کشف تراشه مخفی در لجر؛ سرقت ۸۶ میلیون دلار عبارت بازیابی

شرکت فرانسوی لجر (Ledger)، از پیشگامان تولید کیف‌پول‌های سخت‌افزاری، جزئیاتی تکان‌دهنده از یک حمله پیچیده در زنجیره تأمین منتشر کرد. بر اساس این گزارش، مهاجمان با جاسازی یک تراشه مخفی با قابلیت اتصال به شبکه سلولار (LTE) درون دستگاه‌های دست‌کاری‌شده، عبارت‌های بازیابی ۲۴ کلمه‌ای کاربران را هنگام راه‌اندازی اولیه سرقت کرده‌اند؛ رخدادی که گمان می‌رود به تخلیه حدود ۸۶ میلیون دلار دارایی دیجیتال مرتبط باشد.

شیوه نفوذ؛ تراشه LTE چگونه سد امنیتی لجر را دور زد؟

بر اساس تحلیل‌های تیم امنیتی لجر (Donjon)، چیپ امنیتی اختصاصی (Secure Element) و میان‌افزار رسمی دستگاه‌ها دست‌نخورده باقی مانده بودند. با این حال، هکرها با اضافه کردن یک قطعه سخت‌افزاری اضافه و متصل کردن آن به مدار صفحه نمایش، سیگنال‌های تصویری را هنگام نمایش کلمات بازیابی می‌خواندند. این تراشه نفوذی سپس اطلاعات حساس را به صورت بی‌سیم از طریق بستر شبکه تلفن همراه LTE به سرورهای تحت کنترل هکرها ارسال می‌کرد، بدون اینکه کاربر متوجه هیچ‌گونه فعالیت مشکوکی شود.

حملات زنجیره تأمین و خطرات خرید از واسطه‌ها

لجر تأکید کرده است که این دست‌کاری‌ها درون کارخانه‌های رسمی این شرکت رخ نداده، بلکه دستگاه‌ها پس از خروج از خط تولید و در مسیر توزیع به‌دست فروشندگان واسطه یا اشخاص ثالث بازطراحی شده‌اند. بررسی‌ها نشان می‌دهد قربانیان این حمله عمدتاً دستگاه‌های خود را از کانال‌های توزیع غیررسمی یا فروشگاه‌های آنلاین نامعتبر خریداری کرده بودند؛ جایی که مهاجمان زمان کافی برای باز کردن بدنه، لحیم‌کاری چیپ مخفی و بسته‌بندی مجدد محصولات را داشته‌اند.

نکات کلیدی برای معامله‌گران و کاربران ایرانی

• خطر مضاعف خرید از بازار خاکستری: کاربران ایرانی به دلیل محدودیت‌ها و تحریم‌ها امکان خرید مستقیم از سایت رسمی لجر را ندارند؛ از این رو خرید از فروشگاه‌های واسطه داخلی ریسک دست‌کاری فیزیکی در زنجیره تأمین را به شدت افزایش می‌دهد. حتماً اصالت و اعتبار فروشنده را به دقت بررسی کنید.
• بررسی فیزیکی و نشانه‌های بازشدگی: هرگونه ناهمواری در درزهای بدنه، جای چسب غیرمعمول، یا لقی قطعات می‌تواند نشانه باز شدن فیزیکی لجر باشد. در صورت مشاهده کوچک‌ترین مغایرت، از وارد کردن عبارات بازیابی خودداری کنید.
• استفاده از قابلیت Passphrase (کلمه بیست‌وپنجم): فعال‌سازی یک رمز عبور مخفی اضافی روی لجر مانع از دسترسی سارقان به کیف‌پول اصلی می‌شود، حتی اگر عبارت ۲۴ کلمه‌ای اولیه به سرقت رفته باشد.
• تست نرم‌افزاری با Ledger Live: همیشه دستگاه را با اپلیکیشن رسمی لجر لایو متصل و اعتبارسنجی نرم‌افزاری (Cryptographic Attestation) کنید، هرچند که این تست به تنهایی قادر به شناسایی دست‌کاری مدارهای نمایشگر نخواهد بود.

منبع: Decrypt