هشدار لجر درباره کیت‌های جاسوسی در کیف‌پول‌های فروشگاه کریپتوبیلیس

شرکت لجر (Ledger) جزئیات نگران‌کننده‌ای از یک حمله زنجیره تأمین منتشر کرد که در آن کیف‌پول‌های سخت‌افزاری فروخته‌شده توسط یک نمایندگی واسطه به نام کریپتوبیلیس (CryptoBilis)، به ماژول‌های جاسوسی مجهز به فناوری مخابراتی LTE آلوده شده بودند. در پی این افشاگری، کریپتوبیلیس فروش محصولات خود را متوقف کرد و تولیدکنندگان بزرگی همچون ترزور (Trezor) و وان‌کی (OneKey) نیز فوراً همکاری خود را با این توزیع‌کننده قطع کردند.

جزئیات فنی نفوذ سخت‌افزاری و سرقت عبارات بازیابی

بر اساس گزارش فنی منتشرشده توسط لجر، هکرها ساختار داخلی دستگاه‌ها را به شکلی دستکاری کرده بودند که بدون تغییر مشهود در ظاهر کیف‌پول، یک ماژول سلولار و سیم‌کارت درون بدنه تعبیه شده بود. این کیت سخت‌افزاری مخرب به محض راه‌اندازی دستگاه و تولید عبارت بازیابی (Seed Phrase)، کلیدهای خصوصی کاربر را به‌طور مخفیانه از طریق شبکه تلفن همراه برای سرورهای مهاجمان مخابره می‌کرد تا دارایی‌ها بدون نیاز به اتصال مستقیم ولت به اینترنت به سرقت روند.

واکنش تولیدکنندگان و قطع زنجیره توزیع کریپتوبیلیس

پس از بررسی‌های امنیتی و گزارش کاربران، شرکت کریپتوبیلیس تمام فعالیت‌های فروش خود را به حالت تعلیق درآورد و از آغاز تحقیقات جامع خبر داد. از سوی دیگر، شرکت‌های ترزور و وان‌کی با هدف حفاظت از دارایی سرمایه‌گذاران، این توزیع‌کننده واسطه را از فهرست نمایندگان مجاز خود حذف کردند. متخصصان امنیتی تأکید دارند که دستکاری‌های زنجیره تأمین یکی از پیچیده‌ترین و خطرناک‌ترین بردارهای حمله در حوزه نگهداری خودحضانتی دارایی‌های دیجیتال به شمار می‌روند.

نکات کلیدی برای معامله‌گران و کاربران ایرانی

• خرید با نهایت احتیاط: به دلیل وجود تحریم‌ها و عدم حضور نمایندگی مستقیم در ایران، کاربران باید از اصالت فروشندگان واسطه اطمینان حاصل کرده و ترجیحاً بسته‌بندی هولوگرام‌دار و پلمب کارخانه را به دقت بررسی کنند.
• بازرسی ظاهری و تست اولیه: قبل از انتقال مبالغ سنگین، بدنه فیزیکی دستگاه را برای کشف هرگونه درز نامتعارف یا آثار بازشدگی بررسی کنید و ابتدا مبالغ بسیار اندک را برای تست انتقال دهید.
• استفاده از قابلیت رمزعبور اضافی (Passphrase): تنظیم یک کلمه عبور دلخواه به عنوان کلمه بیست‌وپنجم می‌تواند یک لایه امنیتی قدرتمند ایجاد کند تا حتی در صورت افشای عبارت ۲۴ کلمه‌ای، دارایی‌های اصلی محفوظ بمانند.

منبع: Cointelegraph