سرقت ۸۶ میلیون دلاری از کیف‌پول‌های لجر؛ فروشنده رسمی هم امن نبود!
فهرست مطالب
سرقت لجر در بزرگ‌ترین حادثه امنیتی کیف‌پول‌های سخت‌افزاری سال‌های اخیر، بیش از ۸۶ میلیون دلار ارز دیجیتال از کاربرانی ربوده که دستگاه خود را از CryptoBilis، یکی از فروشنده‌های رسمی لجر در جنوب شرق آسیا، خریده بودند. لجر روز جمعه ۱۷ مهر (۹ اکتبر) اعلام کرد فروش و ارسال این فروشنده را متوقف کرده و از خریداران ۹۰ روز گذشته خواسته دارایی‌هایشان را جابه‌جا کنند.
نکته تکان‌دهنده ماجرا این است که قربانیان از «کانال رسمی» خرید کرده بودند؛ همان کانالی که لجر همیشه به کاربران توصیه می‌کرد. اگر از کیف‌پول سخت‌افزاری استفاده می‌کنید، جزئیات این حمله زنجیره تأمین را بدانید؛ ممکن است جعبه لجر شما هم قربانی همین ترفند باشد.
چه اتفاقی افتاد؟ خلاصه سرقت لجر
ماجرا با گزارش‌های پراکنده کاربران در شبکه اجتماعی ایکس و ردیت شروع شد: چند نفر که دستگاه لجر خریده بودند، دیدند موجودی کیف‌پولشان خالی شده است. محقق آن‌چین «اسپکتر» (Specter) ردپای این سرقت‌ها را دنبال کرد و دریافت وجوه قربانیان از صدها آدرس در شبکه‌های بیت‌کوین، اتریوم و ترون (تتر) به آدرس‌های مشترک سارق سرازیر شده‌اند. برآوردها از ۷۲ میلیون دلار شروع شد و با تحلیل عمیق‌تر Bitquery تا حدود ۹۲.۹ میلیون دلار بالا رفت.
از قربانی‌های بزرگ: یک نفر ۸۰ بیت‌کوین (حدود ۵ تا ۶ میلیون دلار بسته به قیمت لحظه‌ای) را فقط یک هفته پس از انتقال به لجر تازه‌خریدشده از دست داد؛ قربانی دیگری ۷ میلیون تتر را سه هفته بعد از خرید دستگاه از دست داد. تحلیلگران ۱۷.۷ میلیون دلار بیت‌کوین و حدود ۲۹ میلیون دلار معادل اتریوم را در کیف‌پول‌های مرتبط با سارق شناسایی کرده‌اند.
پشت‌پرده حمله؛ کارت عبارت بازیابی جعلی داخل جعبه
لجر تأکید کرده هیچ نشانه‌ای از نفوذ به سیستم‌ها، نرم‌افزار یا زیرساخت خودش پیدا نکرده و هیچ گزارشی از دستگاه‌های خریداری‌شده مستقیم از وب‌سایت لجر وجود ندارد. به گفته این شرکت، مهاجمان بسته‌ها را در انبارهای واسط فروشنده باز کرده و «کارت راهنمای راه‌اندازی اصلی را با کارت‌های عبارت بازیابی از پیش تولیدشده» جایگزین کرده‌اند؛ یعنی قربانی بدون آنکه بداند، کیف‌پولی را فعال کرده که کلیدش از قبل در دست سارق بوده است. تولید کارخانه، فریمور دستگاه و اپلیکیشن Ledger Live دست‌نخورده اعلام شده‌اند.
به زبان ساده: مشکل نه هک نرم‌افزار بود و نه اشتباه کاربر در نگه‌داری عبارت بازیابی؛ حمله در «زنجیره تأمین» رخ داد. اگر پیش از این اکثر سرقت‌های مرتبط با لجر ریشه در فیشینگ داشت — مثلاً تایپ عبارت بازیابی در به‌روزرسانی جعلی Ledger Live — این بار فرض بنیادیِ «دستگاه سرد و آفلاین غیرقابل دسترس است» زیر سؤال رفته است.
