Ledger تحقق في سرقة بيتكوين (BTC) بقيمة 86 مليون دولار مرتبطة بموزّعها CryptoBilis

Ledger توقف موزّعًا معتمدًا

فتحت شركة المحافظ المادية Ledger تحقيقًا في سرقة ما يقارب 86 مليون دولار من العملات الرقمية، وهي الأموال التي خُسرت من أجهزة بيعها موزّع معتمد للشركة في جنوب شرق آسيا هو CryptoBilis. وأعلنت الشركة الجمعة عبر حسابها الرسمي للدعم على منصة X أنها طلبت من CryptoBilis تعليق جميع عمليات البيع والشحن لمنتجات Ledger إلى أن يكتمل التحقيق. وطلبت الشركة من العملاء الذين اشتروا أجهزتهم من هذا الموزّع خلال آخر 90 يومًا عدم تهيئة الأجهزة، فيما نصحت من فعّلوا أجهزتهم مسبقًا بنقل أصولهم إلى موقّع Ledger جديد بعبارة استرجاع تُنشأ من الصفر. وقالت Ledger في بيانها إن الحادثة تبدو معزولة عن الموزّع وسوقه، وأنها لم تتلقَّ أي تقارير تتعلق بأجهزة اشتُريت مباشرة منها، وأن بنيتها التحتية وأنظمتها وخدماتها لم تتعرض لاختراق. وكانت المحافظ المُصرَّف منها تحمل البيتكوين (BTC) وإيثريم وترون، وتضع تقديرات باحثي بيانات السلسلة، المرجَّحة بأسعار البيتكوين، إجمالي الخسائر عند أكثر من 86 مليون دولار.

@Ledger_Support · منشور على X

منصة X.

عرض على X

المحققون يتتبعون تدفقات من مئات المحافظ

تحرك باحثو بيانات السلسلة قبل الشركة نفسها. فالمحقق الذي يعمل باسم مستعار، Specter، كتب على منصة X أن شكاوى من محفظات مُصرَّفها ظهرت على X وReddit بين مستخدمي Ledger، وأن تتبع العناوين المشتبه بها أظهر وصول ودائع من مئات محافظ الضحايا على شبكات البيتكوين وإيثريم وترون، بما يتجاوز 86 مليون دولار مجتمعة. وحدد الباحث tanuki42 ثمانية عناوين يُزعم أنها مرتبطة بخسائر تتجاوز 72 مليون دولار. ومنظمة الأمن الرقمي SEAL ضخّمت هذه النتائج وحثت أي شخص تحوّلت أمواله إلى العناوين المعلَّمة على التواصل مع فريق الاستجابة للحوادث لديها. ولم تؤكد Ledger أيًّا من التقديرين، ولم تحدد سببًا للحادثة، ولم تذكر ما إذا كانت الأجهزة نفسها قد اعتُرِض لها. ويبقى ما إذا كانت الحالات الفردية تتقاسم آلية واحدة غير مؤكد، غير أن كل تقرير حتى الآن يمر عبر قناة واحدة مشتركة، وهي موزّع واحد.

@SpecterAnalyst · منشور على X

منصة X.

عرض على X

داخل CryptoBilis ونظرية سلسلة التوريد

متجر CryptoBilis متجر إلكتروني مقره كوالالمبور، أُطلق في ديسمبر 2020 على يد Arravind Prabu وVimal Selvamany وDhivager Rathakrishnan عبر شركتهم Fetch International. وقد أعلن المتجر عام 2021 أنه أصبح موزّعًا معتمدًا لصانع المحافظ المقار في باريس، وهو مدرج كبائع معتمد لإندونيسيا وماليزيا والفلبين. ويصفه موقعه الرسمي بأنه علامة ويب 3 موثوقة في جنوب شرق آسيا تبيع محافظ Tangem وSafePal وOneKey وTrezor إلى جانب أجهزة Ledger. والنظرية الأرجح لتفسير السرقات هي هجوم على سلسلة التوريد، يُعتَرَض فيه للجهاز بحيث تصبح عبارة الاسترجاع المبرمجة داخله معروفة للمهاجم قبل أن يفتح المشتري العلبة، وبمجرد وصول الأموال إلى المحفظة يمكن سحبها. وقد وثّق الباحثون هذه الطريقة عام 2023 عبر جهاز Trezor Model T معدَّل استُبدلت فيه الشريحة الرئيسية، وبرمج برمجيته لتمنح المستخدمين إحدى 20 عبارة معروفة للمهاجمين، الذين انتظروا نحو شهر قبل إفراغها. كما أشار Mark Karpelès، المدير التنفيذي السابق لمنصة Mt. Gox، إلى ادعاءات بأن أجهزة Ledger المبيعة من موزّعين زُرعت فيها برمجيات تجسس مصممة لسرقة مفاتيح المرور. ولم يؤكد أي من هذه الآليات في القضية الراهنة.

فترة صعبة لأمن المحافظ المادية

تأتي هذه الحادثة في أصعب مرحلة شهدتها القطاع في الذاكرة الأخيرة. ففي يوليو، سرق قراصنة ما يقارب 120 مليون دولار من البيتكوين من مستخدمي Coldcard بعد خلل في البرنامج الثابت لأجهزة من إنتاج Coinkite أدى إلى توليد بذور معيبة كان المهاجمون قادرين على تخمينها فعليًا، وقالت Galaxy Research لاحقًا إن عدة مهاجمين استغلوا الثغرة بشكل مستقل. وفي الشهر الماضي، أفصحت Trezor عن تسرب بيانات نحو 81,000 عميل عبر شريك خارجي يتولى التنفيذ. وسجلت Ledger نفسها حادثة في يناير سرى فيها معالج المدفوعات لديها، Global-e، بيانات عملاء أُعيد استخدامها في رسائل تصيّد. وليس الجميع يقبلون بوصف القضية الحالية ثغرة يوم صفر في الجهاز: فقد حذر الباحثة الأمنية Taylor Monahan من أن حسابات تعمل على تضخيم تقارير التصريف تدفع الناس نحو تحركات ذعر، وأن عمليات البحث عن الهجرة تفتح الباب لصفحات تصيّد وإعلانات مزيفة وتطبيقات مقلدة. ويزيد هذا التدقيق الضغط على Ledger التي تخلّت في مايو عن طرح عام أولي مخطط له في الولايات المتحدة بقيمة 4 مليارات دولار بحجة ظروف السوق السيئة.

القناة لا الشريحة

قراءتنا للأدلة حتى الآن تقول إن الحلقة الضعيفة تقع في قناة التجزئة لا في الجهاز نفسه: فكل تقرير مؤكد يتعلق بوحدات اشتُريت عبر CryptoBilis، في حين لم يقدّم المشترون مباشرة من Ledger أي شكوى. ومع ذلك يظل ذلك ضربًا من ضرب الوعيد الأساسي لـالمحفظة الباردة، لأن الوحدة المعتَرَض لها تبدو مطابقة تمامًا لوحدة مغلقة على رف المتجر. وحتى يسمّي التحقيق آلية محددة، تبقى الخطوات العملية كما هي: التريث قبل تهيئة الأجهزة المشتراة حديثًا، وترحيل المحفظات المفعّلة إلى موقّع جديد ببذرة حديثة، والشراء عبر القنوات الرسمية فقط، مع تطبيق نفس الحذر المتبع عند مقارنة أفضل منصات تداول العملات الرقمية. وإجمالي الخسائر، الذي تجاوز 86 مليون دولار، قد يواصل الارتفاع مع ظهور المزيد من الضحايا.