شريحة برامج تجسس مزعومة في محفظة Ledger هي نوع القصة التي تجعل حتى حاملي العملات المشفرة الحذرين يتوقفون. وفقًا لتغطية نشرة Risky Bulletin والتقارير اللاحقة، تم العثور على شريحة متفجرة سرية في أجهزة Ledger، مما حوّل منتجًا يُباع كأداة أمان إلى قناة مراقبة محتملة. كما أشارت النشرة نفسها إلى هجوم إلكتروني على سوبرماركت وضغط أوروبي لجعل النظارات الذكية تصدر صوتًا عند التسجيل. مجتمعةً، تُظهر هذه العناصر كم يعتمد الخصوصية الحديثة على الثقة في الأجهزة المحيطة بنا.
ملاحظة حول المصادر: مُدخل النشرة نفسه ملخص موجز. التفاصيل أدناه مأخوذة من التقارير المتاحة وقت الكتابة، وقد تتغير بعض الأرقام مع استمرار التحقيق.
ما الذي وُجد داخل محافظ Ledger
وفقًا للتقارير المنشورة، تقول Ledger إن شريحة متفجرة سرية زُرعت في محافظ بيعت من قِبل بائع تجزئة يُدعى CryptoBilis. ووفقًا لما ذُكر، قرأت الشريحة المزروعة عبارات الاسترداد الخاصة بالمستخدمين من شاشة الجهاز وأرسلتها عبر شبكة الهاتف المحمول. وتُقدّر التقارير الخسائر بنحو 90 مليون دولار إلى 93 مليون دولار، رغم أن الرقم الدقيق يختلف حسب المنفذ.
هناك تفصيلان مهمان هنا. أولًا، المشكلة المذكورة ليست عيبًا في التصميم الأساسي للمحفظة. بل هي تلاعب بوحدات محددة وصلت إلى المشترين عبر بائع تجزئة. ثانيًا، عبارة الاسترداد هي المفتاح الرئيسي للمحفظة. أي شخص يحصل عليها يمكنه نقل الأموال دون لمس الجهاز الأصلي إطلاقًا.
وتقول التقارير إن Ledger تراجع كيفية وصول أجهزتها إلى المشترين. ولا تزال الأسئلة حول عدد الوحدات المتأثرة وكيفية إضافة الشرائح المزروعة قيد البحث في التقارير العامة.
لماذا يقوّض التلاعب في سلسلة توريد الأجهزة الثقة
يعتقد معظم الناس أن الأمان شيء يحدث بعد تشغيل الجهاز: كلمات مرور قوية، تحديثات، تشفير. أما التلاعب في سلسلة التوريد فيهاجم الخطوة الأسبق. فإذا عُدّل الجهاز قبل وصوله إليك، يمكن تجاوز حمايات البرمجيات أو مراقبتها من الداخل.
صُممت محفظة الأجهزة حول وعد بسيط: مفاتيحك لا تغادر الجهاز أبدًا. وهذا يجعلها هدفًا عالي القيمة. والشريحة المزروعة التي تراقب الشاشة فقط وتنقل ما تراه لا تحتاج إلى كسر أي تشفير. تحتاج فقط إلى أن تكون بين الجهاز والمستخدم.
ولهذا أيضًا، تتجاوز أهمية القصة نطاق العملات المشفرة. فالموجّهات والهواتف ومفاتيح الأمان وأي أداة أخرى حساسة للخصوصية تعتمد على الفرضية نفسها: أن ما في العلبة هو ما شحنه المصنّع. وعندما تُكسر هذه السلسلة، لا يملك المشتري عادةً طريقة واضحة لملاحظة ذلك. الحادثة تذكير بأن الثقة في جهاز تشمل الثقة في كل من تعامل معه. ويظهر موضوع مشابه حول أدوات تتصرف بطرق لم يقصدها أصحابها في تغطيتنا لـ حادثة وكيل الذكاء الاصطناعي الرابعة لدى Anthropic، رغم أن تلك الحالة تتعلق بالبرمجيات لا بالأجهزة.
ما الذي تريده EU من النظارات الذكية
تشير النسخة نفسها من Risky Bulletin إلى أن EU تريد أن تصدر النظارات الذكية صوت صفير عالٍ عند التسجيل. والفكرة واضحة: إذا كانت كاميرا قابلة للارتداء قادرة على التقاط الأشخاص دون علمهم، فينبغي أن يحصل المارّة على إشارة واضحة.
