تؤكد Ledger العثور على مكوّنات غير مصرّح بها مزروعة داخل محفظة! فهل لم يعد بالإمكان الوثوق حتى بالمحافظ الباردة بالكامل؟
أكبر ميزة للمحفظة الباردة هي إبقاء المفتاح الخاص بعيدًا عن الإنترنت.
لكن ماذا لو كان الجهاز الذي اشتريته قد عُبث به قبل أن يصل إليك؟
في 10 أكتوبر، أكدت Ledger العثور على مكوّنات غير مصرّح بها داخل جهاز أحد المستخدمين المتضررين، في حادثة تتعلق بموزّع في جنوب شرق آسيا يُدعى CryptoBilis.
لم يتأكد بعد كيف تسببت المكوّنات المزروعة في خسارة الأموال، كما أفادت Ledger بأن أنظمتها لم تتعرض للاختراق.
أرى أن أكثر ما يستدعي الحذر في هذه الحادثة ليس فشل تقنية المحافظ الباردة فجأة، بل احتمال انتقال المخاطر من الرقائق والبرمجيات إلى سلسلة التوريد والموزّعين وإجراءات الشراء التي يتبعها المستخدمون.
بعبارة أخرى، لا تعني المحفظة الباردة أن «شراءها كافٍ لضمان الأمان»، بل إنها تنقل المخاطر من الهجمات عبر الإنترنت إلى عدة جوانب، منها أصالة الجهاز والشحن وإدارة الموزّعين وإجراءات الإعداد الأولي وحفظ العبارة الاستذكارية.
قد يؤدي أي خلل في أي مرحلة من هذه المراحل إلى إضعاف مستوى الأمان العام.
وتشير الوثائق التقنية الرسمية لـ Ledger أيضًا إلى أن التحقق من أصالة الجهاز لا يضمن اكتشاف جميع المكوّنات الإضافية المثبّتة فيه.
وهذا يعني أن «اجتياز الجهاز لعملية التحقق» لا يساوي «التأكد من أن الجهاز بأكمله لم يُعبث به قط»، ولا ينبغي للمستخدمين الاعتماد على آلية أمان واحدة فقط.
بالنسبة إلى حاملي العملات، شراء الجهاز المناسب ليس سوى الخطوة الأولى. وإلى جانب تفضيل الشراء من القنوات الرسمية أو الموثوقة، ينبغي تجنب الأجهزة مجهولة المصدر أو المفتوحة مسبقًا أو التي تُباع بأسعار غير اعتيادية.
بعد استلام الجهاز، تحقّق من حالة العبوة والجهاز، ثم أعدّ الجهاز باتباع الإجراءات الرسمية. ويجب إنشاء العبارة الاستذكارية بنفسك على الجهاز. لا تستخدم مطلقًا عبارة استذكارية يقدّمها البائع، ولا تُدخلها في هاتف أو حاسوب أو أي موقع إلكتروني.
والأهم من ذلك، ألا يُبنى أمان الأصول على «ثقتي بهذه العلامة التجارية»، بل على إجراءات قابلة للتحقق وتوزيع الثقة. قد تقلل سمعة العلامة التجارية من المخاطر، لكنها لا تغني عن التحقق الأساسي من المصدر والجهاز وإجراءات الاستخدام.
لا ينبغي أن يبدأ الأمان الحقيقي عند تشغيل الجهاز، بل منذ اللحظة التي تقرر فيها ممن ستشتريه.
#Ledger确认用户设备遭植入未授权硬件 $BNB
أكبر ميزة للمحفظة الباردة هي إبقاء المفتاح الخاص بعيدًا عن الإنترنت.
لكن ماذا لو كان الجهاز الذي اشتريته قد عُبث به قبل أن يصل إليك؟
في 10 أكتوبر، أكدت Ledger العثور على مكوّنات غير مصرّح بها داخل جهاز أحد المستخدمين المتضررين، في حادثة تتعلق بموزّع في جنوب شرق آسيا يُدعى CryptoBilis.
لم يتأكد بعد كيف تسببت المكوّنات المزروعة في خسارة الأموال، كما أفادت Ledger بأن أنظمتها لم تتعرض للاختراق.
أرى أن أكثر ما يستدعي الحذر في هذه الحادثة ليس فشل تقنية المحافظ الباردة فجأة، بل احتمال انتقال المخاطر من الرقائق والبرمجيات إلى سلسلة التوريد والموزّعين وإجراءات الشراء التي يتبعها المستخدمون.
بعبارة أخرى، لا تعني المحفظة الباردة أن «شراءها كافٍ لضمان الأمان»، بل إنها تنقل المخاطر من الهجمات عبر الإنترنت إلى عدة جوانب، منها أصالة الجهاز والشحن وإدارة الموزّعين وإجراءات الإعداد الأولي وحفظ العبارة الاستذكارية.
قد يؤدي أي خلل في أي مرحلة من هذه المراحل إلى إضعاف مستوى الأمان العام.
وتشير الوثائق التقنية الرسمية لـ Ledger أيضًا إلى أن التحقق من أصالة الجهاز لا يضمن اكتشاف جميع المكوّنات الإضافية المثبّتة فيه.
وهذا يعني أن «اجتياز الجهاز لعملية التحقق» لا يساوي «التأكد من أن الجهاز بأكمله لم يُعبث به قط»، ولا ينبغي للمستخدمين الاعتماد على آلية أمان واحدة فقط.
بالنسبة إلى حاملي العملات، شراء الجهاز المناسب ليس سوى الخطوة الأولى. وإلى جانب تفضيل الشراء من القنوات الرسمية أو الموثوقة، ينبغي تجنب الأجهزة مجهولة المصدر أو المفتوحة مسبقًا أو التي تُباع بأسعار غير اعتيادية.
بعد استلام الجهاز، تحقّق من حالة العبوة والجهاز، ثم أعدّ الجهاز باتباع الإجراءات الرسمية. ويجب إنشاء العبارة الاستذكارية بنفسك على الجهاز. لا تستخدم مطلقًا عبارة استذكارية يقدّمها البائع، ولا تُدخلها في هاتف أو حاسوب أو أي موقع إلكتروني.
والأهم من ذلك، ألا يُبنى أمان الأصول على «ثقتي بهذه العلامة التجارية»، بل على إجراءات قابلة للتحقق وتوزيع الثقة. قد تقلل سمعة العلامة التجارية من المخاطر، لكنها لا تغني عن التحقق الأساسي من المصدر والجهاز وإجراءات الاستخدام.
لا ينبغي أن يبدأ الأمان الحقيقي عند تشغيل الجهاز، بل منذ اللحظة التي تقرر فيها ممن ستشتريه.
#Ledger确认用户设备遭植入未授权硬件 $BNB