به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از کریپتو بریفینگ، مهاجمان در کیف‌پول‌های سخت‌افزاری لجر تراشه مخفی کار گذاشته‌اند. این دستگاه‌ها از طریق «کریپتوبیلیس»، نماینده فروش رسمی لجر در جنوب شرق آسیا، به دست مشتریان رسیده بود. برآورد زیان بین ۷۲ تا بیش از ۹۳ میلیون دلار است و صدها کیف‌پول را دربر می‌گیرد.
کیف‌پول سخت‌افزاری دستگاهی کوچک است که کلید دسترسی به رمزارز را دور از اینترنت نگه می‌دارد. کاربران این ابزار را می‌خرند تا به هیچ واسطه‌ای اعتماد نکنند. این رخداد نشان می‌دهد مسیر رسیدن دستگاه از کارخانه به دست خریدار نیز می‌تواند نقطه ضعف باشد. اگر این مبلغ میان چند صد کیف‌پول تقسیم شود، زیان میانگین هر کاربر از ۱۰۰ هزار دلار فراتر می‌رود.
این تراشه‌ها بردهای مداری کوچکی با قابلیت اتصال به شبکه تلفن همراه بودند و پشت صفحه نمایش دستگاه پنهان شده بودند. کار آن‌ها ثبت «عبارت بازیابی» ۲۴ کلمه‌ای کاربر و ارسال آن از طریق شبکه موبایل بود. عبارت بازیابی در حکم کلید اصلی کیف‌پول است. هر کس این ۲۴ کلمه را داشته باشد، می‌تواند کیف‌پول را روی دستگاه دیگری بسازد و دارایی را منتقل کند.
لجر روز ۱۰ اکتبر ۲۰۲۶ (۱۸ مهر ۱۴۰۵) تأیید کرد که دست‌کم یکی از دستگاه‌ها سخت‌افزار غیرمجاز داشته است. این شرکت از کریپتوبیلیس خواست فروش و ارسال همه محصولاتش را متوقف کند. مارک کارپلس، پژوهشگر امنیتی، چند نسل از این تراشه‌ها را در دستگاه‌های خریداری‌شده در جنوب شرق آسیا مستند کرده است. به گفته او، این قطعه‌ها طوری طراحی شده بودند که سازوکارهای امنیتی لجر متوجه حضورشان نشود.
ردپای پول‌های سرقت‌شده
برداشت‌های غیرعادی از حدود ۹ اکتبر ۲۰۲۶ (۱۷ مهر ۱۴۰۵) آغاز شد و بیش‌تر زیان‌ها طی ۲ روز ثبت شد. پژوهشگران ورود حجم قابل توجهی دارایی به نشانی‌های سارقان را روی شبکه‌های بیت‌کوین، اتریوم و تتر ردیابی کردند. بخشی از این وجوه از «میکسر»هایی مانند تورنادو کش عبور داده شده است. میکسر ابزاری است که دارایی‌های کاربران مختلف را در هم می‌آمیزد تا ردیابی مبدأ آن دشوار شود.
در مقابل، شرکت تتر حدود ۱۰ میلیون دلار از استیبل‌کوین «یو‌اس‌دی‌تی» مرتبط با این نشانی‌ها را مسدود کرده است. استیبل‌کوین رمزارزی است که ارزشش به دلار گره خورده و صادرکننده آن امکان توقیف دارد. این رقم حدود یک‌نهم تا یک‌هفتم کل زیان برآوردشده است. لجر می‌گوید مشکل به همین کانال فروش در مالزی، اندونزی و فیلیپین محدود است و نشانه‌ای از آسیب به محصولات فروش مستقیم وجود ندارد.
یک پست در شبکه اجتماعی ایکس مدعی شده است مهاجمان خود این نماینده فروش را خریده و از آن تعهد عدم افشا گرفته‌اند؛ لجر این ادعا را تأیید نکرده است. به نوشته منبع، برای دارندگان دستگاه‌های این کانال، نه دستگاه قابل اعتماد است و نه کیف‌پولی که با آن عبارت ساخته شده است. ابعاد نهایی ماجرا به سه پرسش بستگی دارد: تعداد واقعی دستگاه‌های آلوده، میزان دارایی‌های قابل توقیف و درستی ادعای خرید نماینده فروش.
نظرات کاربران