#ledger确认用户设备遭植入未授权硬件
لم يمسّ مفتاحك الخاص، بل اكتفى بالنظر إلى شاشتك
▪️ أكدت الشركة المصنّعة وجود زرعة عتادية غير مصرّح بها في جهاز واحد متأثر على الأقل
▪️ أُضيفت وحدة تحكم دقيقة داخل الهيكل، ووُصّلت بكابل بيانات الشاشة
▪️ عند إعداد المحفظة، سُجّلت كلمات الاسترداد الظاهرة على الشاشة حرفًا حرفًا وأُرسلت إلى الخارج
▪️ تشير تقديرات سلسلة الكتل إلى نحو 311 محفظة، بقيمة تقارب 92.9 مليون دولار
تقوم كل افتراضات الأمان في المحافظ العتادية على أن المفتاح الخاص لا يغادر الجهاز أبدًا. لكن هذه الزرعة لم تتحدَّ هذا الافتراض — لم تحاول قراءة المفتاح الخاص، بل سجّلت ما ظهر على الشاشة.
يحمي العنصر الآمن المفتاح الخاص من القراءة، لكنه لا يستطيع التحكم فيما يُعرض على الشاشة. فلا بد أن يرى المستخدم كلمات الاسترداد كي يدوّنها؛ والثواني التي تظهر فيها الكلمات تباعًا على الشاشة هي نافذة الهجوم.
أصعب ما في الأمر أنه لا يُحدث أي شيء غير اعتيادي. يعمل الجهاز عند التشغيل بشكل طبيعي، ويمرّ التحقق، وتتم التواقيع كالمعتاد، وتبقى العبوة الخارجية سليمة. كل ما يراه المستخدم يبدو سليمًا — والخلل في تلك الدائرة التي لم يرها.
تختبئ الوحدة في موضع بطانة الشاشة. ولاكتشافها، يجب تفكيك الجهاز؛ لكن ما إن يُفكّ حتى يفقد صفته «الأصلية» والضمان. وسيلة التحقق هي بالضبط ما قد يتلف الشيء الذي يجري التحقق منه.
راقبوا ثلاثة أمور في المرحلة المقبلة: هل ستعلن الشركة المصنّعة عن القائمة الكاملة للدفعات المتأثرة؟ وهل ستُعتمد إجراءات للتحقق من العبوات عند التوزيع؟ وهل سيُعاد تعريف وصف «موزّع معتمد رسميًا»؟
إذا سبق أن ظهرت كلمات الاسترداد الخاصة بك على جهاز اشتريته من قناة غير رسمية، فهل ستواصل استخدامه؟
$BTC
لم يمسّ مفتاحك الخاص، بل اكتفى بالنظر إلى شاشتك
▪️ أكدت الشركة المصنّعة وجود زرعة عتادية غير مصرّح بها في جهاز واحد متأثر على الأقل
▪️ أُضيفت وحدة تحكم دقيقة داخل الهيكل، ووُصّلت بكابل بيانات الشاشة
▪️ عند إعداد المحفظة، سُجّلت كلمات الاسترداد الظاهرة على الشاشة حرفًا حرفًا وأُرسلت إلى الخارج
▪️ تشير تقديرات سلسلة الكتل إلى نحو 311 محفظة، بقيمة تقارب 92.9 مليون دولار
تقوم كل افتراضات الأمان في المحافظ العتادية على أن المفتاح الخاص لا يغادر الجهاز أبدًا. لكن هذه الزرعة لم تتحدَّ هذا الافتراض — لم تحاول قراءة المفتاح الخاص، بل سجّلت ما ظهر على الشاشة.
يحمي العنصر الآمن المفتاح الخاص من القراءة، لكنه لا يستطيع التحكم فيما يُعرض على الشاشة. فلا بد أن يرى المستخدم كلمات الاسترداد كي يدوّنها؛ والثواني التي تظهر فيها الكلمات تباعًا على الشاشة هي نافذة الهجوم.
أصعب ما في الأمر أنه لا يُحدث أي شيء غير اعتيادي. يعمل الجهاز عند التشغيل بشكل طبيعي، ويمرّ التحقق، وتتم التواقيع كالمعتاد، وتبقى العبوة الخارجية سليمة. كل ما يراه المستخدم يبدو سليمًا — والخلل في تلك الدائرة التي لم يرها.
تختبئ الوحدة في موضع بطانة الشاشة. ولاكتشافها، يجب تفكيك الجهاز؛ لكن ما إن يُفكّ حتى يفقد صفته «الأصلية» والضمان. وسيلة التحقق هي بالضبط ما قد يتلف الشيء الذي يجري التحقق منه.
راقبوا ثلاثة أمور في المرحلة المقبلة: هل ستعلن الشركة المصنّعة عن القائمة الكاملة للدفعات المتأثرة؟ وهل ستُعتمد إجراءات للتحقق من العبوات عند التوزيع؟ وهل سيُعاد تعريف وصف «موزّع معتمد رسميًا»؟
إذا سبق أن ظهرت كلمات الاسترداد الخاصة بك على جهاز اشتريته من قناة غير رسمية، فهل ستواصل استخدامه؟
$BTC