زرعة في ليدجر تثير مخاوف بشأن سلسلة توريد المحافظ المادية
اكتشف فريق الأمن Donjon التابع لشركة Ledger شريحة تجسّس خبيثة داخل محفظة أجهزة باعها موزّع جنوب شرق آسيا CryptoBilis. يمكن لهذه الشريحة التقاط عبارة الاسترداد المؤلفة من 24 كلمة أثناء إعداد الجهاز، ثم إرسالها عبر شبكة LTE باستخدام شريحة eSIM مُجهّزة مسبقاً، ما يعرّض أموال المحفظة للخطر. أكدت Ledger وجود جهاز واحد متأثر، وقالت إن الخسائر التي تم التحقق منها حتى الآن تتعلق بمحافظ باعتها CryptoBilis. وأوقفت CryptoBilis بيع أجهزة Ledger إلى حين انتهاء التحقيق. وربط المحقق على البلوك تشين Specter أكثر من 86 مليون دولار بعمليات سرقة مشتبه بها عبر Bitcoin وEthereum وTron، لكن Ledger قالت إن تقديرات الخسائر المتداولة على الإنترنت لم يتم التحقق منها بعد. تنصح Ledger المشترين بعدم إعداد الأجهزة المشبوهة، وتحث كل من استخدم جهازاً منها على نقل أمواله إلى جهاز جديد باستخدام عبارة استرداد جديدة. كما أثار الحادث مخاوف أوسع بشأن أمن سلسلة التوريد. وحذّر الباحث الأمني Joe Grand من صعوبة اكتشاف عمليات العبث المادي المتطورة. وقالت Trezor إن فحوصات الأصالة والبرامج الثابتة الموقّعة مفيدة، لكنها لا تستبعد التعديلات، وأعلنت أنها تخطط لتقليص شبكة موزعيها. وأوصى الخبراء بتوزيع الثقة بين مزودين مختلفين وتحسين التصاميم المقاومة للعبث، مع التشديد على أن أي إجراء لا يزيل جميع المخاطر. وتقول Ledger إن الشريحة لم تغيّر عنصرها الآمن Secure Element ولا نظام التشغيل ولا توقيعات المعاملات. ويسلط الحادث الضوء على مخاطر أمن محافظ الأجهزة وعبارات الاسترداد، لكنه لا يشير إلى وجود مشكلة أوسع في شبكة Bitcoin.
Neutral
قد يؤدي الحادث إلى توخي الحذر على المدى القصير بين متداولي العملات المشفرة ومستخدمي الحفظ الذاتي، ولا سيما فيما يتعلق بمزودي المحافظ المادية وسلامة عبارات الاسترداد. وقد يؤثر هذا التفاعل في الثقة بشركة Ledger ويدفع بعض المستخدمين إلى نقل أموالهم أو مراجعة طريقة تخزين أصولهم. ومع ذلك، لا تشير التقارير إلى وجود خلل في بروتوكولات Bitcoin أو Ethereum أو Tron، كما أن إجمالي المبلغ المشتبه في سرقته لم يُتحقق منه بعد. لذلك، يُرجح أن يكون الأثر المباشر في أسعار BTC وETH وTRX محدودًا، وأن يقتصر أي رد فعل في السوق على المعنويات المرتبطة بالأمن بدلًا من موجة بيع واسعة. وعلى المدى الطويل، قد تعزز عمليات التحقق من المصدر الأكثر صرامة، والتصاميم المقاومة للعبث، والضوابط الأوضح على البائعين المعتمدين الثقة في الحفظ الذاتي. وقد يشجع هذا الحدث بعض المستخدمين على تنويع مزودي الخدمة، لكنه لا يغير بحد ذاته القيمة الأساسية للعملات المشفرة المذكورة أو طريقة عملها.