تم العثور على غرسات في محافظ الأجهزة في أجهزة Ledger وTesor المباعة عبر Mediamarkt وتجار إعادة البيع في جنوب شرق آسيا — تم سرقة 93.4 مليون دولار. كيف تعمل الهجمة، ولماذا لا تحمي العناصر الآمنة (Secure Elements) منها، وماذا يعني ذلك لأمن الاحتفاظ بالعملات المشفرة.
قد تكون محفظتك المادية مخترقة بالفعل — والصناعة لا تريدك معرفة السبب
لسنوات، كانت النصيحة بسيطة: إذا كنت تحتفظ بكميات كبيرة من العملات المشفرة، اشترِ محفظة مادية. ليس برنامجًا. وليس بورصة. جهاز مخصص يحتوي على عنصر آمن (Secure Element)، ومعزول هوائيًا عن جهاز الكمبيوتر الخاص بك، ومصمم بحيث لا تغادر المفاتيح الخاصة أبدًا الرقاقة. بنت صناعة الأمن ثقافة كاملة حول هذا الوصفة. أصبحت أسماء مثل Ledger وTrezor وColdcard مرادفة للأمان. كرر المجتمع الشعار: لا مفاتيحك، لا عملاتك. كان الجهاز هو خط الدفاع الأخير.
تم تجاوز هذا الخط. ولم يكن الاختراق نتيجة استغلال برمجي، أو هجوم تصيد، أو ثغرة في البرنامج الثابت يمكن إصلاحها بترقية. كان الأمر بمفك براغي.
خلال الأسبوع الماضي، استوعبت عالم العملات المشفرة واحدة من أكثر الاكتشافات الأمنية إثارة للقلق في تاريخه القصير نسبياً: تم زرع غرسات عتادية — عتاد فعلي مادي — داخل أغلفة محافظ العتاد، وهي تسرق العملات المشفرة من مستخدمين حقيقيين. وتبلغ الخسائر المقدرة حالياً 93.4 مليون دولار عبر حوالي 471 عنواناً، وفقاً لتحليل على السلسلة من قبل Yfarmx وBitquery. الطريقة الأساسية للمهاجم: التقاط عبارة الاستعادة المكونة من 24 كلمة في لحظة تهيئة الجهاز، ثم إرسالها عبر شبكة خلوية مباشرة إلى خادم يتحكم فيه اللصوص. لا حاجة لمفتاح تشفير. لا تزوير للتوقيع. مجرد متحكم دقيق ثانوي وشريحة eSIM، مخبأة داخل الغلاف.
شملت الأهداف شركة Ledger، الرائدة في السوق، حيث وُجدت أجهزتها مخترقة عبر موزعين معتمدين في جنوب شرق آسيا، وبشكل أكثر إثارة للقلق، عبر Mediamarkt Saturn — أكبر بائع تجزئة للإلكترونيات الاستهلاكية في أوروبا — في ألمانيا. وأقرت الشركة المصنعة المنافسة Trezor، التي كانت تُصنف منذ فترة طويلة كبديل يركز على الخصوصية، في نفس اليوم أنها اكتشفت أيضاً غرسات في الأجهزة التي يبيعها موزعون من أطراف ثالثة، مما رفع إجمالي عدد علامات محافظ العتاد المتأثرة إلى علامتين.
تثير القصة سؤالاً يتجاوز بكثير هذا الحادث المحدد: إذا لم يمكن الوثوق بعنصر الأمان (Secure Element) لأنه ليس الشيء الوحيد داخل العلبة، فما هي سطح الهجوم الفعلي لمحافظ العتاد؟ وبالنظر إلى أن الهجوم يعمل بغض النظر عما إذا كان الشريحة الرئيسية للجهاز آمنة أم لا، هل يحتاج entire فئة "محافظ العتاد" إلى إعادة النظر؟
كيف يعمل الهجوم — ولماذا يتغلب على نموذج الأمان بالكامل
لفهم ما حدث، تحتاج إلى فهم ما هي محفظة العتاد فعلياً — وما يفترضه معظم الناس بشكل غير صحيح. تحتوي محفظة العتاد الحديثة مثل Ledger Nano X على متحكمين دقيقين منفصلين. الأول هو عنصر الأمان — شريحة مخصصة مقاومة للتلاعب ومعتمدة وفقاً لمعايير مثل Common Criteria أو SESIP — ومهمتها الوحيدة هي توليد المفاتيح المشفرة، وتوقيع المعاملات، وحماية عبارة البذرة. والثاني هو متحكم دقيق متعدد الأغراض يتعامل مع كل شيء آخر: الشاشة، والأزرار، واتصال USB أو Bluetooth مع الكمبيوتر المضيف، والبرنامج الثابت الذي يدير واجهة المستخدم.
