Tzor يحذر مشتري CryptoBilis منذ مارس 2026 بعد تقرير غرسة في جهاز Safe 5

غرسة مشتبه بها تقرأ العبارة الاستعادية لجهاز Safe 5

أكدت شركة Trezor ورود بلاغ عن مكوّن إلكتروني خبيث مشتبه به داخل جهاز محفظة باردة من طراز Safe 5، جرى شراؤه عبر منصة التجارة الإلكترونية Tokopedia من وكيل سابق معتمد هو CryptoBilis. وقد نشرت الشركة تأكيدها في تدوينة رسمية على مدونتها، بعد أن أطلق مستخدم إندونيسي صوت الإنذار عبر قناة الإفصاح عن الثغرات لدى الشركة يوم الأربعاء 28 أكتوبر 2026، واصفًا جهازًا اشتراه في أغسطس 2026. وفق الإفصاح، رُكّبت لوحة إلكترونية إضافية بين اللوحة الأم وشاشة العرض، مزوّدة بوحدة اتصالات خلوي وهوائي. ويمرّ مسار الهجوم المشتبه به عبر الإعداد الأول للجهاز: حين تعرض الشاشة العبارة الاستعادية التي تدعم النسخ الاحتياطي للمحفظة ومفاتيحها الخاصة، ستقرأ الغرسة محتوى الشاشة وتمرر النص إلى المهاجم عبر شبكة الهاتف المحمول. فتسريب العبارة كاملة يكفي لإعادة بناء المحفظة على عتاد آخر والسيطرة على الأصول بالكامل.

وتشدد Trezor على أن هذه التفاصيل تستند إلى صور المُبلّغ وشرحه ومقابلة مصوّرة معه، ولم تُثبت بعد في مختبرها. وحتى يوم الأحد 1 نوفمبر، ما زالت التحليلات الجنائية على الجهاز المشتبه به غير مكتملة، ولم تُسجل أي أصول مسروقة مرتبطة به حتى الآن. وعلى الرغم من ذلك، يغطي التحذير كل من اشترى جهاز Trezor من CryptoBilis منذ مارس 2026: على هؤلاء نقل ممتلكاتهم إلى محفظة مبنية على عبارة استعادية جديدة تمامًا، وتعرض الشركة جهازًا بديلًا مجانيًا أو قسيمة شراء. والقاعدة صارمة: يجب ألا يُحمَّل الجهاز الجديد بالعبارة القديمة أبدًا، بل تُنقل الأموال إلى عنوان محفظة جديد كليًا، أما الأجهزة الواردة من القناة ذاتها ولم تُهيأ بعد فلا يجوز إعدادها أساسًا. وتنصح الشركة مستخدميها أيضًا بعدم فتح الأجهزة أو وزنها، لأن فروق الوزن دقيقة أكثر من أن تكشف العبث بشكل موثوق.

قناة CryptoBilis واجهت Ledger قبل Trezor

كانت CryptoBilis تقع في قلب ملف مزوّد مؤكد سابقًا على مستوى سلسلة التوريد، قبل أن تصلت Trezor بلاغها الخاص بها. فقد كانت الشركة وكيلًا معتمدًا لكل من Ledger وTrezor في أسواق جنوب شرق آسيا، وفي أكتوبر 2026 انهارت هذه الترتيبات عبر العلامات جميعًا. بدأت Ledger التحقيق في سرقات أجهزة بيعت عبر القناة يوم الجمعة 9 أكتوبر، وأكدت لاحقًا أن بعض الوحدات الأصلية حملت غرسات عتادية غير مصرح بها. وقد قدم محللو البيانات على السلسلة تقديرات مبكرة تخوض الخسائر في سرقات سلسلة التوريد المرتبطة بـ Ledger فوق 86 مليون دولار، غير أن Ledger لم تؤكد ذلك الرقم بوصفه إجمالًا نهائيًا. أما Trezor فأنهت تفويض وكالة CryptoBilis في اليوم نفسه، 9 أكتوبر، قبل ظهور أي دليل على جهاز Trezor معدل، كما أنهت OneKey تعاونها مع الوكيل، مع وقف الموافقات الجديدة وتقديم ترتيبات استبدال. وفحصت Trezor حتى الآن أربعة أجهزة بيعت عبر القناة: جهاز Safe 7 واحد وجهازا Safe 5 وجهاز Safe 3 واحد، ولم تجد في أي منها أثرًا لتعديل مادي. غير أن تلك الأربعة لا تشمل جهاز Safe 5 المُبلّغ عنه في 28 أكتوبر، والذي ترتب الشركة إرساله إلى مختبر للتحقق من وجود الدائرة الإضافية وقدرتها على التقاط العبارة الاستعادية. ولم يُعلن موعد للتقرير التحقيقي القادم. وقال المدير التجاري Danny Sanders إن الشركة تفضّل تحذير المستخدمين قبل اكتمال التحليلات الجنائية على الانتظار حتى يقع السرق فعلًا. وتؤكد Trezor عدم وجود خسائر مؤكدة بين عملاء CryptoBilis، وقد نقل المستخدم الإندونيسي أصوله بعيدًا قبل اكتشاف العتاد المشتبه به. ولأن Trezor تعمل بنموذج الحفظ الذاتي، لا يمكنها فحص أرصدة المستخدمين مباشرة، فلا تستطيع استبعاد خسائر لم تُبلّغ عنها بعد. وتحذر الشركة أيضًا من استغلال المهاجمين الحادثة عبر رسائل بريد إلكتروني وخطابات ومكالمات تصيد انتحال الدعم الرسمي لإيهام المستخدمين بتسليم عبارة استعادية.

يكشف الملف تحولًا في مكان الخطر داخل المحافظ العتادية. فقد تبقى خوارزميات المفتاح الخاص والمعالجات الآمنة والبرمجية الثابتة سليمة جميعًا، بينما تجمع غرسة مادية الأسرار لحظة الإعداد، ولا تمنع العبوة المصنعية ولا الأختام ولا التحقق من البرمجية الثابتة وحدها العبث قبل التسليم. ويُعد خيار Trezor الدفع للترحيل قبل اكتمال التحقيق جنائي خطوة غير معهودة في غياب خسارة مؤكدة، لكن الغرسات المؤكدة لدى Ledger عبر القناة نفسها تمنح التحذير أساسًا ملموسًا، وستغذي بدورها الفوضى والقلق في قطاع المحافظ الباردة بأكمله. ويبقى سؤالان بلا إجابة: لا يوجد دليل بعد على أن غرسات Ledger وTrezor صدرتا عن المهاجم ذاته، ولم يُحدد نقطة في سلسلة اللوجستيات أو البيع وقع عندها التعديل. ولا نقطة تفتيش واحدة في تلك السلسلة أُثبتت حيث يمكن قطع الهجوم حتى الآن.