هشدار بنیان‌گذار بایننس پس از سرقت ۸۶ میلیون دلاری از لجر درباره خطرات پنهان امنیتی

سرقت بیش از ۸۶ میلیون دلار دارایی دیجیتال از دارندگان کیف‌پول‌های سخت‌افزاری لجر در شبکه‌های اتریوم، بیت‌کوین و ترون، واکنش چانگ‌پنگ ژائو (CZ)، بنیان‌گذار بایننس را به همراه داشت. او با هشدار درباره تهدیدی نامرئی اعلام کرد شواهد اولیه حاکی از یک حمله زنجیره تأمین متمرکز روی یک فروشنده خاص است؛ حمله‌ای پیچیده که نشان می‌دهد حتی تست‌های رسمی اصالت نرم‌افزاری دستگاه نیز ممکن است در برابر دستکاری‌های فیزیکی شکست بخورند.

کالبدشکافی سرقت ۸۶ میلیون دلاری و سرنوشت دارایی‌های مسروقه

گزارش‌های آن‌چین از تخلیه ده‌ها کیف‌پول خبر می‌دهند که کاربران آن‌ها دستگاه‌های خود را از توزیع‌کننده کریپتوبیلیس در جنوب شرق آسیا خریده بودند. شرکت لجر بلافاصله فروش و ارسال محصولات این نمایندگی را تعلیق کرد. شرکت تتر نیز برخی آدرس‌های مرتبط با سارقان را مسدود کرده است.

بررسی داده‌های آن‌چین موسسه آرکهام توزیع دارایی‌های موجود در برچسب سارق لجر (شامل ۱۵۲ آدرس) را به شرح زیر نشان می‌دهد:

• اتریوم (ETH): ۱۱,۸۲۲ واحد به ارزش تقریبی ۲۹.۴ میلیون دلار

• بیت‌کوین (BTC): ۲۱۳.۳ واحد به ارزش تقریبی ۱۷.۶۸ میلیون دلار

• استیبل‌کوین یو‌اس‌دی‌دی (USDD): ۱۳.۶۴ میلیون واحد به ارزش ۱۳.۶۵ میلیون دلار

• تتر (USDT): ۱۰.۸۴ میلیون واحد به ارزش ۱۰.۸۵ میلیون دلار

سناریوهای سه‌گانه ژائو و باگ آزمون اصالت لجر

بنیان‌گذار بایننس با اشاره به دستکاری احتمالی سخت‌افزارها پیش از رسیدن به دست خریدار، سه سناریوی اصلی را برای این نفوذ مطرح کرد:

۱. عرضه دستگاه کاملاً تقلبی

۲. دستکاری فیزیکی برد دستگاه با افزودن قطعه سخت‌افزاری مخرب

۳. افشای کلمات بازیابی توسط اشخاص ثالث.

نگران‌کننده‌ترین بخش این ماجرا، ناتوانی آزمون رسمی اصالت سنجی نرم‌افزاری لجر (Genuine Check) در شناسایی این نفوذ است؛ زیرا این سیستم تا زمانی که تراشه اصلی دستگاه دست‌نخورده باقی بماند، متوجه دستکاری‌های فیزیکی جانبی نمی‌شود. مارک کارپلس، مدیرعامل سابق مت‌گاکس، حتی مدلی را به نمایش گذاشت که مدعی بود تراشه‌ای پنهان در آن جاسازی شده تا تصویر صفحه و عبارات بازیابی را هنگام راه‌اندازی ضبط کند.

توصیه فوری به دارندگان کیف‌پول سخت‌افزاری

کارشناسان امنیتی و بنیان‌گذار بایننس به کاربران پیشنهاد می‌کنند قبل از واریز مبالغ سنگین به دستگاه‌های تازه خریداری‌شده، مدتی صبر کنند. خریداران ۹۰ روز گذشته از توزیع‌کننده کریپتوبیلیس نباید دستگاه خود را روشن کنند و در صورت راه‌اندازی، باید فوراً تمام موجودی ارز دیجیتال خود را با عبارات بازیابی کاملاً نو به مقصدی امن انتقال دهند.