يعتمد نموذج الأمان بالكامل على الافتراض بأن عنصر الأمان هو الوحيد الذي يتعامل مع عبارة البذور. يُعتبر المتحكم الدقيق الثاني — الذي يعمل غالبًا بشريحة ARM Cortex-M بدون مقاومة خاصة للتلاعب — غير موثوق. يتواصل مع عنصر الأمان من خلال بروتوكول محدد، لكنه لا يتعلم أبدًا عبارة البذور. الشريحتان منفصلتان فيزيائياً ومنطقياً. إذا تم اختراق الشريحة الثانية، تظل عبارة البذور آمنة. هذا هو الافتراض الأساسي لصناعة محافظ الأجهزة بأكملها.
تهاجم الغرسات الموجودة في أجهزة Ledger وTrezor هذا الافتراض بالضبط — ليس عن طريق كسر عنصر الأمان، ولكن بتجاوزها تماماً. في غرسات Ledger، وجد باحثو قسم الأمان الخاص بشركة Ledger، المعروف باسم Donjon، متحكماً دقيقاً ثانياً مزروعاً داخل هيكل الجهاز، متصلًا بناقل الشاشة. أثناء تهيئة الجهاز — اللحظة الدقيقة التي تولد فيها Ledger عبارة استعادة مكونة من 24 كلمة وتعرضها للمستخدم — يراقب متحكم الغرسات البيانات المتجهة إلى الشاشة، ويفك تشفير كل كلمة كما تظهر، ويخزنها في الذاكرة الداخلية، ثم ينقل عبارة البذور الكاملة إلى المهاجمين عبر LTE باستخدام شريحة eSIM مدمجة في لوحة الغرسات. العملية بأكملها غير مرئية لنظام تشغيل الجهاز وأي فحوصات سلامة يقوم بها الجهاز.
الأهم من ذلك، أن الغرسة لا تعدل عنصر الأمان أو نظام تشغيل Ledger. لا تغير المعاملات أو التوقيعات. تجلس بشكل سلبي حتى التهيئة، ثم تنشط. لأن عنصر الأمان لم يتم لمسه، فإن فحوصات التحقق الخاصة بشركة Ledger — الآليات التي يستخدمها الجهاز لتأكيد أنه لم يتم التلاعب به — تمر دون الإشارة إلى أي شيء غير عادي. تعمل الهجمة بالضبط لأن الغرسة جهاز كمبيوتر ثانٍ، مُدخل بجانب الجهاز الشرعي، يراقب كل ما يفعله المستخدم مع أجهزته الخاصة.
عملت غرسات Trezor بشكل مختلف قليلاً، مما يعكس الاختلافات المعمارية بين المنتجين. لأن كود Trezor مفتوح المصدر بالكامل — وهي نقطة أشارت إليها Trezor منذ فترة طويلة كميزة للشفافية — تمكن المهاجمون من الحصول على البرنامج الثابت، وتعديله ليشمل عبارات بذور مولدة مسبقاً معروفة للمهاجمين، وتثبيته على متحكم دقيق بديل. ثم "يولد" الجهاز المعدل عبارة بذور للمستخدم، لكن العبارة كانت واحدة سجلها المهاجمون مسبقاً. لأن البرنامج الثابت الخبيث شغل نسخته الخاصة من كود الجهاز، احتاج إلى اجتياز فحوصات سلامة البرنامج الخاصة بـ Trezor؛ فعل ذلك عن طريق تشغيل فحص سلامة البرنامج الثابت الشرعي أولاً ضد نسخة من البرنامج الثابت الحقيقي المخزنة على بطاقة microSD خارجية، قبل السماح للسلوك الخبيث بالسيطرة. أصبحت البنية مفتوحة المصدر التيadvertisedها Trezor كآلية للثقة، في هذا السياق، خريطة طريق للمهاجمين.
