أقرّت Ledger في 10 أكتوبر بوجود «زرعة عتادية غير مصرح بها» داخل أجهزة متضررة في حادثة سُرقت فيها أموال مستخدمين. وفي 11 أكتوبر، أوضحت أن جميع الحالات المؤكدة لسرقة العملات شملت أجهزة بيعت عبر الموزّع CryptoBilis، وأن عدد الأجهزة المتضررة «محدود». هذه مشكلة على مستوى سلسلة التوريد، وليست حالة نقر فيها المستخدم على رابط تصيّد بالخطأ.
الحقائق المعروفة: لم تكشف Ledger عن طراز الجهاز الذي زُرعت فيه القطعة، أو كيفية عملها، أو دورها في سرقة العملات. وكان CryptoBilis موزّعًا معتمدًا لمنتجات Ledger في ماليزيا وإندونيسيا والفلبين، لكنه أوقف الآن بيع جميع مخزونه من محافظ الأجهزة، وهو إجراء أوسع نطاقًا من طلب Ledger في 9 أكتوبر وقف بيع أجهزتها وحدها. وأكدت Ledger أن برامجها الثابتة وأنظمتها وخدماتها وقنوات البيع المباشر لم تتعرض للاختراق. أما قيمة الخسائر، فلم تؤكد Ledger أي رقم؛ وتتراوح تقديرات شركات تحليل البلوك تشين بين 72 مليونًا و92.9 مليون دولار، وتشمل 311 محفظة موزعة على شبكات $BTC و$ETH وTRON وBNB Chain.
المسألة الجديرة بالنقاش ليست «هل ما زالت محافظ الأجهزة آمنة؟»، بل موضع الثقة. فالنموذج الأمني الكامل لمحافظ الأجهزة يفترض أن «الجهاز الذي بين يديك لم يعبث به أحد منذ خروجه من المصنع». ويعتمد هذا الافتراض على إدارة المخزون وسلاسل التوزيع، وهي بالضبط الحلقة الأقل لفتًا للانتباه والأكثر عرضة للاختراق. وقد أفادت تقارير بتركيب لوحة دوائر صغيرة أسفل شاشة الجهاز وإرسال الكلمات الأربع والعشرين الخاصة بعبارة الاسترداد عبر شبكة خلوية، لكن Ledger لم تؤكد أيًا من هذه التفاصيل، لذا ينبغي التعامل معها على أنها مؤشرات لا أكثر.
نصيحة عملية لمن اشتروا أجهزة من CryptoBilis: لا تُعدّوا الأجهزة غير المفتوحة؛ أما إذا أعددتم الجهاز ونقلتم إليه عملاتكم بالفعل، فلا تستعيدوا المحفظة على جهاز جديد باستخدام عبارة الاسترداد نفسها، لأن المفاتيح الخاصة والحسابات ستُعاد إنشاؤها معًا. أنشئوا عبارة استرداد جديدة تمامًا، ثم انقلوا أصولكم إليها. وأي «موظف دعم» يطلب منكم تزويده بالكلمات الأربع والعشرين هو محتال.
سؤالي هو: إذا كان «الموزّع المعتمد» نفسه قد يكون مصدرًا للمشكلة، فهل ستواصلون شراء المحافظ الباردة عبر قنوات خارجية، أم تفضلون دفع المزيد والشراء مباشرةً من الموقع الرسمي؟
#Ledgerتؤكدزرععتادغيرمصرحبهفيأجهزةالمستخدمين
الحقائق المعروفة: لم تكشف Ledger عن طراز الجهاز الذي زُرعت فيه القطعة، أو كيفية عملها، أو دورها في سرقة العملات. وكان CryptoBilis موزّعًا معتمدًا لمنتجات Ledger في ماليزيا وإندونيسيا والفلبين، لكنه أوقف الآن بيع جميع مخزونه من محافظ الأجهزة، وهو إجراء أوسع نطاقًا من طلب Ledger في 9 أكتوبر وقف بيع أجهزتها وحدها. وأكدت Ledger أن برامجها الثابتة وأنظمتها وخدماتها وقنوات البيع المباشر لم تتعرض للاختراق. أما قيمة الخسائر، فلم تؤكد Ledger أي رقم؛ وتتراوح تقديرات شركات تحليل البلوك تشين بين 72 مليونًا و92.9 مليون دولار، وتشمل 311 محفظة موزعة على شبكات $BTC و$ETH وTRON وBNB Chain.
المسألة الجديرة بالنقاش ليست «هل ما زالت محافظ الأجهزة آمنة؟»، بل موضع الثقة. فالنموذج الأمني الكامل لمحافظ الأجهزة يفترض أن «الجهاز الذي بين يديك لم يعبث به أحد منذ خروجه من المصنع». ويعتمد هذا الافتراض على إدارة المخزون وسلاسل التوزيع، وهي بالضبط الحلقة الأقل لفتًا للانتباه والأكثر عرضة للاختراق. وقد أفادت تقارير بتركيب لوحة دوائر صغيرة أسفل شاشة الجهاز وإرسال الكلمات الأربع والعشرين الخاصة بعبارة الاسترداد عبر شبكة خلوية، لكن Ledger لم تؤكد أيًا من هذه التفاصيل، لذا ينبغي التعامل معها على أنها مؤشرات لا أكثر.
نصيحة عملية لمن اشتروا أجهزة من CryptoBilis: لا تُعدّوا الأجهزة غير المفتوحة؛ أما إذا أعددتم الجهاز ونقلتم إليه عملاتكم بالفعل، فلا تستعيدوا المحفظة على جهاز جديد باستخدام عبارة الاسترداد نفسها، لأن المفاتيح الخاصة والحسابات ستُعاد إنشاؤها معًا. أنشئوا عبارة استرداد جديدة تمامًا، ثم انقلوا أصولكم إليها. وأي «موظف دعم» يطلب منكم تزويده بالكلمات الأربع والعشرين هو محتال.
سؤالي هو: إذا كان «الموزّع المعتمد» نفسه قد يكون مصدرًا للمشكلة، فهل ستواصلون شراء المحافظ الباردة عبر قنوات خارجية، أم تفضلون دفع المزيد والشراء مباشرةً من الموقع الرسمي؟
#Ledgerتؤكدزرععتادغيرمصرحبهفيأجهزةالمستخدمين