تسريبات بيانات Trezor تتسع بنحو 67,000 عميل إضافي لمحافظ Bitcoin (BTC)

ShipMonk احتفظت ببيانات وعدت بحذفها

أكبر ما يقلق مستخدم محفظة الأجهزة أن بياناته الشخصية تتداول في مكان ما، وهذا ما تحوّل مع شركة Trezor، المصنّعة التشيكية لمحافظ Bitcoin (BTC) العتادية، من تحذير صغير في أغسطس إلى أزمة أوسع بكثير. فقد أكدت الشركة، في بيان رسمي نشرته على X مساء الجمعة، أن عدد العملاء المتأثرين بتسريب البيانات المعلن عنه لأول مرة في أغسطس يفوق التقديرات الأولية بنسبة كبيرة، إذ إن ما لا يقل عن 67,000 عميل إضافي في الولايات المتحدة تعرضت معلوماتهم الشخصية للانكشاف، تشمل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن وأرقام الطلبات. ويعود كل سجل من السجلات الجديدة المتأثرة إلى طلبات تمت في الفترة الممتدة من نوفمبر 2019 إلى أغسطس 2021.

رسمي نشرته على Xhttps://x.com/Trezor/status/2095807665603584085?ref_src=twsrc%5Etfw

هذا التحديث يوسّع نطاق الحادثة بشكل حاد مقارنة بالإفصاح الأول: فإفصاح أغسطس شمل 11,742 عميلاً موزعين على الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال، فيما شاهد 1,947 مستخدماً آخرين شريحة أضيق من بياناتهم تتسرب، اقتصرت على الأسماء والمدن وعناوين البريد الإلكتروني. وبجمع الأرقام، تحسب الشركة اليوم أن أكثر من 80,000 عميل وقعوا داخل دائرة التسريب.

الجدير بالذكر أن الاختراق لم ينشأ من بنية Trezor التحتية نفسها. فالمصدر هو ShipMonk، الشريك الخارجي المسؤول عن التخزين والشحن الذي يدير لوجستيات الطلبات لصانع المحافظ، إذ تعرضت أنظمته التي تحتوي على بيانات العملاء لوصول غير مصرح به. لكن ما يضفي على تحديث الجمعة حدة خاصة هو أن Trezor تقول إن ShipMonk كانت تؤكد كتابياً، طوال العلاقة التجارية وبشكل متكرر، أن سجلات العملاء حُذفت وفق العقد وسياسة بيانات الشركة والمراسلات السابقة — تأكيدات ثبت للصانع التشيكي أنها لم تكن صحيحة. وأبلغت ShipMonk شركة Trezor بالنطاق الموسع للتسريب في 2 سبتمبر، وتقول Trezor إنها بعثت منذ ذلك الحين رسائل بريدية مباشرة إلى كل عميل متأثر. أما الشركة الأم، SatoshiLabs، فتجري تحقيقاً في الحادثة منذ الإفصاح الأول في أغسطس. ولا أي من الشركتين قد أوضحت للجمهور كيف أفلتَت السجلات المحتجَّزة من عملية الحذف المتفق عليها.

عبارات الاسترداد والأجهزة في أمان

حرصت Trezor على التأكيد بأن أنظمتها وأجهزتها ونسخ محافظ عملائها الاحتياطية لم تُمَس، أي أن مفاتيح خاصة أو عبارات استرداد لم تتسرب. والانكشاف هنا يخص بيانات الهوية واللوجستيات فقط، وهي بيانات لا تفتح أي طريق مباشر إلى الأموال. لكن الخطر العملي حقيقي ويتخذ شكل الهندسة الاجتماعية المستهدفة: فالمهاجم يحمل اسماً حقيقياً ورقم هاتف وعنوان منزل مرتبط بمشتريات عملات رقمية، وبذلك يستطيع صياغة رسائل تصيّد إلكتروني ونداءات دعم زائفة ورسائل احتيال أقنع بكثير من الرسائل المزعجة العامة. والتوصية الموجهة للمتأثرين لا تحتمل اللبس: لا تدخل أبداً نسخة المحفظة الاحتياطية أو عبارة الاسترداد في أي موقع، ولا تشاركها مع أي أحد مهما بدت الرغبة الشرعية.

هذه الحادثة تذكّر بنمط مألوف لدى مصنّعي محافظ الأجهزة، إذ تشكل قاعدة عملائهم أهدافاً عالية القيمة لسبب بسيط: هم يملكون أصولاً ذاتية الحفظ بشكل مؤكد. ففي 2020، تعرضت الشركة المنافسة Ledger لوصول غير مصرح به إلى قاعدة بياناتها التجارية والتسويقية، تسرّب منه أكثر من 1 مليون عنوان بريد إلكتروني وبيانات الاتصال الشخصية لنحو 10,000 عميل — تسريب غذّى سنوات من التصيّد الإلكتروني بل ومحاولات ابتزاز مادي. وحتى في هذا العام، أبلغ عملاء Ledger عن إشعارات جديدة من Global-e، شريكها في المدفوعات، بشأن اختراق منفصل لنظام سحابي شمل بيانات حساسة للعملاء. ويمتد هذا الخطر إلى المال التجزئي كله: المنصات التي تحتفظ بسجلات هوية العملاء، من مزودي الحفظ الذاتي إلى وسطاء مثل Robinhood وشركاء المدفوعات مثل PayPal، تحمل جميعها الانكشاف نفسه عبر احتفاظ الأطراف الثالثة بالبيانات. وأدوات الخصوصية مثل بروتوكول Mimblewimble قد تحمي النشاط على السلسلة، لكن لا بروتوكول يحمي عنوان شحن سلّمه المتجر عام 2020. والمبدأ ذاته الذي يبقي أجهزة ASIC mining وأجهزة التخزين البارد في أمان — الحيازة المادية — لا يفيد شيئاً أمام بيانات جالسة على خوادم متعاقد خارجي. يمكن للقراء الراغبين في متابعة السوق لحظيًا الاطلاع على أسعار السبوت والعقود الآجلة مباشرة عبر MEXC.

التصيّد الإلكتروني هو التهديد المقبول

قراءتنا في COINOTAG لتحليل Trezor بعد الحادثة أن هذا الفشل كان تعاقدياً لا تشفيرياً. فالبيان الرسمي يحدد السبب الجذري بوضوح: ShipMonk احتفظت بسجلات عملاء سبق أن وثّقت حذفها مراراً، ولم يظهر الانكشاف الأوسع إلا حين دقّت شركة المحافظ في تدقيق شريكها بدل الاكتفاء بالتأكيدات الكتابية. وخطوات المعالجة واضحة بالمقابل: إشعار مباشر بالبريد الإلكتروني لكل عميل متأثر وتحذيرات صريحة من مشاركة عبارات الاسترداد. أما لحاملي Bitcoin (BTC)، فالخطر الدائم لم يعد أمن الجهاز، بل الذيل الطويل لبيانات الهوية المخزنة على خوادم لوجستية تابعة لأطراف ثالثة، حيث التصيّد الإلكتروني — لا سرقة المفاتيح — هو ناقل الهجوم المتوقع تالياً.