Trezor تلغي تراخيص عدد من الموزعين المعتمدين ابتداءً من 1 يناير 2027 بعد حوادث سلسلة التوريد

Trezor تضيّق شبكة الموزعين المعتمدين

تعمل شركة Trezor على تقليص عدد الموزعين المعتمدين لبيع محافظها المادية، في خطوة أعلنتها على منصة X يوم الثلاثاء ووصفتها بأنها إجراء وقائي جاء ردًا على "حوادث حديثة في سلسلة التوريد". لم يكشف الإعلان، الذي جاء بعد أربعة أيام من إعلان الشركة المنافسة Ledger فتح تحقيق في محافظ استُنزفت أموالها، عن عدد الشركاء الذين سيُسحب ترخيصهم، ولا عن أسمائهم، ولم يضع تاريخًا محددًا في نصه. وقد أوردت Trezor حجتها بوضوح: كلما صغرت شبكة البيع، سهل عليها "فحص من نتعامل معهم بفاعلية أكبر". وشددت الشركة على أن عتادها ذاته لم يتأثر، قائلة إنها لا ترى "أي دليل واحد" على اختراق أي جهاز Trezor، ووصفت التقليص بأنه "خطوة وقائية اتُّخذت من باب الوفرة في الحذر"، وشكرت الشركاء المنسحبين على "سنوات من العمل أدت إلى وصول محافظ Trezor إلى أيدي الناس". غير أن الإعلان ترك دون إجابة الأسئلة التي سيطرحها القراء أولًا: كم وسيطًا سيخسر صلاحيته، وفي أي الدول، ووفق أي جدول زمني. وقد ظهرت هذه التفاصيل لاحقًا في خطاب منفصل موجّه إلى الموزعين المتأثرين، وفي رد نشرته الشركة قبل يوم واحد من الإعلان.

@Trezor · منشور على X

أعلنتها على منصة X.

عرض على X

زرعة العتاد في قضية CryptoBilis

خلفية هذه الخطوة زرعة عتادية مادية تتبع مسار هجوم مباشرًا بشكل استثنائي. فقد أكدت Ledger أن أجهزة بيعها عبر CryptoBilis، وهو موزع يعمل في جنوب شرق آسيا، كانت تحمل رقاقة خفية. وبحسب التحديث الأمني الصادر عن فريق Ledger، فإن الزرعة تقرئ العبارة الاسترجاعية المؤلفة من 24 كلمة، أي السلسلة التي تعمل بوصفها المفتاح الخاص الرئيسي للمحفظة، من شاشة الجهاز أثناء الإعداد الأولي، ثم تنقلها عبر اتصال خلوي إلى خارج الجهاز. وحسب محللي بيانات السلسلة في Bitquery، فإن الخسائر المشتبه بها تتجاوز 93 مليون دولار، فيما تصل تقديرات جهات تتبع أخرى إلى ما يفوق 103 ملايين دولار، دون أن تعلن Ledger عن إجمالي مؤكد. وكل حالة أكدتها الشركة تعود إلى CryptoBilis، وقد طلبت Ledger من الموزع في 9 أكتوبر إيقاف البيع والشحن لمعداته. وقالت الشركة لاحقًا إن جهاز أحد المستخدمين المتأثرين تضمن زرعة عتادية غير مصرح بها. كما ادعى مستخدمون وصول وحدات عبثت إليها إلى أوروبا أيضًا، وهو ادعاء لم تتحقق منه Ledger حتى الآن. وفضلاً عن تحقيقها الداخلي، دعت الشركة إلى معايير مشتركة لمكافحة العبث تشمل جميع صانعي المحافظ.

الموعد النهائي في 1 يناير 2027

تفاصيل آلية السحب أكثر تحديدًا مما جاء في منشور الثلاثاء. فقد أكدت Trezor في رد نشرته على منصة X يوم الاثنين أن CryptoBilis جرى استبعاده مسبقًا من قائمة موزعيها وأن البيع عبر هذا الوسيط توقف، مؤكدة عدم وجود "أي بلاغات عن عبث بمحافظ Trezor" مرتبط بهذه القناة. وفي خطاب أرسل إلى الموزعين المتأثرين، كتب المدير التجاري Danny Sanders إن صلاحياتهم تنتهي في 1 يناير 2027. وتوقفت شحنات المخزون الجديد إليهم بالفعل، مع جواز استمرارهم في بيع ما لديهم من مخزون خلال موسم الجمعة البيضاء والعطلات. ولم تكشف Trezor عن عدد الشركاء المتأثرين ولا عن المناطق المعنية، وقال Sanders إن كل دولة قُيّمت على حدة وفق الإيرادات وشبكة التوزيع ومدى حضور الشركة نفسها فيها. أما الشركاء الباقون فسيواجهون إطارًا قانونيًا محدثًا ورقابة أدق على مصادر الأجهزة وتخزينها ومناولتها. ولحذر الشركة سابقة داخلية أيضًا: ففي أغسطس أفصحت عن وصول غير مصرح به لدى مزوّد الشحن ShipMonk، ورفع تحديث صدر في سبتمبر عدد العملاء المتأثرين إلى 80,689 عميلًا، كما كشف اختراق منفصل في سبتمبر طال مزوّد البريد الإلكتروني Brevo ما نحو 347,000 عنوان بريدي لمجلة الشركة الاستهلاكية استخدمها المهاجمون لاحقًا في عمليات تصيّد. وفي الحالتين قالت Trezor إن محافظها وأنظمتها بقيت سليمة.

من الأجهزة إلى قنوات التوزيع

الوثائق الحاسمة في هذا الملف هي منشورات Trezor الذاتية ومدونة إفصاحاتها، وتشكل مجتمعة تحولًا في محيط الأمن من الجهاز إلى قناة البيع. فالزرعة التي تلتقط العبارة الاسترجاعية أثناء الإعداد تحطّم جوهر وعد التخزين البارد، ما يعني أن التهديدات الأمنية الماثلة للمحافظ المادية امتدت من البرمجيات الثابتة إلى الشحن والموزعين. وتقليص Trezor جاء متعمدًا بلا أرقام، ما يترك عبء الإثبات على الشركة ذاتها: نشر معايير فحص الشركاء المحتفظ بهم هو المقياس الحقيقي لما إذا كانت هذه العملية أكثر من شعار إعلامي. أما الاختراقان المتوازيان في ShipMonk وBrevo، والذي طال بيانات العملاء لا الأجهزة، فيريان أن مخاطر الموردين تمتد إلى ما هو أبعد من نقطة البيع. ويبقى نداء Ledger بمعايير مشتركة لمكافحة العبث سؤالًا معلقًا، إذ لم يوقع أي صانع محافظ عليه حتى الآن.