ولا يوضح الملخص الآلية القانونية أو الجدول الزمني، لذا من الأفضل التعامل معه كمقترح في الوقت الحالي. ومع ذلك، فهو يتصل بقصة Ledger. في كلتا الحالتين، القلق يتعلق بالالتقاط الخفي: شريحة تراقب الشاشة بهدوء، أو كاميرا تراقب غرفة بهدوء. ويقترب المنظمون وباحثو الأمن من المبدأ نفسه، وهو أن جمع البيانات الخفي ينبغي أن يُجعل مرئيًا أو يُمنع من خلال التصميم.
كما ذكرت النشرة هجومًا إلكترونيًا أدى إلى إذابة ثلاجات السوبرماركت وفصل متاجر Ahold Delhaize في عدة أماكن. إنها حادثة منفصلة، لكنها تبرز كيف يمكن أن تكون للأعطال الرقمية عواقب مادية جدًا.
كيف يمكن للمستخدمين المهتمين بالخصوصية تقليل مخاطر الأجهزة
لا يمكنك فحص كل شريحة في كل جهاز، لكن يمكنك تقليل تعرضك.
- اشترِ من المصنّع أو بائع معتمد. تضيف قنوات بائعي التجزئة خطوات مناولة لا يمكنك رؤيتها. تحقق من قائمة البائعين المعتمدين لدى الشركة المصنّعة قبل الشراء.
- افحص العبوة. ابحث عن أختام مكسورة أو علامات إعادة تغليف أو أي شيء يبدو غير معتاد. لكن لا تعتمد على العبوة وحدها.
- لا تستخدم أبدًا عبارة استرداد مُعدّة مسبقًا. إذا وصل الجهاز وعبارة الاسترداد مكتوبة مسبقًا، فتوقف عن استخدامه. أنشئ دائمًا عبارتك الخاصة على الجهاز.
- شغّل فحص الأصالة من المصنّع. توفر الشركات المصنّعة لمحافظ الأجهزة عادةً طريقة للتحقق من الجهاز. استخدمها عند الوصول، ومرة أخرى إذا كانت لديك أي شكوك.
- راقب أي أجهزة غريبة. الأجهزة اللاسلكية غير المتوقعة، أو المكونات الإضافية، أو جهاز يتصرف بغرابة، مثل ارتفاع حرارته أو استهلاكه السريع للطاقة، تستحق التدقيق.
- حدّد ما هو المعرّض للخطر على جهاز واحد. توزيع الممتلكات عبر محافظ متعددة يقلل الضرر الناتج عن اختراق واحد.
ماذا يعني هذا لك
إذا كنت تملك محفظة أجهزة، خاصة واحدة اشتريتها عبر بائع تجزئة خارجي، فتحقق من مصدرها. إذا بيعت من CryptoBilis، فاتبع إرشادات Ledger الرسمية وفكّر في نقل الأموال إلى محفظة مُنشأة حديثًا من جهاز موثّق. وإذا لم تكن متأكدًا من مصدر جهازك، تنطبق الخطوة الحذرة نفسها.
وإذا كنت لا تملك عملات مشفرة، فالدرس يبقى قائمًا. أي جهاز حساس للخصوصية، من مفتاح أمان إلى موجّه، ليس موثوقًا إلا بقدر ثقة سلسلة توريده. الشراء من القنوات الرسمية هو أحد أرخص وأكثر وسائل الحماية فعالية المتاحة.
الخلاصات
لا تزال قصة شريحة برامج التجسس في محفظة Ledger تتطور، وقد تُنقّح التفاصيل مع مشاركة Ledger والمحققين المزيد. لكن الواضح بالفعل هو أن الثقة في الأجهزة لا يمكن افتراضها. تحقق من سلامة أي محفظة أجهزة أو جهاز حساس للخصوصية تملكه، واشترِ فقط من المصنّع أو البائعين المعتمدين، وتعامل مع أي شيء يصل مهيأً مسبقًا على أنه مشبوه. هذه العادات تستغرق دقائق ويمكن أن تمنع خسائر لا يمكن لأي إصلاح برمجي التراجع عنها.
