Ledger تكشف كيف سرق شريحة مخفية عبارات الاستعادة في اختراق بقيمة 93 مليون دولار

كشفت Ledger عن أن شريحة سرية مدمجة في محافظ الأجهزة الصلبة من بائعها CryptoBilis قامت بالتقاط عبارات الاستعادة المكونة من 24 كلمة من الشاشة وإرسالها عبر الشبكة الخلوية إلى المهاجم، وهو ما قدرت الباحثون تكلفته بين 84.2 مليون دولار و93.2 مليون دولار.

كشفت الشركة الفرنسية عن تفاصيل نقطة الاختراق لأول مرة في تحديث مدونة على منصة X يوم الثلاثاء من قبل فريقها الأمني، Ledger Donjon. وهذا ربما يكون أكثر شرح مفصل لكيفية فقدان مالكي الأجهزة المخترقة الوصول إلى عملاتهم الرقمية دون حتى لمس برمجيات Ledger.

كيف استخرجت الشريحة المزروعة المفاتيح من الشاشة

وُجد الشريحة الإضافية داخل هيكل الجهاز، وفقًا لـ Ledger. أثناء إعداد المحفظة، عندما يعرض المستخدم الكلمات الـ 24 التي تعمل كنسخة احتياطية للحساب، تقرأ وحدة التحكم الدقيقة المزروعة هذه الكلمات وتترجمها إلى بيانات تُنقل عبر شبكة LTE باستخدام شريحة SIM مدمجة.

يعتبر رمز الاسترداد هذا في الأساس حسابًا. بمساعدته، يمكنك استعادة محفظتك على جهاز آخر دون الحاجة إلى استخدام الجهاز المتضرر وإجراء أي معاملات.

تحديث حول أجهزة Ledger في MediaMarkt Saturn 🔽

اعتبارًا من 13 أكتوبر، أوقفت MediaMarkt Saturn، بتوافق مع Ledger، بيع أجهزة Ledger في متاجرها وعبر الإنترنت بينما تستمر التحقيقات، وذلك بعد الإبلاغ عن وجود غرس إلكتروني لدى أحد العملاء في ألمانيا. ولم يُبلغ عن أي فقدان للأموال.

لا توجد مؤشرات على اختراق بنية Ledger التحتية أو أنظمتها أو خدماتها. تقوم دعم Ledger بمراجعة تقارير المستخدمين، وسيجري خبراء الأمن السيبراني في Ledger، فريق Donjon، فحص الأجهزة التي نتلقاها: https://t.co/QzukOZdEzq.

إذا كانت لديك أسئلة حول جهاز اشتريته، تواصل مع دعم Ledger على https://t.co/QzukOZdEzq. لن يتصل بك Ledger أو يرسل لك رسائل مباشرة أو يطلب منك عبارة الاستعادة المكونة من 24 كلمة.

العديد من الادعاءات والأرقام المنتشرة عبر الإنترنت غير موثقة. غالباً ما يحاول المحتالون الاستفادة من حوادث مثل هذه. اعتمد فقط على قنوات Ledger وMediaMarkt Saturn الرسمية للحصول على التحديثات. سنشارك المزيد من المعلومات مع استمرار التحقيق.

— Ledger (@Ledger) أكتوبر 13، 2026

وفقاً للتقارير، كانت الأجهزة المخترقة من طراز Ledger Nano X. شارك مارك كارباليس، الرئيس التنفيذي السابق لشركة Mt. Gox والآن في Karpeles Lab، صورة للزر المخفي خلف الشاشة وأشار إلى أن كابل الهوائي كان الدليل. وأكدت مختبرات الأبحاث Tibane Labs هذا الاكتشاف وقالت إنها تملك نسختين من الزر، بما في ذلك واحدة تحتوي على متحكم دقيق ST STM32G431KBU6، وشريحة eSIM بحجم 2×2 ملم، ووحدات LTE.

هجوم على سلسلة التوريد، وليس اختراقاً للبرمجيات

ومع ذلك، حرصت Ledger على توضيح ما تم إنقاذه من الهجوم. لم يتسبب الزرع في الإضرار بعنصر الأمان الآمن، وهو الشريحة التي تضمن سلامة المفاتيح الخاصة. ولم يؤثر على نظام التشغيل، ولم يكن له أي تأثير على المعاملات والتوقيعات، كما ذكرت الشركة في منشور لها على منصة X.