واکنش لجر، صرافی‌ها و بازار
لجر روز ۹ اکتبر از طریق حساب پشتیبانی‌اش در ایکس اعلام کرد از CryptoBilis خواسته تمام فروش و ارسال محصولات لجر را متوقف کند. به خریداران ۹۰ روز گذشته توصیه شده اگر دستگاه را راه‌اندازی نکرده‌اند فعلاً دست نگه دارند، و اگر راه‌اندازی کرده‌اند دارایی‌ها را به یک دستگاه لجر جدید با عبارت بازیابی تازه منتقل کنند.
در کنار این، تتر ۱۰ میلیون دلار تتر مرتبط با این سرقت‌ها را در ۲۰ کیف‌پول فریز کرد. چانگ‌پنگ ژائو (CZ) به خریداران کیف‌پول سخت‌افزاری توصیه کرد دستگاه تازه را «دو هفته قرنطینه» کنند: حداقل ۱۴ روز خالی بماند تا در صورت آلوده بودن یک سری، تراکنش‌های اولیه سرقت توسط محققان شناسایی و هشدار داده شود.
ردپای پول هم جالب است: بخشی از وجوه از طریق تورنادو کش شسته و سپس از مسیر Zcash به سه کیف‌پول جدید منتقل شد؛ حدود ۳۸۴ اتر و ۲.۱ میلیون USDC هنوز جابه‌جا نشده‌اند. این ارقام بر اساس داده‌های تا بامداد ۱۰ اکتبر است و سارق هر لحظه می‌تواند دارایی‌ها را جابه‌جا کند.
درس‌های سرقت لجر برای کاربران ایرانی
- فقط از منبع رسمی بخرید: دستگاه را مستقیم از وب‌سایت سازنده بگیرید، نه از فروشنده واسط — حتی اگر «رسمی» معرفی شده باشد. (این حادثه ثابت کرد لیست فروشندگان رسمی هم مصون نیست.)
- به کارت داخل جعبه اعتماد نکنید: عبارت بازیابی را همیشه خودِ دستگاه روی صفحه‌اش تولید کند؛ هرگز از کارت چاپ‌شده یا آماده داخل بسته استفاده نکنید و هرگز آن را جایی تایپ یا عکس نگیرید.
- قرنطینه دوهفته‌ای: پیشنهاد CZ را جدی بگیرید؛ دستگاه تازه را مدتی با موجودی ناچیز تست کنید.
- صحت دستگاه را بررسی کنید: بررسی اصالت (genuine check) در اپلیکیشن رسمی را رد نکنید.
- دارایی بزرگ را تقسیم کنید: همه تخم‌مرغ‌ها را در یک کیف‌پول نگذارید؛ برای مبالغ بالا از چند امضای چندگانه (multisig) استفاده کنید.
- آگاهی، بهترین آنتی‌ویروس است: راهنمای «آموزش خرید بیت کوین در ایران» و گزارش «هک ۳۸۷ میلیون دلاری بیت‌گت» را بخوانید.
منبع اصلی این گزارش، خبرگزاری The Block است: گزارش The Block
جمع‌بندی؛ امنیت دیگر فقط نرم‌افزار نیست
سرقت لجر یادآوری تلخی است: در دنیای رمزارز، حلقه ضعیف گاهی نه کد است و نه کاربر، بلکه «جعبه‌ای» است که دستگاه از آن بیرون می‌آید. تا مشخص شدن نتیجه تحقیقات لجر، اگر لجرتان را از واسطه خریده‌اید، دارایی را به دستگاهی با عبارت بازیابی تازه منتقل کنید و گوش‌به‌زنگ اطلاعیه‌های رسمی باشید.
سلب مسئولیت: این مطلب صرفاً خبری و آموزشی است و توصیه مالی یا سرمایه‌گذاری محسوب نمی‌شود.
