هل يمكن لمستخدمي العملات الرقمية أن يثقوا بسلسلة التوريد الخاصة بمحافظ العملات الصلبة؟

تواصل شركة «لجر» مراقبة برمجيات محافظ العتاد الصلب المزروعة على الأجهزة، حتى بعد مرورها عبر الوسطاء وقبل وصولها إلى أيدي المشترين، ولو عبر الموزعين المعتمدين

تقوم أجهزة محفظة Ledger بإعادة مراقبة أجهزة نقل الوسطاء قبل وصولها إلى المشترين، حتى من خلال الموزعين المعتمدين.

صرح الباحث الأمني جو جراند لكوينتيليغراف يوم الثلاثاء أنه لا يمكن أن يتوقع من حاملي العملات المشفرة العاديين اكتشاف تلاعب متطور في محافظ الأجهزة.

تتخصص شركة Grand في أمن الأجهزة وقد ساعدت في استرداد العملات المشفرة من المحافظ المقفلة. ويتضمن عمله تطوير تقنيات لتجاوز إجراءات الحماية الأمنية واستخراج البيانات من شرائح الذاكرة المستخدمة في المحافظ التي تصنعها شركتا Trezor وKeepKey.

وقال غراند: "من الصعب حقاً أن أشرح للناس كيف ينبغي عليهم أن ينظروا إلى أجهزتهم لأنه حتى الأشخاص التقنيين مثلي لا ينظرون إلى كل جهاز على حدة لمعرفة ما إذا كان قد تم العبث به".

ظهرت المخاوف يوم الجمعة بعد تقارير عن خسائر في العملات المشفرة تتعلق بأجهزة Ledger التي تم بيعها من خلال CryptoBilis، وهو وكيل معتمد في إندونيسيا وماليزيا والفلبين. وأكد ليدجر يوم السبت أن أحد الأجهزة المتضررة يحتوي على عملية زرع غير مصرح بها.

قالت شركة تصنيع محافظ الأجهزة الفرنسية إن عمليات الزرع الضارة في محافظ Ledger التي تبيعها شركة CryptoBilis تلتقط عبارات الاسترداد الخاصة بالمستخدمين وتنقلها عبر الشبكات الخلوية.

تم تصميم محافظ الأجهزة لإبقاء المفاتيح الخاصة في وضع عدم الاتصال، مما يقلل من التعرض للهجمات عبر الإنترنت التي يمكن أن تستهدف محافظ البرامج. اكتسبت بعض محافظ الأجهزة شعبية عالمية وخلقت شبكات التوزيع الخاصة بها فرصًا للتلاعب بسلسلة التوريد.

صرح ماتي جرينسبان، محلل العملات المشفرة، لكوينتيليغراف أنه على الرغم من وجوده في الصناعة منذ عام 2013، إلا أنه لم يستخدم أبدًا محفظة الأجهزة لأنه لا يرى قيمة تذكر في إضافة سلسلة ثقة أخرى.

وقال جرينسبان: "عندما تشتري محفظة أجهزة، فإنك تقدم سلسلة جديدة تمامًا من الثقة، من الشركة المصنعة إلى المورد إلى أي شخص كان يقوم بتشغيل الجهاز قبل وصوله إليك".

قال نيك نيومان، الرئيس التنفيذي لشركة كازا لأمن البيتكوين، إنه من المستحيل تجنب ثقة الطرف الثالث تمامًا. وقال: "هناك دائمًا وسيط يجب أن تثق به"، مضيفًا أنه يجب على المستخدمين توزيع مخاطرهم بين مقدمي خدمات متعددين بدلاً من الثقة في مقدم واحد فقط.

وقالت شركة Trezor، وهي من بين المنافسين الرئيسيين لشركة Ledger، إن أجهزتها تخضع لفحوصات الأصالة ولا تقبل إلا أنظمة التشغيل الموقعة، لكنها أقرت بأن وسائل الحماية هذه لا يمكن أن تستبعد التلاعب المادي.

وقال متحدث باسم تريزور لكوينتيليغراف: "يمكنك أيضًا التحقق من أن العبوة والختم المجسم سليمان والبحث عن علامات غير عادية على الجهاز، لكن هذه الفحوصات وحدها لا يمكن أن تضمن عدم العبث بها".

وقالت الشركة إن عمليات الزرع الموجودة في أجهزة Ledger تمثل تحديًا مختلفًا لأنها تلتقط المعلومات من الشاشة دون تغيير البرامج الثابتة. وقالت تريزور إنها لم تشهد هذا النوع من الهجوم على أجهزتها.

وأعلنت تريزور يوم الثلاثاء أنها ستخفض عدد البائعين كإجراء "احترازي".

اقترح غراند العديد من التغييرات في التصميم المادي، بدءًا من الأغطية الشفافة التي تكشف المكونات الداخلية إلى حاويات مقاومة للعبث والتي من شأنها أن تجبر المهاجمين على إعادة بناء العلبة لإخفاء التغييرات.

وقال: "سيكون من الصعب للغاية على الخصم أن يضخ أجهزة إضافية في الجهاز لأنه سيتعين عليه إعادة بناء الهيكل بأكمله".

واستشهد الباحث الأمني أيضًا بتوصيات تصميم مكافحة التلاعب من مهندس الإلكترونيات ديف جونز، مع التحذير من أنه لا ينبغي الاعتماد على مثل هذه الإجراءات وحدها. يمكنهم أن يجعلوا هجمات سلسلة التوريد أكثر صعوبة، لكنهم لن يزيلوا المخاطر.