أكدت Ledger أن محفظة مادية تعود لأحد ضحايا موجة سرقات كبرى في جنوب شرق آسيا احتوت على زرعة عتادية غير مصرّح بها.

يقدّر باحثون في سلسلة الكتل أن أكثر من 86 مليون دولار سُحبت من مئات المحافظ. وتقول Ledger إن جميع الحالات المؤكدة حتى الآن تشمل أجهزة بيعت عبر موزّع واحد هو CryptoBilis، وإن أنظمتها وقنوات البيع المباشر التابعة لها لم تتأثر.

ما الذي حدث

في 9 أكتوبر، بدأ عملاء اشتروا أجهزة Ledger عبر CryptoBilis الإبلاغ عن معاملات غير مصرّح بها. وCryptoBilis موزّع رسمي لـLedger يخدم إندونيسيا وماليزيا والفلبين. وكان الباحث في سلسلة الكتل tanuki42 أول من أشار إلى انتقال أكثر من 72 مليون دولار إلى مجموعة من العناوين المشتبه في استخدامها للسرقة.

وفي وقت لاحق، تتبّع باحث آخر يُدعى Specter الأموال عبر Bitcoin وEthereum وTron، وقدّر الخسائر المشتبه بها بأكثر من 86 مليون دولار. ثم قدّرت MistTrack وArkham Intelligence المبلغ بنحو 90 مليون دولار، فيما أشارت بعض وسائل الإعلام إلى تقديرات تصل إلى نحو 93 مليون دولار عبر أكثر من 300 محفظة.

لم تتحقق Ledger من أي من هذه الإجماليات، ولا يزال من غير الواضح ما إذا كانت كل عمليات السرقة الواردة في التقديرات مرتبطة بعملاء CryptoBilis.

كلفة الخسارة على أحد الضحايا

وصفت Lookonchain إحدى أكثر الحالات إيلامًا. اشترى المستثمر 80 BTC، كانت قيمتها نحو 5.2 مليون دولار، قبل أربعة أشهر بسعر يقارب 65,000 دولار، وكان يحقق أرباحًا بنحو 1.38 مليون دولار. وقبل أسبوع، اشترى جهاز Ledger من CryptoBilis وأودع فيه كامل رصيده البالغ 80 BTC. وقالت Lookonchain إنه خسر كل شيء الآن.

رد Ledger

تحركت Ledger في 9 أكتوبر، وطلبت من CryptoBilis إيقاف جميع المبيعات والشحنات ريثما تجري تحقيقًا. ونصحت كل من اشترى جهاز Ledger من هذا الموزّع خلال الأيام التسعين الماضية بألا يبدأ إعداده إن لم يكن قد فعل ذلك بالفعل.

في 10 أكتوبر، أصدرت Ledger تحديثًا أكثر جدية:

«تؤكد Ledger أن جهازًا يخص أحد المستخدمين المتأثرين احتوى على زرعة عتادية غير مصرّح بها. وتتواصل Ledger مع المستخدمين المتأثرين في إطار التحقيق الجاري. إذا كانت لديكم معلومات ذات صلة بالتحقيق، يُرجى التواصل مع برنامج المكافآت التابع لـLedger عبر: bounty@ledger.fr.»

في تحديث بعد 72 ساعة، قالت Ledger إنها تعمل مع السلطات المعنية وإن عدد الأجهزة المتأثرة محدود. وأضافت:

«حتى الآن، تشمل جميع الحالات المؤكدة المرتبطة بحادثة السحب المعلنة في 9 أكتوبر 2026 أجهزة بيعت عبر موزّع جنوب شرق آسيا CryptoBilis. ولم تتأثر أنظمتنا وقنوات البيع المباشر التابعة لنا.»

علّقت CryptoBilis مبيعات مخزونها بالكامل من المحافظ المادية إلى حين انتهاء المراجعة.

ما الذي عثر عليه الباحثون في الداخل

قبل تأكيد Ledger، كان الباحثون قد بدأوا بالفعل بفحص الأجهزة التي جرى العبث بها. ونشرت Tibane Labs ورقة بيضاء تقنية تصف جهازًا يحتوي على متحكّم دقيق وعتاد اتصالات خلوية، متصل بخطوط البيانات الداخلية للشاشة. ووفقًا للتقارير الأمنية، أجرى باحثون، من بينهم Joe Grand من Grand Idea Studio وفريق Tibane Labs، هندسة عكسية للأجهزة المخترقة وحددوا ثلاثة إصدارات من الزرعة.