في كلتا الحالتين — Ledger وTrezor — هزمت الغرسات نموذج الأمان من خلال استهداف لحظة التهيئة بدلاً من لحظة التوقيع. قضت الصناعة عقدًا من الزمن في تعزيز طبقة التوقيع: حراس عدم إعادة الدخول، المفاتيح المرتبطة بالأجهزة، شهادة عنصر الأمان. تم التعامل مع خطوة توليد عبارة البذور على أنها آمنة لأنها حدثت داخل الشريحة المعتمدة. كان هذا الافتراض خاطئاً — ليس لأن الشريحة كانت مكسورة، ولكن لأن الشريحة لم تكن الشيء الوحيد في الغرفة.
اكتشف Joe Grand هذا في مارس. لم تفعل Ledger شيئاً.
قد لا يكون الفصل الأكثر ضرراً في هذه القصة هو السرقة نفسها، بل ما حدث قبلها. بدأ جو غراند — هاكر أجهزة مشهور قام بالهندسة العكسية لكل شيء من صالات الألعاب arcade cabinets إلى الأجهزة الطبية — في التحقيق في محافظ ليدجر في أغسطس 2025 بعد أن أبلغ مستخدم على ريديت عن العثور على دوائر إلكترونية غير متوقعة داخل جهاز Nano X تم شراؤه من سوق إلكتروني في تايلاند. أرسل المستخدم الجهاز إلى غراند، الذي أكد وجود الزرع: لوحة إضافية تحتوي على وحدة LTE، وشريحة eSIM، وهوائي، مخبأة داخل غلاف الجهاز.
اشترى غراند ثماني محافظ إضافية من بائعين مختلفين عبر الإنترنت في جميع أنحاء جنوب شرق آسيا — جميعها من مصادر وصفها بأنها مشبوهة وغير قابلة للتحقق على لازادا، منصة التجارة الإلكترونية المملوكة لمجموعة علي بابا — ووجد أن أربعة منها كانت مخترقة بزرع مماثل. أخطَر ليدجر عبر البريد الإلكتروني في 4 مارس 2026، وأجرى مكالمة Zoom مع فريقهم. قدم لاحقاً عرضين في مؤتمرات — في Tropicon في أبريل وHardwear.IO في مايو — ونشر شرائح العرض الخاصة به علناً عبر الإنترنت.
كان رد ليدجر، حسب رواية غراند، مخيباً للآمال. أخبرته الشركة بأنها ستحقق لتحديد الجهة المسؤولة عن الزرع، لكنها لم تتعامل بشكل جاد مع نتائج بحثه. قال غراند إنه لم يتلق أي متابعة ذات مغزى لأشهر، وعندما سأل في النهاية، أخبره ممثل ليدجر أن الشركة لم تجد أي دليل على استخدام شخص ما للزرع لسرقة العملات الرقمية. لم يكن هناك إعلان عام. ولا تحذير للعملاء. ولا نشرة استشارية. كانت الشركة الرائدة عالمياً في تصنيع المحافظ الأجهزة قد أُبلِغت من قبل باحث أمني بارز بأن أجهزتها يتم تزويرها بأجهزة مراقبة نشطة — واختارت التعامل مع الأمر كفضول منعزل.
تفاقم الوضع بعد أن صادف مارك كاربليس — الرئيس التنفيذي السابق لمنصة Mt. Gox، البورصة اليابانية التي انهارت في 2014 بخسارة 850,000 بيتكوين — بحث غراند عبر الإنترنت في سبتمبر 2026 وقرر اختبار الفرضية بنفسه. اشترى كاربليس محفظتي ليدجر ووجد تكرارات أكثر تعقيداً للزرع مقارنة بتلك التي وثقها غراند. نشر نتائجه عبر الإنترنت. انتشرت القصة بسرعة في مجتمع العملات الرقمية. وفي غضون أيام، استنزفت عملية سرقة منسقة حوالي 93.4 مليون دولار من العملات الرقمية من محافظ مرتبطة بأجهزة بيعها الموزع الجنوب آسيوي Cryptobilis.
ربما كان الكشف ذاته هو ما دفع للهجوم. تشير استخبارات البلوكشين إلى أن المهاجمين كانوا ينتظرون باستخدام الأجهزة المخترقة — ربما لشهور — يجمعون محافظ ذات أرصدة كبيرة قبل تنفيذ الهجوم. بمجرد بدء انتشار أخبار الزرع على نطاق واسع، يبدو أن اللصوص تسارعوا لاستخراج الأموال من أكبر عدد ممكن من المحافظ المخترقة قبل أن يتمكن المالكون من الرد.
