تلاعب بمحافظ ليدجر الصلبة في جنوب شرق آسيا وسرقة 102 مليون دولار

في أوائل أكتوبر/تشرين الأول، اكتشف عملاء في جنوب شرق آسيا اختفاء عملات مشفرة من محافظ ليدجر الصلبة التي كانت تبدو عاملة بشكل طبيعي. وكان هؤلاء قد اشتروا الأجهزة عبر CryptoBilis، وهو موزع معتمد ينشط في ماليزيا وإندونيسيا والفلبين. وأكدت ليدجر في 10 أكتوبر وجود شريحة مزروعة غير مصرح بها في جهاز أحد العملاء المتأثرين. وبعد ثلاثة أيام، أوضح فريق الأمن في الشركة أن إلكترونيات مضافة نسخت كلمات الاسترداد الـ24 أثناء الإعداد وأرسلتها عبر اتصال هاتفي. ولم يتغير العنصر الآمن أو نظام التشغيل أو توقيعات المعاملات. وتقدّر Bitquery أن المهاجمين سرقوا 102 مليون دولار من 324 محفظة عبر ست شبكات، لكن ليدجر لم تؤكد هذا الإجمالي أو تثبت أن كل خسارة مرتبطة بجهاز مزروع. تحمي المحافظ الصلبة المفاتيح الخاصة المستخدمة لتخويل المعاملات، بينما تبقى العملات المشفرة على شبكات البلوكتشين. وتوقّع المحفظة معاملة معتمدة من دون تسليم المفاتيح الخاصة إلى الحاسوب المتصل. أثناء الإعداد، تعرض محفظة ليدجر 24 كلمة استرداد قادرة على إعادة إنشاء المحفظة ومفاتيحها إذا فُقد الجهاز. ويُطلب من المالك كتابة العبارة والاحتفاظ بها دون اتصال وعدم مشاركتها مطلقاً. ومن يحصل على العبارة يستطيع استعادة الحسابات نفسها على جهاز آخر من دون أن يوقفه رمز PIN للمحفظة الأصلية. قالت ليدجر إن وحدة تحكم صغيرة اعترضت المعلومات المرسلة إلى الشاشة، وأعادت بناء عبارة الاسترداد وأرسلتها عبر LTE باستخدام بطاقة SIM مدمجة. ولم يحتج الزرع إلى اختراق العنصر الآمن أو إقناع المالك بإدخال كلمات الاسترداد في موقع مزيف. ويمكن للمالك إكمال الإعداد وتأكيد معاملات مشروعة بينما يحتفظ المهاجم بوصول مكافئ إلى الأموال. ويمكن لعبارة مرور إضافية اختيارية حماية الحسابات المنشأة بها، لكن كلمات الاسترداد وحدها كافية للحسابات العادية. يتحقق Genuine Check من ليدجر من أن الجهاز يحتوي على Secure Element أصلي، وهو الشريحة المسؤولة عن عمليات الأمن الحساسة. ويمكن لـ Genuine Check كشف شريحة مقلدة لكنه لا يفحص كل مكوّن أو يثبت عدم إضافة أي شيء بعد التصنيع. وتحذر وثائق ليدجر الأمنية من أن التعديلات المادية قد تفلت من الكشف إذا بقي الشريحة الأصلية سليمة. فحصت Tibane Labs أجهزة Ledger Nano X معدلة تحتوي على إلكترونيات تراقب الإشارات بين الشريحة الآمنة والشاشة. وأخفى نموذج أكثر تطوراً لوحة مخصصة تحت الشاشة مع الاحتفاظ بالبطارية الأصلية، ما منع الفحص العابر من كشف التعديل. وكانت هذه النماذج منفصلة عن تحقيق CryptoBilis ولا تثبت أن الأجهزة أو المهاجمين أنفسهم كانوا متورطين. ولا تثبت الشرائح الأصلية والتوقيعات الصحيحة والعمل الطبيعي أن الجهاز كاملاً خالٍ من التلاعب. وتوصي ليدجر بالشراء عبر بائعين معتمدين، ما يجعل قضية CryptoBilis مسألة ثقة في سلسلة التوزيع بأكملها وليس مجرد منتجات مقلدة. وقالت ليدجر في تحديث بتاريخ 15 أكتوبر إن المهاجمين اشتروا أجهزة أصلية على مدى عدة أشهر، وفتحوها، وثبّتوا مكونات مخصصة، ثم أعادوها إلى التوزيع عبر موزعين في جنوب شرق آسيا. ووصفت الشركة الحادثة بأنها هجوم على قناة التوزيع. وقالت إن عينات فُحصت في المستودعات والمتاجر لم تُظهر تلاعباً. وطلبت ليدجر من الموزعين والبائعين المعتمدين في جنوب شرق آسيا وهونغ كونغ تعليق المبيعات. وتشدد الشركة ضوابطها على المنتجات المعادة وتطلب من البائعين إبعاد الأجهزة عن أرفف العرض. وعلّقت MediaMarktSaturn الألمانية مبيعات ليدجر بعد تقرير عن جهاز متلاعب به. وتحركت Trezor لتقليص شبكة موزعي صانع المحافظ المنافس رغم عدم العثور على دليل على اختراق منتجات Trezor. ووجدت Bitquery أن 25 محفظة ترون وقّعت الموافقة نفسها خلال ثلاث ثوانٍ، وهو نمط يتسق مع شخص يتحكم مسبقاً في حسابات متعددة. ولا تستطيع سجلات البلوكتشين تحديد من فتح العبوة أو ثبّت المكونات أو أعاد الجهاز إلى المتجر؛ وتتطلب هذه الأسئلة فحوصاً مادية وسجلات توزيع. وإعادة شراء جهاز جديد وإدخال كلمات الاسترداد الـ24 القديمة يعيد المخاطر نفسها لأن العبارة القديمة تستعيد المفاتيح ذاتها. ويجب نقل الأصول إلى حسابات مولدة من عبارة استرداد جديدة على جهاز موثوق، باستخدام عناوين وتعليمات يجري التحقق منها بعناية. وطلبت ليدجر من مشتري أجهزة CryptoBilis عدم تهيئة الأجهزة غير المستخدمة، ونصحت العملاء الذين أكملوا الإعداد بنقل الأموال إلى موقّع جديد بعبارة جديدة. وعلى المالكين المتأثرين استخدام قنوات الدعم الرسمية، والحفاظ على الأدلة ذات الصلة المحتملة، وعدم إعطاء كلمات الاسترداد لأي شخص يدّعي المساعدة في استعادة الأموال. وتظهر الحادثة أن أمن المحافظ الصلبة يمتد عبر الشاشة والهيكل والتغليف وسلسلة التوزيع حتى ظهور كلمات الاسترداد للمرة الأولى. وتزيل الحفظ الذاتي الحاجة إلى الثقة بمنصة تبادل للاحتفاظ بالمفاتيح الخاصة، لكن على المالكين الثقة بالعتاد الذي ينشئ هذه المفاتيح ويعرضها.