Ledger تقرّ رسميًا: ربما زُرع شيءٌ ما فعلًا داخل محفظتك الباردة
10/10، أكدت Ledger وجود زرعة عتادية غير مصرّح بها داخل جهاز واحد على الأقل لمستخدم متضرر — هجوم سلسلة التوريد انتقل من مجرد شائعات إلى حقيقة مؤكدة
【الواقعة】
• سُرقت أموال من مئات المحافظ، وبلغ إجمالي الخسائر أكثر من 86 مليون دولار (بحسب تقدير محقق البلوك تشين Specter؛ وهناك تقدير آخر يذكر 93.4 مليون دولار، ولم تؤكده Ledger بعد)
• أسلوب الهجوم: عند تفكيك الجهاز، عُثر تحت حشوة الشاشة على لوحة دوائر إضافية مزودة بوحدة LTE وeSIM. كانت موصولة بالناقل الذي يشغّل الشاشة، فاعترضت عبارة الاسترداد المؤلفة من 24 كلمة التي أدخلها المستخدم أثناء التهيئة، ثم أرسلتها عبر شبكة الهاتف المحمول
• النقطة الأهم: لم تستهدف العنصر الآمن (SE)، ولم تستغل ثغرة في البرنامج الثابت — بل زُرعت على المستوى المادي، متجاوزةً مباشرةً افتراض أن «المفتاح الخاص لا يغادر الجهاز أبدًا»
• الإجراءات: علّق الموزّع المعني CryptoBilis بيع جميع المحافظ العتادية وشحنها. ونصحت Ledger المستخدمين الذين اشتروا أجهزتهم من هذه القناة خلال آخر 90 يومًا بعدم تهيئتها حاليًا؛ أما من أتمّوا التهيئة، فعليهم إنشاء محفظة بعبارة استرداد جديدة ونقل أصولهم إليها
【رأيي】ما يحتاج إلى ترقية فعلًا في هذه الحادثة ليس المحفظة، بل طريقة تفكيرنا
• يفترض الناس عند شراء محفظة باردة أن «الجهاز آمن ما دام أصليًا»، لكن الموزّع هذه المرة كان مدرجًا في دليل الموزعين على موقع Ledger الرسمي — ففحص الأصالة يتحقق من العنصر الآمن، لكنه لا يستطيع التأكد من عدم إضافة لوحة أخرى إلى المكونات المحيطة به
• الخطر الحقيقي يكمن في قناة التوزيع، لا في العلامة التجارية: من يستطيع الوصول ماديًا إلى الجهاز أخطر دائمًا من مخترق عن بُعد
• عادتي: أشتري من المتجر الرسمي مباشرةً فقط، وأتحقق من البنية الداخلية بعد فتح الجهاز، ولا أُنشئ عبارة الاسترداد إلا في بيئة غير متصلة بالإنترنت أتحكم بها بنفسي؛ ولا أقترب من الأجهزة المستعملة أو المباعة عبر جهات خارجية مجهولة المصدر، مهما كان سعرها مغريًا
【عمليًا】هذه مشكلة في سلسلة التوريد، وليست ثغرة في البرنامج الثابت لكل أجهزة Ledger؛ فلا داعي للذعر أو بيع أي عملات. لكن إذا كانت لديك محفظة باردة اشتريتها مؤخرًا من قناة غير مباشرة، فالخطوة الأكثر أمانًا هي إنشاء محفظة جديدة بعبارة استرداد جديدة كليًا، ونقل أصولك إليها أولًا، ثم التحقق من الجهاز القديم على مهل
(يتضمن هذا المحتوى معلومات من جهات خارجية، ولا يشكل نصيحة استثمارية)
#Ledger确认用户设备遭植入未授权硬件
10/10، أكدت Ledger وجود زرعة عتادية غير مصرّح بها داخل جهاز واحد على الأقل لمستخدم متضرر — هجوم سلسلة التوريد انتقل من مجرد شائعات إلى حقيقة مؤكدة
【الواقعة】
• سُرقت أموال من مئات المحافظ، وبلغ إجمالي الخسائر أكثر من 86 مليون دولار (بحسب تقدير محقق البلوك تشين Specter؛ وهناك تقدير آخر يذكر 93.4 مليون دولار، ولم تؤكده Ledger بعد)
• أسلوب الهجوم: عند تفكيك الجهاز، عُثر تحت حشوة الشاشة على لوحة دوائر إضافية مزودة بوحدة LTE وeSIM. كانت موصولة بالناقل الذي يشغّل الشاشة، فاعترضت عبارة الاسترداد المؤلفة من 24 كلمة التي أدخلها المستخدم أثناء التهيئة، ثم أرسلتها عبر شبكة الهاتف المحمول
• النقطة الأهم: لم تستهدف العنصر الآمن (SE)، ولم تستغل ثغرة في البرنامج الثابت — بل زُرعت على المستوى المادي، متجاوزةً مباشرةً افتراض أن «المفتاح الخاص لا يغادر الجهاز أبدًا»
• الإجراءات: علّق الموزّع المعني CryptoBilis بيع جميع المحافظ العتادية وشحنها. ونصحت Ledger المستخدمين الذين اشتروا أجهزتهم من هذه القناة خلال آخر 90 يومًا بعدم تهيئتها حاليًا؛ أما من أتمّوا التهيئة، فعليهم إنشاء محفظة بعبارة استرداد جديدة ونقل أصولهم إليها
【رأيي】ما يحتاج إلى ترقية فعلًا في هذه الحادثة ليس المحفظة، بل طريقة تفكيرنا
• يفترض الناس عند شراء محفظة باردة أن «الجهاز آمن ما دام أصليًا»، لكن الموزّع هذه المرة كان مدرجًا في دليل الموزعين على موقع Ledger الرسمي — ففحص الأصالة يتحقق من العنصر الآمن، لكنه لا يستطيع التأكد من عدم إضافة لوحة أخرى إلى المكونات المحيطة به
• الخطر الحقيقي يكمن في قناة التوزيع، لا في العلامة التجارية: من يستطيع الوصول ماديًا إلى الجهاز أخطر دائمًا من مخترق عن بُعد
• عادتي: أشتري من المتجر الرسمي مباشرةً فقط، وأتحقق من البنية الداخلية بعد فتح الجهاز، ولا أُنشئ عبارة الاسترداد إلا في بيئة غير متصلة بالإنترنت أتحكم بها بنفسي؛ ولا أقترب من الأجهزة المستعملة أو المباعة عبر جهات خارجية مجهولة المصدر، مهما كان سعرها مغريًا
【عمليًا】هذه مشكلة في سلسلة التوريد، وليست ثغرة في البرنامج الثابت لكل أجهزة Ledger؛ فلا داعي للذعر أو بيع أي عملات. لكن إذا كانت لديك محفظة باردة اشتريتها مؤخرًا من قناة غير مباشرة، فالخطوة الأكثر أمانًا هي إنشاء محفظة جديدة بعبارة استرداد جديدة كليًا، ونقل أصولك إليها أولًا، ثم التحقق من الجهاز القديم على مهل
(يتضمن هذا المحتوى معلومات من جهات خارجية، ولا يشكل نصيحة استثمارية)
#Ledger确认用户设备遭植入未授权硬件