أثنى البعض في المجتمع على كاربليس لكشفه عملية كانت ستظل غير مكتشفة إلى أجل غير مسمى لولا ذلك. تضيف تاريخه مع Mt. Gox طابعاً ساخرًا: الرجل الذي فشل في حماية أموال آلاف مستخدمي البيتكوين في 2014 قد يكون لعب دوراً محورياً في منع سرقة أكبر في 2026.
تم اختراق الموزعين المعتمدين — وهذا هو الجزء الأكثر إثارة للقلق
كانت الشرائح الخبيثة التي عثر عليها Grand في عام 2025 موجودة جميعها في محافظ تم شراؤها من بائعين غير معتمدين وعابرين — وهو السيناريو الذي يحذر منه كل مصنع للمحافظ المادية. كانت النصيحة القياسية — الشراء فقط من موقع الشركة المصنعة أو من الموزعين المعتمدين — تُقدَّم كحماية كافية. في الأسابيع التي تلت الكشف، ثبتت صحة هذه النصيحة بمعنى أن المحافظ المشتراة من قنوات موثوقة ظهرت نظيفة.
ثم تغيرت القصة. في 9 أكتوبر 2026، كشفت Ledger عن تسرب الأموال من محافظ بيعت عبر Cryptobilis، وهو موزع معتمد لـ Ledger يعمل في ماليزيا وإندونيسيا والفلبين. وتتبع تحليل Bitquery على السلسلة الخسائر إلى حوالي 311 عنواناً فريداً، بإجمالي يقارب 92.9 مليون دولار. ووضع تحليل Yfarmx الرقم عند 93.4 مليون دولار عبر 471 عنواناً. واتفق التحليلان على أن عملية التفريغ نُفِّذت في عملية منسقة واحدة، حيث انتقلت الأموال عبر سبع سلاسل كتل — Tron وBitcoin وEthereum وBNB Chain وPolygon وBase وArbitrum — قبل توجيهها عبر جسور بين السلاسل وTHORChain وTornado Cash فيما وصفته Chainalysis بأنه "عملية غسيل أموال متطورة عبر سلاسل متعددة".
الأكثر إثارة للقلق كان تقريراً منفصلاً من مستخدم ألماني اشترى Ledger Nano X من متجر MediaMarkt في أغسطس 2026. اشترى العميل محفظة ثانية من موقع مختلف لـ MediaMarkt خلال الرحلة نفسها ووجد شريحة خبيثة فيها أيضاً. تعمل MediaMarkt Saturn، أكبر بائع تجزئة للإلكترونيات الاستهلاكية في أوروبا، في عشر دول أوروبية بحوالي 1,000 متجر. وهي مدرجة كموزع معتمد لـ Ledger في النمسا وألمانيا وإسبانيا وتركيا. وقد علقت الشركة منذ ذلك الحين مبيعات محافظ Ledger المادية ريثما يتم التحقيق.
أشار بيان Ledger اللاحق إلى تفسير محتمل — ومقلق: قد تكون الشرائح الخبيثة دخلت سلسلة التوريد ليس من خلال تزوير مباشر لتصنيع Ledger الخاص، بل من خلال موزعين معتمدين حصلوا على الأجهزة من مصادر غير مشروعة أو أعادوا تخزين المنتجات المرتجعة دون التحقق المناسب. وقالت Ledger في بيان عام: "نذكّر الموزعين والموزعين المعتمدين لدينا بشراء المنتجات فقط عبر القنوات المعتمدة وعدم إعادة تخزين المنتجات المرتجعة أبداً". "هذا تهديد مستمر لا يؤثر فقط على Ledger، بل على النظام البيئي بأكمله".
بعبارة أخرى، التهديد ليس أن المهاجمين يمكنهم اختراق مصنع أو تزوير جهاز. التهديد هو أن موزعاً شرعياً — واحد موثوق به من قبل آلاف العملاء الأوروبيين الذين دخلوا متجر MediaMarkt واشتروا صندوقاً مختوماً من على الرف — يمكن أن يكون ناقلاً لهجوم على سلسلة التوريد لا يمكن لأي تحديث برمجي إصلاحه.
