Ledger تؤكد أن شريحة داخل محافظ CryptoBilis سرقت عبارات الاسترداد المكوّنة من 24 كلمة

Ledger تشرح آلية الشريحة القارئة للشاشة

أكدت Ledger كيف نجح مكوّن غير مصرح به، مخبّأ داخل محافظ الأجهزة المتأثرة، في سرقة عبارات الاسترداد. وفي تحديث نشرته يوم الثلاثاء 13 أكتوبر، وصف فريق Donjon للأمن التابع للشركة قطعة غير معتمدة تجلس داخل الهيكل وتقرأ البيانات الظاهرة على الشاشة. فحين يقوم المشتري بتهيئة الجهاز، تعرض الشاشة عبارة الاسترداد المكوّنة من 24 كلمة، فيقوم متحكم دقيق مدمج بفك رموز تلك الكلمات وإرسالها عبر اتصال خلوي من طراز LTE باستخدام شريحة eSIM مهيأة سلفًا. يترك هذا الإضافة الطرف السلسلة، أي الشريحة التي تحفظ المفاتيح الخاصة، ونظام تشغيل الجهاز دون مساس، وهو لا يعدّل المعاملات ولا التواقيع الرقمية. وربطت Ledger كل خسارة مالية مؤكدة من إفصاح الجمعة 9 أكتوبر بأجهزة بيعها CryptoBilis، وهي شركة إعادة بيع تعمل في جنوب شرق آسيا، وقالت إنها لم تتحقق من أي تصريف أموال مرتبط بموقّع اشترى من قناة أخرى. ولم تحدد الشركة عدد المستخدمين المتأثرين ولا الحجم الإجمالي للخسائر، مشيرة إلى أن الأرقام المتداولة على الإنترنت مصدرها أطراف ثالثة.

الآثار تمتد عبر سلسلة التوزيع

لم تعد النتائج محصورة في الوحدات المعبث بها ذاتها. فمحققو البلوكتشين نشرا تقديرات للخسائر تتجاوز 86 مليون دولار، وبعض التحليلات تتجاوز 90 مليون دولار، غير أن Ledger لم تتحقق من أي من هذه المجاميع، وظل عدّها للحالات مفتوحًا. وتقول الشركة إنها تتعاون مع السلطات وتتواصل مع المستخدمين المتأثرين، ولديها أي مؤشر على اختراق بنيتها التحتية أو أنظمتها أو قنوات البيع المباشر. وكتب المدير التنفيذي Pascal Gauthier أن التحقيق ما يزال يحاول تحديد هوية من عبثوا بالموقّعات والموضع الذي وقع فيه ذلك في سلسلة التوزيع، معتبرًا أن العبث المادي بسلسلة التوريد يمثل خطرًا على القطاع بأكمله. وتغير أيضًا موقع الموزّعة من قائمة الشركاء: فشركة OneKey، وهي صانعة محافظ أخرى، سحبت ترخيص إعادة البيع من CryptoBilis يوم 13 أكتوبر. وفي بيان نشر عبر LinkedIn، نفى المؤسسان السابقان لـCryptoBilis، Vimalatheethan وArravind Prabu، أي صلة بالحادثة، قائلين إن تغيير ملكية الشركة في مارس وضعها خارج سيطرتهما. وفي المقابل، شكك المؤسس المشارك لـBinance Changpeng Zhao في أجزاء من التغطية، مضيفًا احتمال أن يكون مخترقون قد استولوا على CryptoBilis واستخدموا اتفاقية عدم إفصاح لإبقائها صامتة.

Tibane Labs وتوجيهات المشترين

غطت التعليمات الصادرة عن Ledger فئتين من المشترين. فمن اشترى جهازًا من CryptoBilis ولم يهيئه بعد، طُلب إليه ترك الجهاز كما هو والتواصل مع الدعم الفني أولًا. أما من أنهى التهيئة فعليه نقل أصوله إلى موقّع جديد بعبارة استرداد مولّدة حديثًا؛ لأن نقل الأموال إلى عنوان آخر مشتق من العبارة نفسها يبقي وصول المهاجم قائمًا، وهو تمييز تفصّله قاعدة معلوماتنا حول التخزين الآمن لعبارات البذور. ونشرت Ledger كذلك تعليمات لفتح الجهاز وفحص داخله، محذرة من أن التفكيك قد يتلف العتاد، وقالت إن فريق Donjon سيفحص الأجهزة التي تصله وسيشارك نتائج إضافية. وينبغي لمالك الوحدة المشتبه بها أن يتحدث مع دعم Ledger أو الشرطة قبل شحن الجهاز إلى أي مكان. ويجب تسجيل نتيجة سابقة في الملف: فقد أبلغ فريق التحقيق المستقل Tibane Labs من قبل عن التصميم ذاته القارئ للشاشة في جهاز Ledger Nano X اشترى خارج قناة CryptoBilis، رغم أنه لم يستطع ربط ذلك الجهاز بالخسائر المؤكدة. وتوقفت CryptoBilis عن بيع أجهزة Ledger إلى حين انتهاء التحقيق. وينطلق نموذج الحماية في محفظة العملات الرقمية من بقاء العبارة داخل الجهاز قطعًا، ولذلك كانت لحظة التهيئة، لا التوقيع اليومي، هي لحظة التعرض للاختراق.

سجل مؤكد ضيق

ما يلفت النظر في السجل الموثق هو ضيقه لا يزال: جهاز واحد فحص فعليًا وعُثر فيه على الشريحة، وقناة بيع واحدة، وعدد حالات لم تُبرم Ledger بعد. فالمجاميع المستقلة التي تتجاوز 86 مليون دولار تستند إلى تجميع العناوين، وهو أسلوب قد يتغير كلما أعاد المحللون نسبة التحويلات، ولذلك ينبغي أن يرافق أي رقم منهجية وطابع زمني واضحان. كما يعيد هذا النمط رسم حدًا افترض كثير من المشترين أنه مغلق: فالشريحة تقع خارج الطرف السلسلة وخارج كل فحص أصالة يغطي البرنامج الثابت، ما جعل العبارة مكشوفة في لحظة ظهورها على الشاشة تحديدًا. والتشكيك في الأرقام غير الموثقة مبرر، لكنه يتحول إلى حالة FUD حين يخلط بين الحالات المؤكدة والتقديرات. أما الإفصاحان اللذان يستحقان المتابعة فهما نطاقات التسلسل الموثقة والتقرير الجنائي الكامل.