تم العثور على محافظ Ledger المادية في جنوب شرق آسيا مُخترقة، وتم سرقة 102 مليون دولار

اكتشف عملاء في جنوب شرق آسيا في أوائل أكتوبر أن العملات المشفرة قد اختفت من محافظ Ledger المادية التي ظلت تبدو تعمل بشكل طبيعي. قام العملاء بشراء الأجهزة من خلال CryptoBilis، وهو موزع معتمد يعمل في ماليزيا وإندونيسيا والفلبين. تأكدت Ledger من وجود زرع غير مصرح به في جهاز أحد العملاء المتأثرين في 10 أكتوبر. وبعد ثلاثة أيام، شرح فريق أمان Ledger أن الإلكترونيات المضافة نسخت كلمات الاسترداد البالغ عددها 24 أثناء الإعداد ونقلت هذه الكلمات عبر اتصال محمول. ظلت الشريحة المحمية ونظام التشغيل وتوقيعات المعاملات دون تغيير. وتقدر Bitquery أن المهاجمين سرقوا 102 مليون دولار من 324 محفظة عبر ست شبكات، على الرغم من أن Ledger لم تؤكد هذا المجموع أو أثبتت أن كل خسارة كانت مرتبطة بجهاز مزروع.

تحمي المحافظ المادية المفاتيح الخاصة المستخدمة للسماح بالمعاملات، بينما تبقى العملات المشفرة على شبكات البلوكشين. تقوم المحفظة بتوقيع المعاملة المعتمدة دون منح الكمبيوتر المتصل المفاتيح الخاصة. أثناء الإعداد، تعرض محفظة Ledger 24 كلمة استعادة يمكنها إعادة إنشاء المحفظة ومفاتيحها إذا فقد الجهاز. يُطلب من المالكين كتابة عبارة الاستعادة، والاحتفاظ بها خارج الإنترنت، وألا يشاركوها أبدًا. أي شخص يمتلك عبارة الاستعادة يمكنه استعادة نفس الحسابات على جهاز آخر دون أن يعترضه رمز PIN الخاص بالمحفظة الأصلية. قالت Ledger إن وحدة تحكم صغيرة قامت باعتراض المعلومات المرسلة إلى الشاشة، وأعادت بناء عبارة الاستعادة، ونقلت العبارة عبر LTE باستخدام بطاقة SIM مدمجة.

لم يكن من الضروري أن يُخترق الرقاقة المحمية أو أن يُخدع المالك لإدخال كلمات الاسترداد على موقع وهمي. فقد كان بإمكان المالك إكمال الإعداد والموافقة على المعاملات المشروعة بينما يحتفظ المهاجم بوصول مكافئ للأموال. يمكن لعبارة مرور إضافية اختيارية حماية الحسابات التي تم إنشاؤها باستخدام تلك العبارة، لكن كلمات الاسترداد وحدها كافية للحسابات العادية. يقوم فحص Ledger الأصلي بالتحقق من أن الجهاز يحتوي على عنصر آمن أصلي، وهو الرقاقة المسؤولة عن العمليات الأمنية الحساسة. يمكن لفحص الأصالة تحديد الرقاقة المزيفة، لكنه لا يمكنه فحص كل مكون أو إثبات أنه لم يُضاف أي شيء بعد التصنيع. تحذر وثائق أمان Ledger من أن التعديلات المادية قد تظل غير مكتشفة عندما تبقى الرقاقة الأصلية سليمة.

فحصت Tibane Labs أجهزة Ledger Nano X معدلة تحتوي على إلكترونيات تراقب الإشارات بين الرقاقة الآمنة والشاشة. وقد خبأ نموذج أكثر تطوراً لوحة مخصصة أسفل الشاشة مع الاحتفاظ بالبطارية الأصلية، مما منع الكشف عن التعديل من خلال الفحص العرضي. وكانت هذه النماذج منفصلة عن تحقيق CryptoBilis ولا تثبت أن نفس الأجهزة أو المهاجمين كانوا متورطين. لا تضمن الرقائق الأصلية، والتوقيعات الصحيحة، والعمل الطبيعي أن الجهاز بأكمله خالٍ من التلاعب.

يوصي Ledger بشراء الأجهزة من بائعين معتمدين، مما يجعل حالة CryptoBilis مسألة ثقة عبر سلسلة التوزيع بأكملها، وليس مجرد منتجات مزيفة. وقال Ledger في تحديث بتاريخ 15 أكتوبر إن المهاجمين اشتروا أجهزة أصلية على مدار عدة أشهر، وفتحوا الأجهزة، وثبتوا مكونات مخصصة، ثم أعادوا الأجهزة إلى سلسلة التوزيع عبر وكلاء في جنوب شرق آسيا. ووصف Ledger الحادثة بأنها هجوم على قناة التوزيع. وقال Ledger إن العينات التي تم فحصها في المستودعات والمتاجر لم تُظهر أي تلاعب. وقال Ledger إن الشركة طلبت من الوكلاء والموزعين المعتمدين في جنوب شرق آسيا وهونغ كونغ تعليق المبيعات. ويعمل Ledger على تعزيز الضوابط على المنتجات المرتجعة ويطالب البائعين بعدم عرض الأجهزة على الرفوف. وعلقت MediaMarktSaturn في ألمانيا مبيعات Ledger بعد تقرير عن جهاز مُعدل. واتخذت Trezor خطوات لتقليل شبكة وكلاء منافسها، رغم عدم العثور على أي دليل على أن منتجات Trezor قد تمت تغييرها.

وجد Bitquery أن 25 محفظة Tron وقّعت على نفس الموافقة خلال ثلاث ثوانٍ، وهو نمط يتماشى مع شخص يتحكم بالفعل في حسابات متعددة. لا يمكن للسجلات البلوكشين تحديد من فتح التغليف أو قام بتثبيت المكونات أو أعاد الجهاز إلى المتجر؛ تتطلب هذه الأسئلات فحوصات مادية وسجلات توزيع.

شراء أجهزة جديدة وإدخال كلمات الاسترداد القديمة البالغ عددها 24 يعيد إنشاء نفس الخطر، لأن العبارة القديمة تستعيد نفس المفاتيح. يجب نقل الأصول إلى حسابات تم إنشاؤها من عبارة استرداد جديدة على جهاز موثوق، باستخدام عناوين وتعليمات تم التحقق منها بعناية. أخبرت Ledger مشتري CryptoBilis بعدم تهيئة الأجهزة غير المستخدمة، ونصحت العملاء الذين أكملوا الإعداد بالفعل بنقل الأموال إلى مُوقّع جديد بعبارة جديدة. يجب على المالكين المتأثرين استخدام قنوات الدعم الرسمية، والحفاظ على الأدلة ذات الصلة المحتملة، وألا يعطوا أبدًا كلمات الاسترداد لأي شخص يدّعي مساعدته في استعادة الأموال. يُظهر هذا الحادث أن أمان المحافظ المادية يمتد عبر الشاشة والغلاف والتعبئة وسلسلة التوزيع حتى ظهور كلمات الاسترداد لأول مرة. إن التخزين الذاتي يلغي الحاجة إلى الثقة في البورصة لحفظ المفاتيح الخاصة، لكن المالكين لا يزالون بحاجة إلى الثقة في الجهاز الذي ينشئ ويعرض تلك المفاتيح.