تريزور، أيضاً: قصة مشكلتين مختلفتين
في 13 أكتوبر 2026 — في اليوم نفسه الذي هيمن فيه وضع ليدجر على وسائل التواصل الاجتماعي الخاصة بالعملات المشفرة — أصدرت تريزور بياناً قالت فيه إنها ستقلل من شبكة الموزعين المعتمدين لديها "من باب الحذر الزائد". كتب المدير التجاري الرئيسي داني ساندرز أنه "لا يوجد دليل واحد على أن أجهزة تريزور قد تم اختراقها". كان هذا البيان، على أفضل تقدير، غير مكتمل.
كان جو غراند قد أبلغ تريزور في أغسطس 2026 — قبل البيان العام للشركة — عن العثور على غرسة في جهاز تريزور موديل T تم شراؤه عبر فيسبوك ماركت بليس في كندا، وغرسة ثانية في جهاز تريزور ون تم الحصول عليه من متجر تيك توك في أغسطس. في حالة تريزور ون، لاحظ المشتري تحويل ما يقرب من 50 دولاراً من حسابه قبل أن يشك في الأمر. كلا الجهازين كانا من الطرازات المتوقفة عن الإنتاج، لكن تريزور لا تزال تدعمها بتحديثات برمجية حتى عام 2031 وتحديثات أمنية حتى عام 2036، لكنها لم تعد تصنعها.
كانت الاستجابة الأولية من تريزور لغراند لائقة ومفصلة — حيث حدد الفريق التقني للشركة بشكل صحيح أن الغرسة تشبه الأجهزة المقلدة التي تم اكتشافها في الأسواق الروسية في عامي 2022–2023، ولاحظ بشكل صحيح استبدال المتحكم الدقيق وتغيير البرنامج الثابت، ووصف بشكل صحيح استخدام بطاقة ذاكرة microSD خارجية لتجاوز فحوصات السلامة — لكنه لم يكشف علناً عن هذا الاكتشاف. عندما كتب غراند إلى تريزور مرة أخرى في أوائل سبتمبر سائلاً عن نشر اكتشافاته، طلب ممثل الشركة تنبيهاً مسبقاً حتى تتمكن من إعداد تعليق عام. لذلك، كان بيان تريزور العام اللاحق الذي زعم عدم وجود دليل على اختراق الأجهزة مفاجئاً، نظراً لأن الشركة كانت تتواصل مباشرة مع غراند حول هذا السيناريو نفسه لمدة شهرين.
سطح الهجوم في تريزور مختلف هندسياً عن ليدجر، مما يخلق ملف مخاطر مختلف. لأن البرنامج الثابت لتريزور مفتوح المصدر، فإن حاجز الدخول للمهاجم أقل — فهم لا يحتاجون إلى هندسة عكسية لنظام مملوك، بل يحتاجون فقط إلى تنزيل الكود. لكن الجانب الآخر هو أن المصدر المفتوح يعني أيضاً أن أي شخص يمكنه مراجعة الكود، ويمكن لمستخدمي تريزور الذين يعرفون ما يفعلونه التحقق من الملف الثنائي الذي يعمل على أجهزتهم. ومع ذلك، بالنسبة لمعظم المستخدمين — الأغلبية الذين يقومون ببساطة بتوصيل جهاز تريزور الخاص بهم واتباع معالج الإعداد — فإن بنية المصدر المفتوح لا توفر حماية ذات معنى ضد متحكم دقيق خبيث مُزرع مسبقاً، لأن خطوة التحقق تتطلب معرفة تقنية وإجراءً متعمداً لا يشجع عليه تجربة المستخدم القياسية.
السؤال بقيمة 93.4 مليون دولار: هل يمكن استرداده؟
تتبع شركات استخبارات البلوكتشين حركة الأموال المسروقة منذ عملية السحب في 9 أكتوبر. وأكدت تشيناليسيس أنها "تحقق في تقارير حول أموال مسروقة من حاملي منتجات ليدجر"، وكشفت أن محلليها حددوا عملية غسل أموال معقدة عبر سلاسل الكتل. وتتبع بيتكوينوري الأموال عبر سبعة سلاسل كتل منفصلة، وحدد نمطاً يتوافق مع غسل الأموال الاحترافي: التفتيت السريع، والجسور عبر السلاسل لإخفاء الأثر، والخلط عبر بروتوكولات مصممة لكسر الرابط على سلسلة الكتل بين المرسل والمستقبل.
