ليدجر تحقق في حادثة أمنية قد تصل خسائرها إلى 90 مليون دولار مرتبطة بموزع "CryptoBilis"

أفاد تقرير "ChainCatcher" بأن شركة "Ledger"، مزوّد المحافظ الصلبة، تواجه حادثة أمنية جديدة قدّرت شركات أمنية خارجية خسائرها بنحو 90 مليون دولار. وقالت "Ledger" إنها تحقق في خسائر مالية مرتبطة بأجهزة جرى بيعها عبر موزعها المعتمد في جنوب شرق آسيا "CryptoBilis"، وطلبت من الموزع إيقاف جميع عمليات البيع والشحن. ونصحت الشركة المستخدمين الذين اشتروا أجهزة عبر هذه القناة خلال آخر 90 يوماً بتوخي الحذر أو نقل أصولهم إلى محافظ أخرى. ولا تزال الأسباب الجذرية غير مؤكدة، إلا أن المؤشرات الأولية ترجّح سيناريو اختراق ضمن سلسلة التوريد أو العبث بالأجهزة قبل وصولها للمستخدمين. وسجل "Ledger" يتضمن عدة حوادث وثغرات بارزة وخسائر مرتبطة بها: - 2018: ظهور ثغرات مبكرة في أمان العتاد وسلسلة التوريد. أظهر باحثون إمكانية العبث بأجهزة "Nano S" قبل الشحن، إضافة إلى استغلالات شملت تجاوز مُحمّل الإقلاع "MCU bootloader"، وعيوب العزل، وحقن عناوين تغيير "Bitcoin change addresses". أصدرت "Ledger" حينها نشرات أمنية وإصلاحات، وكانت معظم هذه الثغرات على مستوى أبحاث وتتطلب وصولاً مادياً للجهاز. - 2020: تسريب واسع لبيانات العملاء. استغل مهاجمون مفاتيح "API" لطرف ثالث وثغرات مرتبطة بـ"Shopify" للوصول إلى قواعد بيانات التجارة الإلكترونية والتسويق، ما أدى إلى كشف أكثر من مليون بريد إلكتروني ونحو 272,000 إلى 292,000 سجل عميل تفصيلياً يشمل الأسماء والعناوين وأرقام الهواتف. لم تتأثر المحافظ الصلبة ولا المفاتيح الخاصة، لكن الحادثة تسببت في موجة طويلة من التصيد والاحتيال عبر الهندسة الاجتماعية والانتحال باستخدام مراسلات رسمية مزيفة. - ديسمبر 2023: هجوم على سلسلة التوريد استهدف "Ledger Connect Kit". بعد وقوع موظف سابق ضحية تصيد، تم الاستيلاء على حسابه في "NPMJS"، ما مكّن المهاجمين من نشر نسخة خبيثة من "Connect Kit" تضخ شيفرة ضارة داخل تطبيقات "DApps" التي تعتمد على المكتبة، لتضليل المستخدمين ودفعهم لتوقيع معاملات احتيالية. استمرت نافذة الهجوم قرابة ساعتين، وقدرت الخسائر بين 480,000 و600,000 دولار. لم يتم اختراق عتاد "Ledger" أو تطبيق "Ledger Live" بشكل مباشر. - يناير 2026: تسريب بيانات طلبات "Globale" التابعة لطرف ثالث. أدى وصول غير مصرح به إلى أنظمة شريك الدفع واللوجستيات إلى كشف بعض تفاصيل طلبات "Ledger.com"، بما في ذلك الأسماء والعناوين وبيانات الاتصال. لم تتأثر أنظمة "Ledger" ولا المفاتيح الخاصة، لكن مخاطر التصيد عادت للارتفاع. - أبريل 2026: ظهور تطبيقات "Ledger Live" مزيفة على "App Store". ظلت التطبيقات الوهمية متاحة نحو أسبوع، وخدعت المستخدمين لإدخال عبارات الاسترداد الخاصة بهم، ما أدى إلى خسائر تقارب 9.5 مليون دولار لأكثر من 50 ضحية عبر عدة سلاسل كتل. أزالت "Apple" التطبيقات لاحقاً، وشددت "Ledger" على أنها لا تطلب من المستخدمين أبداً عبارة الاسترداد المكوّنة من 24 كلمة. - أغسطس 2026: إعلان ثغرات مرتبطة بتوقيع تطبيق "Ethereum"، شملت "command interleaving" الذي قد يسبب عدم تطابق بين ما يُعرض على الشاشة ومعلمات التوقيع، إضافة إلى تجاوزات "clear-signing". تتطلب هذه الثغرات وجود مضيف خبيث لاستغلالها، وقالت "Ledger" إنه لا توجد أدلة على استغلال فعلي للمستخدمين وقت الإعلان، وقد جرى إصلاح المشكلات في إصدارات أحدث. - 9 أكتوبر 2026: حادثة سحب واسعة للأموال مرتبطة بقناة توزيع "CryptoBilis"، مع تقديرات بخسائر تقترب من 90 مليون دولار. وتعتقد "Ledger" أن الواقعة قد تكون هجوماً موجهاً على سلسلة التوريد أو عبثاً بالأجهزة ضمن قناة توزيع واحدة، وقد علقت الشركة المبيعات عبر هذه القناة وتوصي المستخدمين المتأثرين بترحيل أصولهم.