أعلنت Ledger في 15 أكتوبر 2026 عن متطلبات أمان جديدة لتجارها المرخصين. سابقًا، قام المهاجمون بتثبيت مكونات إلكترونية مخفية في محافظ العملات المشفرة الأصلية، لسرقة عبارات الاستعادة الخاصة بالمستخدمين والوصول إلى أموالهم.
أفاد Ledger أن الشركة عززت قواعد البائعين المعتمدين بعد أن قام مجرمون بتعديل محفظة أصلية مادية لسرقة العملات المشفرة.
- تقوم قطع التثبيت المخفية بالتقاط عبارة استعادة المحفظة أثناء عملية إعداد الجهاز ونقل المعلومات الحساسة عبر شبكة الخلوية.
- أوقف Ledger مبيعات التوزيع المعتمد في جنوب شرق آسيا وهونغ كونغ أثناء التحقيق في الأجهزة المتأثرة.
- 检查了零售和仓库设备的安全团队表示，其抽样样本中未发现受影响的设备。
- طلب Ledger من البائعين التوقف عن عرض المحافظ ومنع إعادة بيع الأجهزة المرتجعة دون استثناء.
أكدت شركة تصنيع المحافظ المادية أن المهاجمين اشتروا أجهزة قانونية، وقاموا بتعديلها، ثم أعادوا إدخالها إلى السوق عبر قنوات التوزيع في جنوب شرق آسيا. وقد أوقفت Ledger مبيعات إعادة البيع في هذا المنطقة، وفحصت الأجهزة القادمة من متاجر التجزئة والمستودعات، وبدأت التعاون مع سلطات إنفاذ القانون لملاحقة الأموال المسروقة.
أفادت الشركة أن أنظمتها الداخلية وبرمجيات التشغيل وشرائح الأمان لم تُخترق. ولا يزال المحققون يواصلون تحديد النطاق الكامل للهجوم، بما في ذلك كيفية دخول هذه الأجهزة المُعدلة إلى السوق.
هجوم محفظة Ledger يشمل زرع عبارة استعادة مخفية
كشفت تحقيقات Ledger أن المهاجمين أعدوا لهذه العملية لعدة أشهر. حيث قاموا بشراء محفظات أجهزة أصلية، وفكوا الأجهزة، وأدخلوا مكونات إلكترونية مخصصة لالتقاط عبارة الاستعادة أثناء عملية الإعداد.
عادةً ما تحتوي عبارة الاستعادة على 24 كلمة، ويمكن للمستخدم استخدامها لاستعادة الوصول إلى محفظة التشفير. أي شخص يحصل على هذه الكلمات يمكنه إعادة إنشاء المحفظة على جهاز آخر ونقل أصولها.
يستخدم المهاجمون لحظة ظهور عبارة الاستعادة على شاشة الجهاز. تقوم المكونات المخفية بجمع هذه الكلمات ونقلها إلى البنية التحتية الخاضعة لسيطرة المجرمين.
في تحديث تقني في 13 أكتوبر، شرح فريق أمان Donjon من Ledger أن هذا البرنامج الضار يستخدم وحدة تحكم دقيقة لقراءة العبارة ونقل المعلومات عبر اتصال LTE خلوي عبر بطاقة SIM مدمجة.
أفادت الشركة أن هذا المكون يعمل بشكل مستقل عن عنصر الأمان الذي يحمي المعلومات المشفرة الحساسة. ولم يجد المحققون أي دليل على تعديل مكونات ضارة للنظام التشغيلي أو تغيير توقيعات المعاملات.
سابقًا، سجّلت التحقيقات حول الرقاقة المخفية في محفظة Ledger كيفية تعرض عبارة الاستعادة من خلال مكونات إلكترونية غير مصرح بها دون التأثير على وظيفة التوقيع الطبيعي للجهاز.
وصف Ledger أحدث بيان بأنه عملية إجرامية منظمة تشمل شراء الأجهزة، وترتيبات التوزيع، والبنية التحتية المستخدمة لجمع بيانات اعتماد المحافظ المسروقة.
يقول المصنع إن العصابة أنفقت ملايين الدولارات على هذا الهجوم، لكنها لم تقدم تفصيلاً ماليًا ولا حددت أي أشخاص مرتبطين.
وفقًا للتقارير، استغل المهاجمون عبارة الاستعادة التي جمعوها للوصول إلى عدة محافظ خلال عملية سرقة منسقة في 9 أكتوبر.
على الرغم من أن محققين مستقلين في البلوكشين قدّروا الخسائر بأكثر من 86 مليون دولار أمريكي، إلا أن Ledger لم تؤكد بعد المبلغ الإجمالي المسروق أو عدد العملاء المتأثرين.
Ledger وقفت مبيعات المحافظ في جنوب شرق آسيا
بعد اكتشاف المشكلة، طلبت Ledger من وكلاء البيع المرخصين والموزعين في جنوب شرق آسيا وهونغ كونغ وقف بيع الأجهزة حتى يقوم المحققون بفحص قنوات التوزيع المتأثرة.
المناطق المقيدة تشمل إندونيسيا وسنغافورة وتايلاند والفلبين وفيتنام وماليزيا وهونغ كونغ.
تم ربط بائع معاد توزيعه في جنوب شرق آسيا يُدعى CryptoBilis بحالات مؤكدة تتضمن تزوير الأجهزة.
بعد تلقي تقارير من عملاء عن خسارة أموال، علّقت الشركة بيع المحافظ المادية.
سجّلت التقارير السابقة حول التحقيق في محفظة CryptoBilis اكتشاف Ledger للعنصر غير المصرح به واستجابته الأولية لشكاوى العملاء.
