كشفت Ledger بالتفصيل كيف يمكن لأجهزة إرسال مزروعة مخفية داخل المحافظ المادية والمزودة باتصال LTE أن تعرّض عبارات الاسترداد الخاصة بالمستخدمين للخطر. دفع هذا الإفصاح شركة CryptoBilis إلى وقف مبيعات المحافظ التي تحتوي على هذه الأجهزة التجسسية. وقد قطعت كل من Trezor وOneKey علاقاتهما مع الموزع.
ماذا تفعل هذه الأجهزة المزروعة
تستخدم الأجهزة المزروعة اتصال LTE لنقل عبارات استرداد المحفظة سراً بمجرد إعداد الجهاز وتغذيته بالأموال. يوضح تقرير Ledger أن العتاد المخترق يبدو ويتصرف مثل محفظة عادية حتى يتم تنشيطه. عبارة الاسترداد هذه هي نقطة الفشل الوحيدة لأي إعداد حفظ ذاتي، لذا فإن وجود مسار تسريب صامت هو أسوأ ما يمكن أن يحدث.
توقفت CryptoBilis، التي باعت الأجهزة المتأثرة، عن بيع المحافظ التي تحتوي على الأجهزة المزروعة بعد إفصاح Ledger. ولم تصرح الشركة علناً عن عدد الوحدات التي وصلت إلى العملاء أو عن مصدر العتاد المعدل.
Trezor وOneKey تنسحبان
أنهت كل من Trezor وOneKey علاقاتهما مع CryptoBilis. ولم تنشر أي من الشركتين بياناً حول القرار يتجاوز الإعلان عن قطع العلاقات نفسه. تترك هذه الخطوة CryptoBilis دون شريكين رئيسيين من العلامات التجارية، على الأقل في الوقت الحالي.
هذا رد فعل سريع. فاتفاقيات الموزعين لا يتم تمزيقها عادة في نفس الأسبوع الذي يصدر فيه تقرير أمني، خاصة عندما لا يكون الموزع متهماً ببناء الأجهزة المزروعة بنفسه. ولكن عندما تكون فئة المنتج هي المحافظ المادية — حيث تكون الفكرة الأساسية بأكملها أن مفاتيحك لا تلمس الإنترنت أبداً — فإن موزعاً تم ضبطه وهو يشحن أجهزة راديو LTE داخل الغلاف يمثل مشكلة سمعة لا يرغب أي شريك في الجلوس بجانبها.
من أين جاءت الأجهزة
ما لا يزال غير واضح هو كيف وصلت الأجهزة المزروعة إلى سلسلة التوريد. يصف تقرير Ledger عتاد LTE لكنه لا يذكر اسم الشركة المصنعة أو بلد المنشأ. ولم تتطرق CryptoBilis إلى ما إذا كانت الوحدات قد تم التلاعب بها قبل أو بعد وصولها إلى مخزونها. وحتى يجيب أحد على ذلك، فإن كل موزع في مجال المحافظ المادية لديه سؤال مفتوح: هل يمكنك إثبات أن الجهاز الموجود في العلبة هو الجهاز الذي غادر المصنع؟
بالنسبة للمستخدمين الذين اشتروا محفظة عبر CryptoBilis، فإن النصيحة العملية بسيطة وغير سارة — تعامل مع أي عبارة استرداد تم إدخالها على ذلك الجهاز على أنها مكشوفة. نقل الأموال إلى بذرة جديدة تم إنشاؤها على عتاد من بائع لا صلة له بالموزع هو الإجراء القياسي للتنظيف، رغم أن أياً من الشركات المعنية لم تصدر إرشادات رسمية بعد.
مشكلة الموزعين
أمضت شركات تصنيع المحافظ المادية سنوات في إخبار العملاء بالشراء المباشر أو من شركاء معتمدين. كانت CryptoBilis أحد هؤلاء الشركاء لـ Trezor وOneKey حتى هذا الأسبوع. هذا هو الجزء غير المريح في القصة: التلاعب لم يحدث في زقاق مظلم، بل حدث داخل القناة التي وجهت الشركات نفسها العملاء إليها.
لم تصرح Trezor ولا OneKey بما إذا كانت ستقوم بتدقيق موزعين آخرين. ولم تشير Ledger إلى ما إذا كانت تخطط لنشر تحليل تقني أكثر تفصيلاً. أما CryptoBilis فقد صمتت منذ وقف المبيعات — ولا يزال السؤال عن عدد المحافظ المخترقة الموجودة بالفعل في أدراج الناس دون إجابة.
