لوحة دوائر صغيرة، ملحومة أسفل شاشة المحفظة. لا تفعل شيئًا عادةً، لكنها ترسل الكلمات الـ24 التي تظهر على الشاشة خلال الثواني القليلة أثناء الإعداد الأولي.
كُشف عن هذه الواقعة الأسبوع الماضي. وأكدت Ledger في 10 أكتوبر وجود زرعة عتادية غير مصرّح بها في جهاز أحد المستخدمين المتضررين. الجهاز جاء من الموزع المعتمد لها في جنوب شرق آسيا، CryptoBilis، الذي يغطي إندونيسيا وماليزيا والفلبين. وقد طلبت Ledger من هذا الموزع تعليق المبيعات.
تختلف التقديرات بشأن حجم الخسائر. فقدّر المحقق على البلوك تشين Specter الخسائر بأكثر من 86 مليون دولار، ثم وسّعت Bitquery نطاق التقدير ليشمل 311 محفظة وخسائر بنحو 92.9 مليون دولار، وكان أحد الضحايا قد خسر وحده 80 بيتكوين. ولم تؤكد Ledger إجمالي المبلغ أو عدد المتضررين.
تركيب، والتقاط، وإرسال، وسرقة: أربع خطوات. فُكّ الجهاز أثناء التوزيع، ولُحمت لوحة دوائر مستقلة أسفل الشاشة، ثم أُعيد إغلاق الغلاف من دون أن يترك ذلك أثرًا ظاهرًا. أثناء الإعداد الأولي، تعرض المحفظة 24 كلمة استرداد على الشاشة. وتقتصر مهمة الزرعة على تصوير ما يظهر عليها؛ ثم يفك متحكم دقيق الشيفرة، ويرسل البيانات عبر LTE باستخدام شريحة eSIM مهيأة مسبقًا. ومن يحصل على الكلمات يستعيد المفتاح الخاص على جهازه، ثم ينقل الأموال.
لم يظهر على الجهاز الأصلي أي خلل طوال العملية.
برأيي، ما تهزه هذه الحادثة لا يقتصر على Ledger وحدها. يقوم نموذج أمان محافظ الأجهزة على افتراضين: ألا تغادر كلمات الاسترداد الجهاز، وأن يكون الجهاز نفسه موثوقًا. لكن هذا الهجوم لم يمسّ أيًا منهما؛ فلم يخترق التشفير، ولم يغيّر شريحة الأمان أو النظام أو التوقيع. كل ما فعله هو تحويل الشاشة إلى كاميرا ترسل الرسائل النصية.
لذلك اجتاز الجهاز التحقق من أصالة Ledger. فالبرنامج لا يستطيع التحقق إلا من شريحة الأمان الرئيسية، ولا يمكنه فحص ما لُحم خارجها.
عادةً، لا تشكل مثل هذه الحوادث صدمة مباشرة لسعر العملات، إذ لم يطرأ أي تغيير على الأصول الموجودة على البلوك تشين. لكنها تضعف الافتراض الذي يقوم عليه الاحتفاظ بالأصول ذاتيًا. فإذا كان من الممكن العبث بالأجهزة في أثناء مرورها عبر موزع رسمي، فالاحتفاظ بها ذاتيًا ليس أكثر أمانًا بطبيعته من إيداعها في منصة تداول؛ إنما انتقل الخطر إلى موضع آخر.
ما لا أستطيع الجزم به هو عدد الأجهزة المعدّلة التي وصلت إلى السوق. فلم تفصح Ledger حتى الآن عن عدد الأجهزة المتضررة، ولا عن المدة التي ظل فيها هذا الموزع يبيعها.
إذا كنت قد اشتريت جهازك عبر قناة بيع تابعة لجهة خارجية، ولا سيما إذا اشتريته من جنوب شرق آسيا خلال الأشهر الثلاثة الماضية، فمن الأفضل ألا تبدأ إعداده بعد. أما إذا كنت قد أعددته بالفعل، فننصحك باستخدام جهاز من مصدر موثوق لإنشاء كلمات استرداد جديدة، ثم نقل عملاتك إليه. وإذا وجدت بطاقة كلمات الاسترداد مرفقة بالجهاز عند استلامه، فتعامل معه مباشرةً على أنه قد عُبث به.
إذا أردت متابعة الحلقات القادمة من هذه السلسلة، يمكنك متابعتي.