يبدو أن استرداد الأموال، في هذه المرحلة، غير مرجح. كانت THORChain — بروتوكول السيولة عبر السلاسل اللامركزي — قد جمّدت أموالاً مسروقة في ظروف معينة من قبل، لكن قدرتها على التصرف مقيدة بتصميم البروتوكول والسرعة التي يمكن بها نقل الأصول المسروقة. تم تصميم Tornado Cash، المستخدم في سلسلة الغسل، خصيصاً لكسر إمكانية التتبع على سلسلة الكتل. جمّدت Tether و Circle ما يقارب 318,000 دولار من الأصول المسروقة — أي أقل من 0.1% من الإجمالي — لأن الأصول المسروقة كانت في الغالب في XRP وEthereum وBitcoin، وليس في العملات المستقرة التي يمكن للمصدرين تجميدها.
فعّلت ليدجر صندوق حماية المستخدم، الذي يحتوي حالياً على ما يقارب 464 مليون دولار، وأشارت إلى أنها تنوي تعويض المستخدمين المتأثرين. كان رد الشركة على الحادث — التعويض عبر صندوق أُعلن عنه في 2023 بعد خرق بيانات سابق — أكثر جوهرية من ردود الصناعة النموذجية على حادث أمني. لكن الصندوق صُمم لسيناريوهات خرق البيانات، وليس للاختراق المادي للأجهزة، ولا تزال تساؤلات حول نطاق التغطية وسرعة صرف الأموال.
المشكلة الأعمق: حلّت محافظ الأجهزة نموذج التهديد الخاطئ
ناقش باحثو الأمن وعلماء التشفير منذ فترة طويلة نموذج التهديد لحفظ العملات المشفرة الشخصية. أدى الصياغة الكلاسيكية — "حماية مفاتيحك الخاصة من المهاجمين عن بُعد" — مباشرة إلى فئة محافظ الأجهزة: أجهزة مصممة لتوليد المفاتيح وتخزينها دون اتصال، وتوقيع المعاملات دون تعريض المفتاح أبداً لجهاز كمبيوتر متصل بالشبكة. افترض نموذج التهديد أن المهاجم كان عن بُعد: هاكر، برمجيات خبيثة، موقع تصيّد، أو منصة متضررة.
استهدف الهجوم الذي تم إظهاره خلال الأسبوعين الماضيين فاعلاً للتهديد مختلفاً تماماً: خصم مادي يمكنه تعديل الجهاز قبل أو أثناء عملية سلسلة التوريد، قبل أن يتلقاه المستخدم أبداً. هذه ليست فئة تهديد جديدة. هجمات سلسلة التوريد على الأجهزة قديمة قدم الأجهزة نفسها. لكن صناعة محافظ الأجهزة، في سباقها لحل نموذج التهديد الرقمي، يبدو أنها أعطت وزناً أقل لنموذج التهديد المادي.
الاستنتاج غير المريح هو أن أمان المحفظة المادية يعتمد فقط على السلامة المادية لسلسلة التوزيع بأكملها بين أرضية المصنع ويدي العميل — بما في ذلك كل نقطة تفتيش جمركية، ومستودع، وموزع إقليمي، ورف بيع بالتجزئة. هذه السلسلة طويلة، وتشمل عشرات الكيانات عبر عدة دول، ويعمل فيها بشكل أساسي أشخاص لا يملكون أي طريقة للكشف عن تبديل المتحكم الدقيق أو هوائي مدمج في غلاف بلاستيكي.
العنصر الآمن، ومعايير الاعتماد، والتصميم المعزول عن الهواء — كل هذه تظل حماية ذات معنى ضد الهجمات الرقمية. لكن في مواجهة خصم في سلسلة التوريد المادية قادر على فتح صندوق مختوم، واستبدال شريحة، وإعادة ختم الغلاف بتغليف لا يمكن تمييزه، وبيعه من خلال بائع معتمد، فإن العنصر الآمن يصبح غير ذي صلة. يتم اختراق عبارة البذرة قبل تهيئة الجهاز بأي شكل.
