کیف‌پول‌های سخت‌افزاری دست دوم یا واسطه‌ای نخرید؛ هشدار شرکت لجر به کاربران بازار کریپتو

تخلیه ناگهانی بیش از ۸۶ میلیون دلار دارایی دیجیتال از کیف‌پول‌های سخت‌افزاری لجر در جنوب شرق آسیا، زنگ خطر زنجیره تأمین دستگاه‌های فیزیکی را به صدا درآورد. بررسی‌ها نشان می‌دهد قربانیان این سرقت، دستگاه‌های خود را از یک واسطه فروش به نام کریپتوبیلیس تهیه کرده بودند؛ رویدادی که بار دیگر ثابت کرد خرید تجهیزات نگهداری ارز دیجیتال از دست دوم‌فروشی‌ها یا فروشندگان غیررسمی، دسترسی مستقیم سارقان به دارایی شما را فراهم می‌کند.

سرنخ بحران ۸۶ میلیون دلاری؛ زیرساخت لجر امن است؟

شرکت لجر اعلام کرده که سیستم‌ها، سرورها و سخت‌افزارهای تولیدی این شرکت هیچ‌گونه آسیب‌پذیری ساختاری نداشته‌اند و مشکل صرفاً به خریدهای انجام‌شده از واسطه مالزیایی کریپتوبیلیس مربوط می‌شود. با این حال، به دلیل خطر دستکاری فیزیکی پیش از تحویل به مشتری یا ثبت پیش‌دستانه عبارات بازیابی توسط واسطه‌ها، لجر از تمام خریداران ۹۰ روز اخیر این فروشگاه خواسته است دستگاه‌های خود را راه‌اندازی نکنند و در صورت استفاده، فوراً دارایی‌ها را انتقال دهند.

مقایسه بزرگ‌ترین رخنه‌های سخت‌افزاری در ۲۰۲۶

• لجر (نمایندگی کریپتوبیلیس): خسارت بیش از ۸۶ میلیون دلار | ریشه نفوذ: آلودگی زنجیره تأمین واسطه و فروش غیررسمی

• کولدکارد (Coldcard): خسارت نزدیک به ۱۲۰ میلیون دلار بیت‌کوین | ریشه نفوذ: باگ فریمور در تولید کلمات کلیدی

• ترزور (Trezor): نشت دیتابیس ۸۱ هزار کاربر | ریشه نفوذ: هک سرور شرکت واسطه در فرایند ارسال کالا

چک‌لیست حیاتی امنیت کیف‌پول سخت‌افزاری پس از بحران اخیر

برای در امان ماندن از رخنه‌های سخت‌افزاری و حملات مهندسی اجتماعی، رعایت چهار اصل زیر الزامی است:

۱. خرید مستقیم از سازنده: هرگز کیف‌پول‌های سخت‌افزاری دست دوم، پلمب‌بازشده، یا ارائه‌شده از سوی واسطه‌های ناشناس را خریداری نکنید؛ دستگاه باید مستقیماً از کارخانه سازنده یا کانال‌های کاملاً تأییدشده تهیه شود.

۲. تولید عبارت بازیابی جلوی چشم شما: هنگام روشن کردن دستگاه نو، عبارت بازیابی ۲۴ کلمه‌ای باید توسط پردازنده امن خود دستگاه ساخته شود. اگر داخل جعبه کاغذی با کلمات از پیش چاپ‌شده قرار دارد، دستگاه ۱۰۰ درصد هک شده است.

۳. انتقال دارایی با عبارت جدید (New Seed): کاربرانی که به تازگی کیف‌پول خود را از کانال‌های مشکوک تهیه کرده‌اند، باید فوراً تمام موجودی ارز دیجیتال خود را به یک کیف‌پول امن منتقل کرده و دستگاه را با عبارت بازیابی کاملاً جدید بازنشانی کنند.

۴. پرهیز مطلق از ثبت کلمات آنلاین: شرکت لجر یا هیچ سازنده سخت‌افزاری دیگری هرگز عبارت ۲۴ کلمه‌ای شما را در وب‌سایت، فرم‌های پشتیبانی یا پیام‌رسان‌ها درخواست نمی‌کند؛ هرگونه پیام اخطار با لینک ثبت کلمات، حمله فیشینگ است.