أكدت شركة ليدجر وجود زرعة أجهزة غير مصرح بها في جهاز واحد على الأقل باعه CryptoBilis، وهو موزع في جنوب شرق آسيا. وقد ارتبطت الوحدة المخترقة بخسائر عملات مشفرة لدى الموزع، وفقًا لبيان الشركة يوم الاثنين. وتقول ليدجر إن الحالات المؤكدة للزرعة محدودة، وإن أنظمتها الداخلية لا تزال غير متأثرة.
ما الذي باعه CryptoBilis فعليًا
يعمل CryptoBilis كموزع في جنوب شرق آسيا، حيث يوزع محافظ ليدجر المادية للعملاء في المنطقة. الجهاز الذي يقع في مركز هذا الأمر هو وحدة واحدة — ليس دفعة إنتاج، وليس مجموعة سُحبت من خط مصنع. صياغة ليدجر مقصودة: «جهاز واحد على الأقل»، «الحالات المؤكدة محدودة». هذا لا يعني أن هناك واحدًا فقط. بل يعني أن الشركة تحققت من واحد حتى الآن ولا تستبعد وجود المزيد.
الخسائر المرتبطة بهذا الجهاز هي خسائر عملات مشفرة، أي أن عملات شخص ما قد ذهبت. لم تضع ليدجر رقمًا لذلك، وفي هذه المرحلة ليس واضحًا ما إذا كان العميل المتأثر قد خسر القليل أو الكثير. ما هو واضح أن الزرعة لم تأتِ من تصنيع ليدجر نفسه — بل أُدخلت في مكان ما بين المصنع ويد المشتري.
لماذا يُعد الموزع الحلقة الضعيفة
محافظ الأجهزة المادية لا تكون أفضل من سلسلة التوريد التي توصلها. تشحن ليدجر الأجهزة مختومة؛ ويستقبل الموزعون تلك الصناديق المختومة ويمررونها. إذا فتح شخص لديه وصول إلى المخزون صندوقًا، واستبدل اللوحة الداخلية بلوحة مخترقة، وأعاد ختم العبوة، فلن يكون لدى المستخدم النهائي طريقة واضحة لمعرفة ذلك حتى تتحرك الأموال.
هذا هو السيناريو هنا، على الأقل من حيث المبدأ. زرعة غير مصرح بها في جهاز باعه موزع طرف ثالث تشير إلى تلاعب خارج أسوار ليدجر. وتشدد الشركة على أن أنظمتها الداخلية — الخوادم، وخط إنتاج البرامج الثابتة، والبنية التحتية التي تدعم Ledger Live ومصادقة الأجهزة — لم تُمس. لذا هذا ليس اختراقًا ليدجر. إنه اختراق مادي لوحدة مرت عبر أيدي شخص آخر قبل أن تصل إلى العميل.
الخسائر، وما لا تقوله ليدجر
خسائر العملات المشفرة المرتبطة بالجهاز مؤكدة، لكن التفاصيل شحيحة. لم يُكشف عن أي رقم. ولا جدول زمني لوقت حدوث تلك الخسائر. ولا كلمة بعد عن ما إذا كان المستخدم المتأثر قد عُوّض بالكامل. الموقف العلني لليدجر هو أن الحالات المؤكدة محدودة — وهي عبارة تؤدي وظيفتين في آن واحد: تطمئن قاعدة المستخدمين الأوسع وتترك مجالًا لمزيد من الحالات بالظهور مع استمرار التحقيق.
بالنسبة لأي شخص اشترى جهاز ليدجر عبر CryptoBilis، السؤال العملي هو ما إذا كانت وحدته تحديدًا قد تعرضت للتلاعب. لم تعلن ليدجر عن استدعاء دفعة، أو قائمة أرقام تسلسلية، أو برنامج استبدال. وبدون ذلك، يُترك المشترون من قناة الموزع لفحص أجهزتهم بأنفسهم والانتظار.
إلى أين يتجه الأمر من هنا
الخطوة الملموسة التالية هي أن تقول ليدجر المزيد عن كيفية اكتشاف الزرعة وماذا يعني ذلك للأجهزة الأخرى المباعة عبر الموزع نفسه. الحالات المؤكدة محدودة اليوم. وما إذا كان هذا العدد سينمو يعتمد على ما سيسفر عنه التحقيق — وعلى ما إذا كان CryptoBilis قادرًا على حساب كل وحدة باعها.
في الوقت الحالي، النصيحة المباشرة هي نفسها التي كررها صانعو محافظ الأجهزة لسنوات: اشترِ من الشركة المصنعة أو من مصدر موثوق تثق به، وتحقق من جهازك قبل إرسال أي أموال إليه. هذه الإرشادات لم تمنع هذه الحادثة. لكنها الحماية الوحيدة المتاحة للمستخدم عندما يأتي الصندوق الذي في يده من رف شخص آخر.