ما يمكن للمستخدمين فعله — وما يحتاجه القطاع لتغييره
بالنسبة للمستخدمين الذين يمتلكون بالفعل محافظ شراء من بائعين من طرف ثالث، فإن الوضع صعب حقاً. نصيحة ليدجر واضحة: العملاء الذين اشتروا من Cryptobilis أو لديهم أجهزة تم شراؤها من أي قناة غير مباشرة يجب ألا يهيئوا هذه الأجهزة، ولا يدخلوا عبارات البذرة الموجودة فيها، وينقلوا الأموال إلى جهاز تم شراؤه مباشرة من الشركة المصنعة أو من بائع معتمد موثوق به بسلسلة لوجستية معروفة ونظيفة. هذه النصيحة، رغم صحتها، تخلق احتكاكاً وتكلفة كبيرة للمستخدمين الذين قد يكونون احتفظوا بأصولهم على نفس المحفظة لسنوات.
بالنسبة للقطاع، يتطلب الحادث تغييرات هيكلية تتجاوز تحديثات البرامج الثابتة أو تدقيق البائعين. دارت عدة مقترحات بين باحثي الأمان: المصادقة على الأجهزة على مستوى التصنيع، مع تطبيق التوقيعات المشفرة في المصنع والتحقق منها من قبل المستخدم قبل التهيئة؛ نقل توليد عبارة البذرة إلى شريحة مخصصة ومعزولة فيزيائياً بدون قدرة اتصال خارجية أو وصول إلى ناقل خارجي؛ القضاء على المتحكمات الدقيقة ذات الأغراض العامة في مسار العرض والأزرار، بحيث لا تغادر البيانات العنصر الآمن حتى في شكل العرض؛ وإنشاء بروتوكول استجابة للحوادث على مستوى الصناعة لتعويض سلسلة التوريد، بما في ذلك جداول زمنية إلزامية للإفصاح وآليات تعويض.
لا توجد أي من هذه الحلول بسيطة، وجميعها تفرض تكاليف — في تعقيد التصنيع، وتكلفة الجهاز، وتجربة المستخدم — كان قطاع المحافظ المادية متردداً تاريخياً في امتصاصها. البديل هو قبول أن المحفظة المادية مكون مفيد ولكن محدود الجذور في استراتيجية الحفظ: حماية قيمة ضد التهديدات الرقمية عن بُعد، ولكن ليس ضد خصم مادي حازم لديه وصول إلى سلسلة التوريد.
السخريّة تكمن في أن استجابة الصناعة لهذا الحادث ستكون على الأرجح مزيجاً من تحديثات البرامج الثابتة، ومراجعات بائعي التجزئة، وتوسيع صناديق حماية المستخدمين — وكلها تتعامل مع عواقب هجوم مادي دون تشديد حماية الجهاز بشكل ملموس ضد سطح الهجوم المادي الذي مكن من حدوثه. تغير نموذج التهديد. تعرف الصناعة على ذلك. والسؤال الجوهري الآن هو ما إذا كانت ستتصرف بناءً على هذه المعرفة قبل اختفاء 93 مليون دولار أخرى.
الأسئلة الشائعة
هل تم اختراق العنصر الآمن في أجهزة Ledger؟ لا. لم يتم اختراق العنصر الآمن — الشريحة المعتمدة المسؤولة عن توليد المفاتيح وتوقيع المعاملات — في أي من الحالات الموثقة. استهدفت الغرسات المتحكم الدقيق الثانوي غير الآمن ونظام عرض الجهاز، مما أدى إلى التقاط عبارات البذور أثناء عملية التهيئة قبل وصولها إلى العنصر الآمن. وهذا بالضبط سبب عدم اكتشاف فحوصات النزاهة الخاصة بـ Ledger للاختراق.
كيف تمكن المهاجمون من زرع مكونات داخل الأجهزة المختومة؟ يبدو أن الغرسات دخلت سلسلة التوريد عبر قنوات بائعي التجزئة، وليس عبر التصنيع المباشر من قبل Ledger. في الحالات التي وقعت في جنوب شرق آسيا، تم الحصول على الأجهزة من موزعين إقليميين معتمدين وتعديلها قبل إعادة بيعها. في الحالات الأوروبية، لا تزال الآلية قيد التحقيق، لكن البيان العام الصادر عن Ledger أشار إلى أن الأجهزة المرتجعة قد تكون أعيدت إلى المخزون دون التحقق منها، أو أن الأجهزة تم الحصول عليها من قنوات غير مشروعة على الرغم من وضع البائع كجهة معتمدة.