بحسب التقارير، تلتقط الزرعة عبارة الاسترداد أثناء إعداد المستخدم للجهاز. وعبارة الاسترداد هي الكلمات الـ12 أو الـ24 التي تتحكم بالمحفظة، لذا يستطيع أي شخص يحصل عليها إفراغ المحفظة من أي مكان. وهذا قد يفسر خسارة الضحايا أموالهم من دون أن يوافقوا على أي معاملة.

تنبيه مهم: لم تؤكد Ledger أن الزرعة تسببت في السرقات، ولا تزال الآلية الدقيقة قيد التحقيق. وقد أبلغ الباحثون عن أسلوب الهجوم، لكن Ledger لم تؤكده.

سؤال حول CryptoBilis

وجاء في بيان نُشر عبر الباحث Mark Karpelès ونشرته Tibane Labs أن CryptoBilis أجرت انتقالًا إداريًا في مارس، وأن كاتبي البيان لم يعودوا يتحكمون بأنظمة الشركة أو قواعد بيانات العملاء. ولا يحدد البيان من عبث بالأجهزة أو متى حدث ذلك، ولا يزال هذا السؤال بلا إجابة.

لماذا يختلف هذا النوع من الهجمات

شملت معظم سرقات العملات المشفرة هذا العام اختراقات لمنصات التداول، أو استغلال ثغرات في العقود الذكية، أو هجمات تصيّد. أما هذه الهجمة فتستهدف الجهاز نفسه قبل أن يلمسه المستخدم. إنها هجمة على سلسلة التوريد: يُعدَّل المنتج في مرحلة ما بين المصنع ومكتبك، ولهذا يمكنها التغلب حتى على المستخدمين الحذرين الذين يتخذون كل الإجراءات الصحيحة من جانبهم.

كما يستهدف الفئة الأكثر موثوقية من أجهزة الحفظ الذاتي. تُسوَّق المحافظ المادية على أنها الطريقة الأكثر أمانًا للاحتفاظ بالعملات المشفرة، لأن المفاتيح الخاصة تبقى غير متصلة بالإنترنت. لكن الجهاز الذي جرى العبث به يقوّض هذا الوعد إذا اشتُري من مصدر غير موثوق أو جرى تغييره.

ما الذي ينبغي لمستخدمي Ledger فعله

اتباعًا لإرشادات Ledger وممارسات الأمان المعتادة:

– إذا اشتريت من CryptoBilis خلال الأيام التسعين الماضية ولم تُعِد إعداد الجهاز: فلا تشغّله ولا تبدأ تهيئته.
– إذا كنت تستخدم بالفعل جهازًا اشتريته من CryptoBilis: فاستبدل الجهاز وعبارة الاسترداد معًا، وانقل أموالك إلى محفظة جديدة أُنشئت على جهاز موثوق.
– للجميع: اشتروا المحافظ المادية مباشرةً من الشركة المصنّعة أو عبر قناة موثّقة رسميًا. لا تستخدموا أبدًا جهازًا يصل مهيّأً مسبقًا أو مع عبارة استرداد مكتوبة مسبقًا، وتأكدوا من سلامة أختام العبوة.
– إذا كانت لديكم معلومات عن القضية: تطلب Ledger منكم التواصل مع برنامج المكافآت التابع لها عبر bounty@ledger.fr.

ما الذي سيحدث لاحقًا

لا يزال التحقيق جاريًا، وتقول Ledger إنها تعمل مع جهات إنفاذ القانون. ولا تزال أسئلة أساسية بلا إجابة: كم عدد الأجهزة التي عُبث بها، وأين أُضيفت الزرعات إلى سلسلة التوريد، وهل سيعادل إجمالي الخسائر النهائي التقديرات الحالية التي تتراوح بين 86 و93 مليون دولار أم سيتجاوزها. توقّعوا نتائج تقنية إضافية من Tibane Labs وباحثين آخرين، وربما تقريرًا جنائيًا رقميًا من Ledger، فضلًا عن تدقيق أشد في كيفية تحقّق مصنّعي المحافظ المادية من موزّعيهم ومراقبتهم.