موج نگرانی امنیتی برای کیف‌پول‌های سخت‌افزاری Ledger به Trezor هم رسید

گزارش‌ها درباره دستکاری فیزیکی برخی کیف‌پول‌های سخت‌افزاری Ledger، موج تازه‌ای از نگرانی درباره امنیت زنجیره تأمین این محصولات ایجاد کرده است.

در واکنش به این اتفاق، Ledger از فروشندگان و توزیع‌کنندگان خود در شش کشور جنوب شرق آسیا و هنگ‌کنگ خواسته فروش کیف‌پول‌های این شرکت را موقتاً متوقف و محصولات موجود را از قفسه‌ها جمع‌آوری کنند. همزمان، رقیب آن Trezor نیز تصمیم گرفته تعداد فروشندگان مجاز خود را کاهش دهد. ماجرا پس از آن جدی شد که Ledger تأیید کرد دست‌کم یک دستگاه خریداری‌شده از یک فروشنده در جنوب شرق آسیا، به یک قطعه سخت‌افزاری غیرمجاز مجهز بوده است. این قطعه می‌توانسته عبارت بازیابی کاربران را ثبت کرده و از طریق شبکه موبایل برای مهاجم ارسال کند.

تحقیقات Ledger همچنان ادامه دارد تا مشخص شود این دستکاری دقیقاً در کدام بخش از زنجیره توزیع انجام شده است. این شرکت تأکید کرده که تاکنون نشانه‌ای از نفوذ به زیرساخت‌ها، سیستم‌ها، سرویس‌ها یا کانال فروش مستقیم Ledger پیدا نشده و موارد تأییدشده فعلاً به جنوب شرق آسیا محدود هستند. با این حال، Ledger دامنه اقدامات احتیاطی خود را گسترش داده و از فروشندگان در اندونزی، سنگاپور، تایلند، فیلیپین، ویتنام، مالزی و هنگ‌کنگ خواسته فروش محصولات را متوقف کنند.

در همین حال، Trezor نیز اعلام کرده از ابتدای ژانویه ۲۰۲۷ برخی فروشندگان را از فهرست نمایندگان مجاز خود حذف خواهد کرد و ارسال محصولات به تعدادی از آنها را متوقف می‌کند. این شرکت تأکید کرده که هیچ مدرکی از دستکاری یا آلوده‌شدن دستگاه‌های Trezor وجود ندارد و این تصمیم صرفاً به‌عنوان اقدام پیشگیرانه در واکنش به حوادث اخیر زنجیره تأمین گرفته شده است.

Trezor همچنین توضیح داده که روش دستکاری مشاهده‌شده در دستگاه Ledger با تغییر فریمور متفاوت بوده و می‌تواند اطلاعات نمایش‌داده‌شده روی دستگاه را مستقیماً بخواند؛ به همین دلیل برخی کنترل‌های معمول نرم‌افزاری ممکن است برای شناسایی چنین حمله‌ای کافی نباشند.

ابعاد مالی این حادثه هنوز مشخص نیست. دو پژوهشگر بلاکچینی میزان احتمالی خسارت را بین ۷۲ تا ۸۶ میلیون دلار برآورد کرده‌اند، اما Ledger اعلام کرده هنوز تعداد کاربران آسیب‌دیده یا ارزش نهایی دارایی‌های سرقت‌شده را تأیید نکرده است. هر دو شرکت اکنون بر اهمیت خرید کیف‌پول‌های سخت‌افزاری از کانال‌های رسمی و مستقیم تأکید دارند. Trezor همچنین به کاربران توصیه کرده هنگام دریافت دستگاه، سالم‌بودن پلمب را بررسی کنند و برای مبالغ بزرگ، استفاده از کیف‌پول‌های چندامضایی با دستگاه‌هایی از تولیدکنندگان مختلف را در نظر بگیرند.