در پی گزارش‌های متعدد از تخلیه غیرمجاز دارایی‌های دیجیتال در کیف‌پول‌های سخت‌افزاری Ledger، تحقیقات فنی صورت‌گرفته توسط تیم امنیتی این شرکت (Donjon) و محققان مستقل، وجود یک «ایمپلنت سخت‌افزاری» مخرب را در زنجیره تأمین تأیید کرده است. این بحران امنیتی که اکنون باعث شده است خرده‌فروشی‌های بزرگی نظیر MediaMarktSaturn فروش محصولات این برند را در سطح جهانی متوقف کنند، زنگ خطری جدی برای امنیت فیزیکی تجهیزات نگهداری رمزارز محسوب می‌شود.
ماهیت فنی و عملکرد ایمپلنت‌های جاسوسی
بر اساس تحلیل‌های فنی تیم Ledger Donjon، این قطعات سخت‌افزاری اضافه، در واقع میکروکنترلرهایی هستند که به صورت فیزیکی درون محفظه دستگاه جاسازی شده‌اند. برخلاف تصور اولیه مبنی بر تغییر در Secure Element (عنصر امن) یا سیستم‌عامل Ledger، این ابزارها مستقلاً عمل می‌کنند. عملکرد اصلی آن‌ها «شنود بصری» است؛ به این صورت که با نظارت بر داده‌های ارسالی به نمایشگر دستگاه، هنگامی که کاربر در حال پیکربندی کیف‌پول و مشاهده عبارت بازیابی ۲۴ کلمه‌ای (Recovery Phrase) است، این کلمات را استخراج کرده و از طریق یک ماژول ارتباطی LTE و یک eSIM تعبیه‌شده به سرورهای مهاجم مخابره می‌کنند.
ابعاد زنجیره تأمین و گستره نفوذ
بررسی‌های انجام شده تا پاییز ۱۴۰۵ نشان می‌دهد که این تهدید برخلاف حملات نرم‌افزاری معمول، از طریق دستکاری فیزیکی دستگاه‌ها پیش از رسیدن به دست مشتری نهایی صورت گرفته است. تا به امروز، بیشترین موارد مشکوک به فروشگاه‌های واسط در جنوب شرقی آسیا، به‌ویژه فروشنده CryptoBilis، نسبت داده شده است. مارک کارپلس، مدیرعامل سابق صرافی Mt. Gox، که نقش فعالی در کالبدشکافی این دستگاه‌ها داشته، معتقد است که کیفیت مونتاژ و پیچیدگی ایمپلنت‌ها نشان‌دهنده یک فرآیند تولید صنعتی و سازمان‌یافته است که احتمالاً قبل از مرحله بسته‌بندی نهایی در خط تولید یا توزیع‌کنندگان واسط رخ داده است.
مشخصات فنی و یافته‌های کلیدی
- نوع حمله: نفوذ سخت‌افزاری در زنجیره تأمین (Supply Chain Attack).
- مکانیسم سرقت: خواندن داده‌های خروجی نمایشگر و انتقال از طریق شبکه LTE/eSIM.
- نقاط نفوذ ناپذیر: طبق بررسی‌ها، Secure Element و سیستم‌عامل اصلی دستگاه دست‌نخورده باقی مانده‌اند.
- وضعیت شبکه: تخمین زده می‌شود بیش از ۱۰۰ میلیون دلار از ۳۲۴ کیف‌پول از طریق این روش سرقت شده باشد.
- اقدام امنیتی: توقف توزیع توسط فروشگاه‌های زنجیره‌ای MediaMarktSaturn در سراسر اروپا.
تحلیل زنجیره انتقال دارایی و روش‌های پولشویی
تحقیقات شرکت Bitquery نشان می‌دهد مهاجمان از پروتکل‌های اختلاط تراکنش مانند Tornado Cash و رمزارز با حریم خصوصی بالا یعنی Zcash برای پنهان‌سازی ردپای خود استفاده کرده‌اند. با این حال، الگوهای زمانی و مبالغ تراکنش‌ها، ارتباط قوی بین این نفوذها و تخلیه دارایی‌ها را تأیید می‌کند. Tether نیز در واکنش به این رخداد، نزدیک به ۱۰ میلیون دلار از تترهای مرتبط با این کیف‌پول‌های آلوده را مسدود کرده است.
راهکارهای محافظتی و نتیجه‌گیری
توصیه می‌شود کاربران همواره کیف‌پول‌های سخت‌افزاری را مستقیماً از وب‌سایت سازنده (Ledger.com) یا نمایندگان رسمی تأییدشده تهیه کنند. برای کاربرانی که به اصالت دستگاه خود مشکوک هستند، Ledger راهنماهای بررسی فیزیکی ارائه داده است. با این حال، به دلیل ریسک آسیب‌دیدگی سخت‌افزار هنگام باز کردن محفظه، این کار باید با دقت بسیار بالا انجام شود. این واقعه نشان می‌دهد که حتی سخت‌افزارهای امن نیز در صورت نقص در نظارت بر زنجیره تأمین، در برابر حملات فیزیکی آسیب‌پذیر هستند.