صفت الشركة الحادث بأنه هجوم مادي على سلسلة التوريد الخاصة بها وليس اختراقًا لبرمجياتها أو عملياتها الداخلية. وأشارت شركة Ledger، التي تدعي أنها تشحن أكثر من 8 ملايين جهاز، إلى أن نظام "التحقق من الأصالة" الخاص بها غير قادر على اكتشاف أي زرع طالما بقي عنصر الأمان الآمن الأصلي دون مساس.

تقديرات سرقة Ledger تتجاوز 86 مليون دولار مع تجميد Tether لأموال بقيمة 10 مليون دولار

لم تصدر Ledger أي بيانات حول عدد الضحايا أو القيمة المتضمنة. ومع ذلك، قامت شركات البحث على السلسلة blockchain بأعمالها ووصلت إلى أرقامها. تشير التقارير إلى أن خسائر تقدر بنحو 93.2 مليون دولار موزعة عبر أكثر من 300 محفظة. لكن المحقق Specter يرفع قيمة الخسائر إلى ما وراء 86 مليون دولار، بينما يرفع Yfarmx رقمه إلى 103 مليون دولار. Tether تجمّد 10 مليون دولار قيمة عملتها المستقرة USDT المرتبطة بالسرقة.

تم اكتشاف ذلك في 9 أكتوبر عندما شرعت Ledger في تحقيق حول مزاعم استنزاف الأموال وطلبت من CryptoBilis التوقف عن بيع أجهزة التوقيع الخاصة بها. كشفت Ledger في 10 أكتوبر أن جهازاً واحداً من بين الأجهزة التي تخص المستخدمين المتضررين يحتوي على برنامج ضار غير قانوني. حتى الآن، تتضمن جميع الخسائر المؤكدة وحدة واحدة تم بيعها بواسطة CryptoBilis، وهو موزع معتمد في إندونيسيا وماليزيا والفلبين.

شركات المنافسة تقطع علاقاتها مع CryptoBilis

وذكرت تقارير أن CryptoBilis أوقفت جميع عمليات البيع والتسليم لأجهزة المحافظ المادية من علامات تجارية مختلفة في الدول الثلاث وأغلقت متاجرها الفعلية، مما يوسع خطوة سابقة شملت علامة Ledger فقط. وذكرت شركة التوزيع أنها تقوم بمراجعة الوضع بمساعدة خبراء خارجيين.

أفادت Trezor بأنها لم تجد أي دليل على التلاعب بأجهزتها التي أعاد بيعها CryptoBilis، لكنها قررت nonetheless إزالة بائع التجزئة هذا من قائمة الموزعين المعتمدين لديها. وذكرت شركة OneKey أنه لم يتم الإبلاغ عن أي خسائر مرتبطة بهذه الحالة، كما أنها أزلت CryptoBilis من قائمة بائعي التجزئة المعتمدين لديها؛ بالإضافة إلى ذلك، عرضت استبدال أجهزة OneKey التي تم شراؤها عبر CryptoBilis بين 1 مارس و12 أكتوبر 2026 مجاناً.

تقارير تتجاوز بائع التجزئة

«ذكرت Ledger أنها تحقق في تقارير حول وجود غرسات في أجهزة غير مُباعة عبر CryptoBilis، لكنها لم تؤكد بعد حدوث سرقة في جهاز تم شراؤه من أي متجر آخر»، وفقاً لما أفادت به Cointelegraph. وعلاوة على ذلك، وبحسب Cointelegraph، قام مستخدم على منصة X يُدعى Johannes برفع صور لجهازين من Ledger زعم أنهما تم شراؤهما بشكل منفصل من متاجر MediaMarkt في أوروبا، وكلاهما كان يحتوي على غرسات.

لم تؤكد ليدجر بعد أي صلة بين التقارير في أوروبا وحالة كريبوبيليس. ونصائح المستخدمين لمنتجات كريبوبيليس، وفقًا لـ ليدجر، واضحة جدًا: لا تقم بتهيئة جهاز توقيع من كريبوبيليس وإذا قمت بتهيئته بالفعل، فانتقل بالأموال إلى جهاز آخر مع عبارة استعادة جديدة.