$BTC $ETH $USDT #硬件钱包 #Ledger #安全 #تحليل_الأحداث_الرائجة
كُشف عن هذه الواقعة الأسبوع الماضي. وأكدت Ledger في 10 أكتوبر وجود زرعة عتادية غير مصرّح بها في جهاز أحد المستخدمين المتضررين. الجهاز جاء من الموزع المعتمد لها في جنوب شرق آسيا، CryptoBilis، الذي يغطي إندونيسيا وماليزيا والفلبين. وقد طلبت Ledger من هذا الموزع تعليق المبيعات.
تختلف التقديرات بشأن حجم الخسائر. فقدّر المحقق على البلوك تشين Specter الخسائر بأكثر من 86 مليون دولار، ثم وسّعت Bitquery نطاق التقدير ليشمل 311 محفظة وخسائر بنحو 92.9 مليون دولار، وكان أحد الضحايا قد خسر وحده 80 بيتكوين. ولم تؤكد Ledger إجمالي المبلغ أو عدد المتضررين.
تركيب، والتقاط، وإرسال، وسرقة: أربع خطوات. فُكّ الجهاز أثناء التوزيع، ولُحمت لوحة دوائر مستقلة أسفل الشاشة، ثم أُعيد إغلاق الغلاف من دون أن يترك ذلك أثرًا ظاهرًا. أثناء الإعداد الأولي، تعرض المحفظة 24 كلمة استرداد على الشاشة. وتقتصر مهمة الزرعة على تصوير ما يظهر عليها؛ ثم يفك متحكم دقيق الشيفرة، ويرسل البيانات عبر LTE باستخدام شريحة eSIM مهيأة مسبقًا. ومن يحصل على الكلمات يستعيد المفتاح الخاص على جهازه، ثم ينقل الأموال.
لم يظهر على الجهاز الأصلي أي خلل طوال العملية.
برأيي، ما تهزه هذه الحادثة لا يقتصر على Ledger وحدها. يقوم نموذج أمان محافظ الأجهزة على افتراضين: ألا تغادر كلمات الاسترداد الجهاز، وأن يكون الجهاز نفسه موثوقًا. لكن هذا الهجوم لم يمسّ أيًا منهما؛ فلم يخترق التشفير، ولم يغيّر شريحة الأمان أو النظام أو التوقيع. كل ما فعله هو تحويل الشاشة إلى كاميرا ترسل الرسائل النصية.
لذلك اجتاز الجهاز التحقق من أصالة Ledger. فالبرنامج لا يستطيع التحقق إلا من شريحة الأمان الرئيسية، ولا يمكنه فحص ما لُحم خارجها.
عادةً، لا تشكل مثل هذه الحوادث صدمة مباشرة لسعر العملات، إذ لم يطرأ أي تغيير على الأصول الموجودة على البلوك تشين. لكنها تضعف الافتراض الذي يقوم عليه الاحتفاظ بالأصول ذاتيًا. فإذا كان من الممكن العبث بالأجهزة في أثناء مرورها عبر موزع رسمي، فالاحتفاظ بها ذاتيًا ليس أكثر أمانًا بطبيعته من إيداعها في منصة تداول؛ إنما انتقل الخطر إلى موضع آخر.
ما لا أستطيع الجزم به هو عدد الأجهزة المعدّلة التي وصلت إلى السوق. فلم تفصح Ledger حتى الآن عن عدد الأجهزة المتضررة، ولا عن المدة التي ظل فيها هذا الموزع يبيعها.
إذا كنت قد اشتريت جهازك عبر قناة بيع تابعة لجهة خارجية، ولا سيما إذا اشتريته من جنوب شرق آسيا خلال الأشهر الثلاثة الماضية، فمن الأفضل ألا تبدأ إعداده بعد. أما إذا كنت قد أعددته بالفعل، فننصحك باستخدام جهاز من مصدر موثوق لإنشاء كلمات استرداد جديدة، ثم نقل عملاتك إليه. وإذا وجدت بطاقة كلمات الاسترداد مرفقة بالجهاز عند استلامه، فتعامل معه مباشرةً على أنه قد عُبث به.
إذا أردت متابعة الحلقات القادمة من هذه السلسلة، يمكنك متابعتي.
$BTC $ETH $USDT #硬件钱包 #Ledger #安全 #تحليل_الأحداث_الرائجة