لجر تأیید کرده است که در حداقل یک دستگاه فروخته‌شده توسط CryptoBilis، یک فروشنده در جنوب شرق آسیا، یک ایمپلنت سخت‌افزاری غیرمجاز وجود دارد. بر اساس بیانیه روز دوشنبه این شرکت، دستگاه آسیب‌دیده با ضررهای ارز دیجیتال در نزد این فروشنده مرتبط بوده است. لجر می‌گوید موارد تأییدشده ایمپلنت محدود است و سیستم‌های داخلی آن تحت تأثیر قرار نگرفته‌اند.
CryptoBilis در واقع چه چیزی فروخت
CryptoBilis به عنوان یک فروشنده در جنوب شرق آسیا فعالیت می‌کند و کیف‌پول‌های سخت‌افزاری لجر را به مشتریان این منطقه می‌رساند. دستگاهی که در مرکز این ماجراست یک واحد است — نه یک خط تولید، نه یک دسته که از خط کارخانه خارج شده باشد. عبارت‌پردازی لجر عامدانه است: «حداقل یک دستگاه»، «موارد تأییدشده محدود است». این به معنای آن نیست که فقط یک دستگاه وجود دارد. یعنی شرکت تاکنون یکی را تأیید کرده و موارد بیشتر را رد نمی‌کند.
ضررهای مرتبط با این دستگاه ضررهای ارز دیجیتال است، یعنی سکه‌های کسی از بین رفته است. لجر عددی برای آن اعلام نکرده و در این مرحله مشخص نیست که مشتری آسیب‌دیده کم ضرر کرده یا زیاد. آنچه روشن است این است که ایمپلنت از تولید خود لجر نیامده — جایی بین کارخانه و دست خریدار وارد شده است.
چرا یک فروشنده حلقه ضعیف است
کیف‌پول‌های سخت‌افزاری فقط به اندازه زنجیره تأمینی که آنها را تحویل می‌دهد خوب هستند. لجر دستگاه‌ها را مهروموم‌شده ارسال می‌کند؛ فروشندگان آن جعبه‌های مهروموم‌شده را دریافت و تحویل می‌دهند. اگر کسی با دسترسی به موجودی، جعبه‌ای را باز کند، یک برد آسیب‌دیده را جایگزین کند و بسته‌بندی را دوباره مهروموم کند، کاربر نهایی تا زمانی که وجوه جابه‌جا نشود راه آشکاری برای تشخیص ندارد.
سناریو در اینجا، حداقل در کلیات، همین است. یک ایمپلنت غیرمجاز در دستگاهی که توسط یک فروشنده شخص ثالث فروخته شده، نشان‌دهنده دستکاری خارج از دیوارهای خود لجر است. این شرکت تأکید می‌کند که سیستم‌های داخلی آن — سرورها، خط تولید firmware، زیرساختی که از Ledger Live و احراز هویت دستگاه پشتیبانی می‌کند — دست نخورده‌اند. بنابراین این هک لجر نیست. این یک دستکاری فیزیکی در دستگاهی است که قبل از رسیدن به مشتری از دست کس دیگری عبور کرده است.
ضررها، و آنچه لجر نمی‌گوید
ضررهای ارز دیجیتال مرتبط با دستگاه تأیید شده، اما جزئیات کم است. هیچ رقمی افشا نشده. هیچ جدول زمانی برای زمان وقوع این ضررها ارائه نشده. و هنوز خبری درباره اینکه آیا کاربر آسیب‌دیده جبران شده است یا خیر منتشر نشده. موضع عمومی لجر این است که موارد تأییدشده محدود است — عبارتی که همزمان دو کار انجام می‌دهد: به کاربران گسترده‌تر اطمینان می‌دهد و در عین حال جای بیشتری برای ظهور موارد جدید در ادامه تحقیقات باقی می‌گذارد.
برای هر کسی که یک لجر را از طریق CryptoBilis خریده است، سؤال عملی این است که آیا دستگاه خاص او دستکاری شده است یا خیر. لجر هیچ فراخوان دسته‌ای، فهرست شماره سریال یا برنامه جایگزینی اعلام نکرده است. بدون آن، خریداران از کانال فروشنده مجبورند دستگاه‌های خود را بررسی کنند و منتظر بمانند.
از اینجا به کجا می‌رود
گام مشخص بعدی این است که لجر بیشتر توضیح دهد که چگونه ایمپلنت شناسایی شده و برای سایر دستگاه‌های فروخته‌شده از طریق همان فروشنده چه معنایی دارد. موارد تأییدشده امروز محدود است. اینکه این تعداد رشد می‌کند یا نه بستگی به آنچه تحقیقات نشان می‌دهد دارد — و به اینکه آیا CryptoBilis می‌تواند برای هر واحد فروخته‌شده حساب پس بدهد.
فعلاً توصیه مستقیم همان توصیه‌ای است که سازندگان کیف‌پول سخت‌افزاری سال‌ها تکرار کرده‌اند: از تولیدکننده یا یک منبع مجاز که به آن اعتماد دارید بخرید و قبل از ارسال هر وجهی دستگاه خود را تأیید کنید. این راهنمایی مانع این حادثه نشد. اما تنها محافظتی است که کاربر دارد وقتی جعبه‌ای که در دست دارد از قفسه کس دیگری آمده است.
