في قضية Keystone، أكثر ما يدعو للقلق ليس تسريب بيانات 26,000 مشترٍ، بل تعطّل خطوة «التحقق من الأصالة» بالكامل.
تحديث رسمي في 26 أكتوبر: الهجوم الذي وقع في 20 أكتوبر بدأ من أداة مراقبة تابعة لجهة خارجية على الموقع الرسمي، وتمكّن المهاجمون أيضاً من سرقة مفتاح WebAuth. هذا المفتاح مدمج في الجهاز منذ التصنيع ولا يمكن تغييره. ولا يمكنه توقيع المعاملات أو توليد عبارة الاسترداد، لذا كانت أول عبارة استخدمها الرسميون وكثير من حسابات الأخبار العاجلة هي «أموال المفاتيح الخاصة آمنة».
الكلام صحيح، لكنه يتجنب صلب المشكلة. ما الذي تبيعه محافظ الأجهزة؟ إنها تبيع لك ضماناً بأن «الجهاز الذي بين يديك أصلي». والآن، يمكن خداع صفحة التحقق الرسمية بمنتج مقلّد، ولا خيار أمامهم سوى إتلاف مخزون 18,835 جهازاً يحمل المفتاح القديم. أما من استلموا أجهزتهم بعد 20 أكتوبر، فعليهم التواصل مع خدمة العملاء بأنفسهم للتأكد منها.
بمعنى آخر: ما تسرّب هو اسمك ورقم هاتفك وعنوان التوصيل، وما فُقد هو «إثبات أصالة الجهاز». يعرف المحتالون ما اشتريته وأين تسكن، ونظرياً يمكنهم صنع جهاز يجتاز الفحص الرسمي وإرساله إليك. وهذا أخطر بكثير من مجرد تسريب قائمة عناوين بريد إلكتروني.
قبل يومين فقط، كانت بعض حسابات الأخبار العاجلة تكرر أن «التأثير محدود». وهناك أيضاً مجموعة من الحسابات على X تنشر العبارة نفسها: «What if a hardware wallet's genuine check can be forged?»، مع علامات ترقيم تكاد تكون متطابقة. لا تصدقوا من يركب موجة الاهتمام أيضاً.
موقفي بسيط: اشتروا محافظ الأجهزة من القنوات الرسمية فقط، وتعاملوا مع أي رسالة عن «استدعاء» أو «استبدال» أو «ترقية» على أنها احتيال. فقد أرسل أحدهم للتو رسائل استدعاء مزيفة باستخدام نطاق رسمي تابع لـFoundation؛ المحتالون نجحوا بالفعل في هذا الأسلوب.
#Keystone #محافظ_الأجهزة
تحديث رسمي في 26 أكتوبر: الهجوم الذي وقع في 20 أكتوبر بدأ من أداة مراقبة تابعة لجهة خارجية على الموقع الرسمي، وتمكّن المهاجمون أيضاً من سرقة مفتاح WebAuth. هذا المفتاح مدمج في الجهاز منذ التصنيع ولا يمكن تغييره. ولا يمكنه توقيع المعاملات أو توليد عبارة الاسترداد، لذا كانت أول عبارة استخدمها الرسميون وكثير من حسابات الأخبار العاجلة هي «أموال المفاتيح الخاصة آمنة».
الكلام صحيح، لكنه يتجنب صلب المشكلة. ما الذي تبيعه محافظ الأجهزة؟ إنها تبيع لك ضماناً بأن «الجهاز الذي بين يديك أصلي». والآن، يمكن خداع صفحة التحقق الرسمية بمنتج مقلّد، ولا خيار أمامهم سوى إتلاف مخزون 18,835 جهازاً يحمل المفتاح القديم. أما من استلموا أجهزتهم بعد 20 أكتوبر، فعليهم التواصل مع خدمة العملاء بأنفسهم للتأكد منها.
بمعنى آخر: ما تسرّب هو اسمك ورقم هاتفك وعنوان التوصيل، وما فُقد هو «إثبات أصالة الجهاز». يعرف المحتالون ما اشتريته وأين تسكن، ونظرياً يمكنهم صنع جهاز يجتاز الفحص الرسمي وإرساله إليك. وهذا أخطر بكثير من مجرد تسريب قائمة عناوين بريد إلكتروني.
قبل يومين فقط، كانت بعض حسابات الأخبار العاجلة تكرر أن «التأثير محدود». وهناك أيضاً مجموعة من الحسابات على X تنشر العبارة نفسها: «What if a hardware wallet's genuine check can be forged?»، مع علامات ترقيم تكاد تكون متطابقة. لا تصدقوا من يركب موجة الاهتمام أيضاً.
موقفي بسيط: اشتروا محافظ الأجهزة من القنوات الرسمية فقط، وتعاملوا مع أي رسالة عن «استدعاء» أو «استبدال» أو «ترقية» على أنها احتيال. فقد أرسل أحدهم للتو رسائل استدعاء مزيفة باستخدام نطاق رسمي تابع لـFoundation؛ المحتالون نجحوا بالفعل في هذا الأسلوب.
#Keystone #محافظ_الأجهزة