عبارة "لا يخرج أبدًا إلى الإنترنت" مجرد كلام فارغ. ومن زاوية أخرى، يفسر هذا لماذا بدأت مؤسسات أكثر تضع أموالها لدى الحفظ الأمين بدلًا من الاعتماد على نفسها: قد تكون قادرًا على حماية المفتاح الخاص، لكنك لست بالضرورة قادرًا على حماية حلقة الشحن بأكملها.
ما يستحق المتابعة هو أن بعض خبراء الهاوي الأبيض أشاروا إلى أنه إذا جرى تشديد فحص العبث في مرحلة التصنيع وتطبيق المساءلة على مسار التوزيع، فإن تكلفة مثل هذه الهجمات سترتفع كثيرًا. لذا فالمتوتر حقًا ليس شركة بعينها، بل كل قناة أجهزة لا تملك مساءلةً شاملة من البداية إلى النهاية.
شاركونا في التعليقات: هل ما زلت تجرؤ على نطق عبارة الاسترداد الخاصة بمحفظتك العتادية بصوت مسموع لنفسك؟
تابعونا يوميًا لأهم مستجدات أمن التشفير: ليس فقط لمعرفة ما حدث في الأخبار، بل لفهم المنطق والفرص الكامنة خلفها 👀🚀