بعد تلقي تقارير تتعلق بمواقع أخرى، قام Ledger بتوسيع إجراءات الوقاية لتشمل ما يتجاوز هذا المُعاد بيعه.
في ألمانيا، أوقفت MediaMarkt Saturn بيع أجهزة Ledger من خلال متاجرها الفعلية ومنصاتها عبر الإنترنت بعد الإبلاغ عن وجود عنصر مُدمج في جهاز عميل.
أفاد Ledger أن الحالة الألمانية لم تؤدِّ إلى أي خسائر مُؤكَّدة في أموال العملاء.
أدى هذا الحدث إلى تعليق منفصل لمبيعات محفظة Ledger في ألمانيا، كما تقوم الشركة بمراجعة الأجهزة والتحقيق في الظروف ذات الصلة.
في تحديث يوم 15 أكتوبر، أفاد Ledger أن المحققين قاموا بشراء الأجهزة من متاجر في أسواق مختلفة، بما في ذلك ألمانيا، وفتحوها لفحصها ماديًا.
كما فحصت الشركة عينات من المستودع وقامت بفرز جزء من مخزونها الخاص.
قال Ledger إن العينات المختارة عشوائيًا خلال هذه الفحوصات لم تُظهر أي مكونات غير مصرح بها.
ومع ذلك، لم تكشف الشركة عن عدد الأجهزة التي تم فحصها، لذا فإن العدد الإجمالي للمنتجات المتأثرة المحتملة لا يزال غير مؤكد.
وصف Ledger الحدث بأنه "هجوم توزيع جزئي"، وأصر على أن نظام التصنيع الخاص به لم يكن السبب في هذا الضرر.
لم تحدد التحقيقات بعد بدقة المكان الذي تم فيه تعديل كل جهاز متأثر.
Ledger يطلق قواعد جديدة للتجار التجزئة للمحافظ المادية
كجزء من الإجراءات التصحيحية، طلبت Ledger من البائعين المرخصين تغيير طريقة تخزين وبيع محافظهم المادية.
يجب على التجزئة وقف عرض أجهزة Ledger على الرفوف والطاولات. بدلاً من ذلك، يجب عليهم تخزين المنتج في منطقة التخزين وتسليمه للعميل فقط عند حدوث الشراء.
Company states that these requirements are effective immediately to reduce opportunities for unauthorized access to devices.
يذكّر Ledger أيضًا البائعين المعتمدين أنه لا يجوز بيع الأجهزة المرتجعة مرة أخرى، حتى لو بدا أن العبوة لم تُفتح أو أن المنتج لم يُستخدم.
كان هذا القاعد موجودًا بالفعل، لكن Ledger طلبت من الموزعين تطبيقها دون استثناء.
يجب على البائعين التجزئة إبلاغ الصانع فورًا عند تلقي تقارير من العملاء عن منتجات غير طبيعية أو أجهزة مشبوهة.
مع استمرار التحقيق، تُعزز الشركة الرقابة على شبكة التوزيع المعتمدة.
أفاد Ledger أن فريق الأمان الخاص به أجرى أكبر تحقيق داخلي في تاريخ الشركة، مع توظيف عدة إدارات.
حلل خبراء من Ledger Donjon العنصر المسترجع وفحص طريقة عمله لتحديد كيفية جمع المهاجمين للعبارة الاستردادية.
تعاون المُصنّع مع باحثين أمنيين وشركاء صناعيين خلال فترة التحقيق، ويشمل ذلك SEAL_911.
يُشير Ledger إلى أن الفريق يعمل بالتعاون مع سلطات إنفاذ القانون لتتبع الأموال المسروقة وتحديد البنية التحتية المستخدمة لجمع بيانات محفظة العملات.
The company has not disclosed any related arrests, formal criminal charges, or recovery of funds.
يقول Ledger إن الشركة تخطط لنشر مزيد من المعلومات الفنية عندما يتمكن المحققون من الإفصاح عن النتائج بأمان.
يخطط Ledger لتعزيز حماية المحفظة ضد التلاعب
بالإضافة إلى القيود التجزئة الحالية، تطور Ledger تدابير أمان إضافية تهدف إلى جعل التلاعب المادي أكثر صعوبة.
The company has not yet provided technical specifications, affected product models, or a timeline for implementing these protections.
يُظهر Ledger أنه سيشارك النتائج مع شركات تصنيع وبيع محفظات الأجهزة الأخرى لتمكينها من تقييم المخاطر المماثلة في منتجاتها.
سبق للمُصنِّع أن حذّر العملاء الذين اشتروا الأجهزة عبر CryptoBilis من عدم تهيئة الجهاز قبل التواصل مع الدعم الرسمي.
للعملاء الذين استخدموا محفظة قد تتأثر، توصي الشركة بنقل عملاتهم المشفرة إلى جهاز موثوق وإنشاء عبارة استعادة جديدة.
إذا كان المهاجم قد حصل بالفعل على عبارة الاستعادة القديمة، فإن استعادة العبارة القديمة على جهاز بديل لا تضمن أمان الأموال.
تذكّر إرشادات أمان Ledger المستخدمين بعدم الكشف عن عبارة الاستعادة لأي شخص يدّعي أنه يمثل خدمة العملاء.
تؤكد الشركة أن موظفيها لن يطلبوا كلمات الاستعادة عبر الرسائل أو المكالمات الهاتفية أو الموقع الإلكتروني.
في الإعلان الصادر في 15 أكتوبر، اعترفت Ledger بأن التحقيق لا يزال جاريًا، ولا يزال هناك عمل أمني إضافي يجب إنجازه.
يُعيد المُصنّع التأكيد على أنه سيُطلق تفاصيل إضافية حول الهجوم والطرق التي استخدمها المجرمون بمجرد السماح بالإفصاح بناءً على التحقيق.