هل أجهزة Trezor أكثر أماناً من أجهزة Ledger لأنها مفتوحة المصدر؟ الإجابة أكثر تعقيداً مما تبدو عليه. يعني البرنامج الثابت مفتوح المصدر من Trezor أن الكود متاح للجمهور وقابل للتدقيق، وهو ميزة أمنية حقيقية نظرياً. عملياً، استغلت هجمات الغرس الموثقة في كل من أجهزة Trezor One وTrezor Model T البنية مفتوحة المصدر لإنشاء برامج ثابتة معدلة يمكنها اجتياز فحوصات النزاهة الخاصة بـ Trezor. قد يكون من الضروري إعادة النظر في جدال المصدر المفتوح مقابل المغلق في أمن الأجهزة في ضوء هذه النتائج.
هل يمكن الوثوق بالأجهزة المشتراة مباشرة من موقع الويب الخاص بالشركة المصنعة؟ يظل الشراء المباشر من موقع الويب الخاص بالشركة المصنعة أقل القنوات خطورةً المتاحة، لأنه يقلل من عدد الكيانات التي تتعامل مع الجهاز بين المصنع والعميل. ومع ذلك، فإن النطاق الواسع للاختراق — الذي يشمل علامات تجارية متعددة، ودولاً متعددة، وقنوات غير مصرح بها ومصرح بها — يشير إلى أنه لا يمكن اعتبار أي قناة آمنة بشكل قاطع. يجب على المستخدمين الحريصين على الأمان التحقق من سلامة الجهاز من خلال الطرق المتاحة، بما في ذلك فحص المكونات غير المتوقعة، والتحقق من أصل الجهاز مع الشركة المصنعة قبل التهيئة، حيثما أمكن ذلك.
هل تم استرداد العملات المشروطة المسروقة؟ اعتبارًا من 13 أكتوبر 2026، يبدو أن استرداد الأموال المسروقة أمرًا غير مرجح. قامت Tether و Circle بتجميد ما يقرب من 318,000 دولار من الأصول المسروقة، وهو ما يمثل أقل من 0.1٪ من الإجمالي المقدر. تم نقل الباقي عبر سبعة سلاسل كتلية وخلطها عبر جسور عبر السلاسل وبروتوكولات الخصوصية المصممة لكسر إمكانية التتبع على السلسلة. تتعقب Chainalysis الأموال بنشاط، لكن تعقيد عملية غسل الأموال تشير إلى وجود جهات فاعلة محترفة من غير المرجح أن تترك الأصول في حالة قابلة للتتبع.
ما هو صندوق حماية مستخدم Ledger وهل سيتم تعويض العملاء المتأثرين؟ يحتفظ صندوق حماية مستخدم Ledger حاليًا بما يقرب من 464 مليون دولار، وقد تم إنشاؤه في عام 2023 بعد اختراق بيانات سابق. أشارت الشركة إلى أنها تنوي استخدام الصندوق لتعويض المستخدمين المتأثرين من عملية التفريغ المتعلقة بـ Cryptobilis. لم يتم تحديد نطاق التغطية وجدول السداد بالكامل حتى وقت كتابة هذا التقرير.
كيف يقارن هذا بسرقة العملات المشفرة الكبرى السابقة؟ يُعد تفريغ 93.4 مليون دولار أمرًا كبيرًا، لكنه ليس غير مسبوق في تاريخ العملات المشفرة. أدى اختراق Bybit في فبراير 2025 إلى خسائر تقارب 1.5 مليار دولار. أدى اختراق جسر Ronin في مارس 2022 إلى تفريغ ما يقرب من 625 مليون دولار. ما يميز حادثة Ledger ليس حجمها، بل آليتها: إنها أول حالة موثقة رئيسية لاختراق سلسلة التوريد المادية — حيث تم زرع غرسات في الأجهزة قبل وصولها إلى المستخدمين — مما أدى إلى سرقة مباشرة لأموال المستخدمين على نطاق واسع. يمثل الجمع بين الوصول المادي، وق capability الإرسال الخلوي، والتوزيع التجزئة المصرح به تهديدًا جديدًا لم تضطر الصناعة إلى مواجهته من قبل.