سارق غرسة Ledger يمسح أكثر من 60 بيتكوين (BTC) من مشغّل احتيال المهام

مسح 60 بيتكوين من ثلاث محافظ باردة

تفرّغت ثلاثة عناوين تخزين بارد على أجهزة Ledger كانت تحمل أكثر من 60 بيتكوين، بقيمة تقارب 4.8 مليون دولار عند مستويات سعر البيتكوين (BTC) السائدة، عبر تحويلات مفردة يوم الجمعة 9 أكتوبر، وحددت شركة تحليلات السلسلة Chainalysis مالكها بوصفه مشغّل احتيال المهام. في منشور مفصل على منصة X نُشر مساء 15 أكتوبر، تضع Chainalysis هذه الضحية بين أثقل الخسائر الفردية في قضية سرقة غرسة أجهزة Ledger، وهي نتيجة تربط خيطين إجراميين، عائدات الاحتيال والعبث بالأجهزة، في مسار عملات واحد لأول مرة. القضية الأوسع معروفة علناً منذ أن بدأت الأجهزة المفبركة تجفيف محافظ ملاكها في جنوب شرق آسيا، لكن هذا التحديث هو الأول الذي يكشف عملات من تشكّلت واحدة من أكبر الخسائر الفردية. وسار الاحتيال وفق سيناريو مألوف بنهاية أبرد: جُنّد أشخاص بدفعات مالية مقابل تزييف مبيعات ومراجعات لمنتجات حقيقية، ثم وُجهوا إلى رصيد سالب لا يمكن تصفيته إلا بإيداع أموالهم الخاصة لتحرير أرباح مفترضة. نُقلت العائدات المستخرجة بهذه الطريقة في 22 سبتمبر إلى ثلاثة عناوين Ledger مميزة، حيث بقيت في التخزين البارد سبعة عشر يوماً، في احتفاظ قسري بالعملات أشبه بعمليات HODL غير الطوعية، وانتهى بمسح شامل. ثم جفّف المهاجم المحافظ الثلاث بتحويل واحد لكل منها إلى محفظة الوجهة نفسها المرصودة سلفاً لحمل أموال مسروقة، وهو تجميع يضع الغنيمة إلى جانب عناقيد الحيتان الرقمية الخاضعة للمراقبة على السلسلة. وعند متوسط قريب من 80,000 دولار للعملة، تُعد خسارة هذه الضحية الواحدة من أكبر المبالغ الفردية المنسوبة في القضية حتى الآن. العناوين وتوقيت التحويلات والوجهة المشتركة قابلة للتحقق على البلوكتشين؛ ولم تُنشر هوية الضحية، ويظل منشور التحليلات هو السجل العام الأولي للربط.

غرسة تجسس، وCryptoBilis، والحصيلة الجارية

يشرح حساب الحادثة الرسمي لشركة Ledger كيف تسربت المفاتيح من الأجهزة أصلاً. إذ يصف رد الشركة على مدونتها مجموعة إجرامية اشترت محافظ أجهزة أصلية، فتحتها وركّبت مكوّنات خفية صُممت لالتقاط مفتاح استرداد Ledger المؤلف من 24 كلمة لحظة تهيئة الملاك للأجهزة، ثم أعادت دفع المخزون المفبرك إلى التداول عبر موزعين في جنوب شرق آسيا. والوعد الجوهري لمثل هذا الجهاز هو أن العبارة السرية لا تغادر بيئتها الآمنة أبداً، والغرسة تُبطل ذلك تحديداً إذ تقرأ العبارة في لحظة توليدها، قبل أن يتمكن المالك من التحقق من أي شيء. وتؤكد الشركة أن رقائقها ونظام تشغيلها وخوادمها لم تُخترق، وهو ما يضع الخلل كله في سلسلة إعادة البيع لا في بنيتها التحتية الخاصة. كما تؤكد الفحوصات المستقلة للأجهزة المستردة قدرة الغرسة على إرسال العبارة كاملة عبر شبكة الجوال، بواسطة LTE أو شريحة eSIM، بحيث حتى جلسة تهيئة دون اتصال بالإنترنت ما كانت ستوقف التسريب. وكل خسارة مؤكدة حتى الآن تُرجع إلى أجهزة بيعها الموزع CryptoBilis. أما عن حجم القضية، فلم تنشر Ledger بعد إجمالاً رسمياً. ويرتفع العدّ الجاري على السلسلة إلى نحو 102 مليون دولار عبر 324 محفظة على ست شبكات، منها البيتكوين، بارتفاع عن تقديرات تراوحت سابقاً بين 93.2 و94.5 مليون دولار خلال الحادثة. وفي تطبيق مرافق، جمّدت Tether نحو 10 ملايين دولار من USDT المرتبطة بالقضية. وتعود الفجوة بين الأرقام الأقدم والأحدث إلى عناوين حديثة التحديد أُضيفت إلى المجموعة المتعقبة، وجميع هذه الإجماليات تقديرات على السلسلة لم تؤكدها الشركة بعد.

التقاط أثناء التهيئة لا اختراقاً للسلسلة

الفجوة الزمنية، سبعة عشر يوماً بين الإيداع والمسح، هي التفصيلة الحاسمة في قراءة هذه القضية. فالعملات التي دخلت التخزين البارد في 22 سبتمبر جُفّفت في 9 أكتوبر، وهو اليوم نفسه الذي أنتجت فيه قضية الغرسة تدفقاتها الخارجة الجماعية، وهو ما يشير إلى مفتاح التقُط أثناء تهيئة الجهاز لا إلى أي كسر في البروتوكول ذاته. لم تكن هذه هجوماً بالإعادة ولا إخفاقاً تشفيرياً؛ بل قُرئت العبارة السرية حيث وُلدت. ومتى جرى استخراج مفتاح الاسترداد، يفقد التخزين البارد قيمته تماماً، لأن المهاجم يوقّع المعاملات بالمفاتيح نفسها ولا يحتاج إلى الجهاز أصلاً. وينبثق العلاج من هذا السبب الجذري مباشرة: كل من اشترى جهازاً عبر قناة الموزع المتأثرة عليه أن يتعامل مع التهيئة بوصفها مُفسَدة، وأن ينقل أمواله فوراً إلى مفاتيح مولّدة حديثاً. أما نقطة الاختراق نفسها فتبقى مفتوحة من جهتين: أكدت Ledger وجود الغرسة، ولم تنشر بعد إجمالاً رسمياً لحجم الخسائر.