المدير التنفيذي لشركة Ledger يصف الرئيس السابق لمنصة Mt. Gox Karpelès بأنه ليس فارسًا أبيض في خلاف زرعات المحافظ البالغة 90 مليون دولار

Karpelès يشير إلى دليل أمني صدر في مارس

قال المدير التنفيذي لشركة Ledger، Pascal Gauthier، للرئيس السابق لمنصة Mt. Gox، Mark Karpelès، إنه "ليس فارسًا أبيض"، بعد أن اتهم Karpelès صانع المحفظة العتادية بأنه كان على علم بزرعات تجسس متطورة منذ مارس على الأقل. ويرى Karpelès أن تحذيرات علنية أوضح في ذلك الوقت كان يمكن أن تمنع خسائر للمستخدمين تجاوزت 90 مليون دولار. ما بدأ خلافًا تقنيًا حول سلامة الأجهزة تحول إلى أكثر شجار عام ظاهر في القطاع، وتحسم معركته في منشورات مكشوفة لا في تقرير حادثة تقني.

وكان Karpelès نفسه من كشف التهديد. فأثناء فتحه جهاز Ledger مغلقًا بالكامل، عثر داخل عليه على لوحة إلكترونية خفية مزروعة. تستطيع هذه الزرعة التقاط مفتاح الاسترداد الخاص بمحفظة Ledger المكوَّن من 24 كلمة وإرساله إلى مجرمي الإنترنت، وتمنح هذه العبارة صاحبها تحكمًا كاملًا بكل الأموال التي يحميها الجهاز. فالسر الواحد يكفي لاستعادة المحفظة في أي مكان، ولهذا يتيح التقاطها تفريغ الحسابات دون أي حركة على السلسلة يستطيع الضحية إيقافها. يرى Karpelès اليوم أن Ledger كانت تعرف زرعات بهذا المستوى من التطور قبل أشهر من تراكم الخسائر. ويستشهد بدليل أمني نُشر على موقع الشركة نفسه بتاريخ 6 مارس، يعرض رقاقات تجسس مصنوعة يدويًا وأخرى منتجة بكميات كبيرة. ثم جرى تحديث هذا الدليل في سبتمبر، وهو ما يترك سؤال تاريخ ظهور الصور الفعلي مفتوحًا. والأدق أن Ledger تعترف بأن فحص Genuine Check لديها، وهو الإجراء المفترض تأكيد أن الجهاز يُشحن أصليًا وغير معدل، لا يستطيع كشف زرعة إذا بقي شريك الأمني الأصلي سليمًا.

دافع Gauthier في البداية عن استجابة Ledger في منشور علني، طالب فيه Karpelès بالالتزام بالحقائق. ثم انتقل إلى الخطاب الشخصي، وكتب في منشور على X: "من الرئيس التنفيذي لـ Mt. Gox... كفى يا رجل، أنت لست فارسًا أبيض. عقل بديهتك". واستندت هذه الطلقة إلى انهيار Mt. Gox عام 2014، حين اختفى ما يقارب 850 ألف بيتكوين في عهد Karpelès. فرد Karpelès بأن خبرته تلك هي بالضبط سبب تطلعه إلى معايير أعلى من هذه الصناعة.

@_pgauthier · منشور على X

استجابة Ledger.

عرض على X

توقف الموزعين وتقارير عبث أوروبية

يندلع الخلاف بينما جانب التوزيع في هذا العمل يمر بتصحيح أصلًا. فقد أوقفت Ledger مبيعات الموزعين عبر CryptoBilis، وأسقطت شريكًا معروفًا من قناتها بعد نتائج فحص الزرعات. وتقارير عن أجهزة معدلة ظهرت في أوروبا وسّعت دائرة القلق من جهاز واحد أو سوق واحد. وقد تحركت المنافسة Trezor بالفعل لتقليص شبكة موزعيها، خطوة تتعامل مع المشكلة بوصفها صناعية واسعة لا خاصة بصانع واحد.

ويمثل النزاع نقطة ضعف ملموسة لحائزي المحفظة الباردة الذين يبقون أرصدتهم الكبيرة دون اتصال: حتى الجهاز الأصلي لا يضمن أن الوحدة التي وصلت إليهم لم تُعدَّل قبل البيع. لم يعد الصندوق المغلق يقرأ دليلًا على السلامة، ولم تصبح محفظة العملات المشفرة المشتراة عبر طرف ثالث تحمل اليوم سؤالًا لم تكن تحمله قبل شهر. وحتى الآن جاءت الاستجابة إجرائية: يقلص الصانعان عدد الأيدي التي تمر عبرها الوحدة، ويراجع بعض الحائزين بدائل مثل محفظة Cypherock X1. لم تنشر أي من الشركتين طريقة كشف تعثر زرعة عند ترك الشريحة الأصلية دون مساس، ولم يفصح أي منهما عن عدد الوحدات المتأثرة التي وصلت إلى العملاء.

يزيد التوقيت من الضغط. فتحديث سبتمبر لدليل الشركة الأمني يعني أن مشتريًا يبحث عن المخاطر قبل الشراء ربما قرأ صفحة معدلة سلفًا، دون ملاحظة علنية تشرح ما تغير أو متى. ويشتري الموزعون عادة المخزون بكميات كبيرة ويحركونه عبر منافذ بيع محلية، وهو المسار نفسه الذي مرت به تقارير العبث الأوروبية، وهي البنية التي يقلصها الصانعان الآن. لم تقل Ledger ما إذا كان مخزون CryptoBilis متأثرًا، ولم ترتبط أي حالة أوروبية بشحنة محددة.

اعتراف Ledger نفسه يرسم الحدود

تقل أهمية الشجار بقدر ما قاله الرجلان في السجل العام. فمنشورات Gauthier هي الرد العلني الأصرح من الشركة حتى اليوم، واعتراف Ledger بشأن Genuine Check يرسم حافة صلبة: الزرعة التي تترك شريحة الأمن الأصلية دون مساس تجتاز التحقق. ودليل 6 مارس، الصادر عن Ledger ذاتها، هو الوثيقة التي تستند إليها حجة Karpelès حول المعرفة المسبقة. وتستهدف المعالجة حتى الآن التوزيع لا الكشف، عبر تقليص الموزعين عند الصانعين. وتبقى ثلاثة أمور معلقة: مسار كشف فعلي، وعدد معلن للوحدات المتأثرة، وتوضيح تاريخ إضافة صور رقاقات التجسس إلى الدليل. وحتى توفر هذه العناصر، يبقى المشتري متمسكًا فقط بضمان الصانعين بأن أجهزة القناة المباشرة نظيفة.