المحفظة التي لا تتصل بالإنترنت أرسلت مفاتيحها بنفسها

في 9 أكتوبر 2026 غادر ما يقارب 5 ملايين دولار ثلاثة عناوين بيتكوين دفعة واحدة. كانت الأموال مخزّنة في محافظ Ledger الصلبة، وهي أجهزة وُجدت لغرض واحد: ألّا تلامس مفاتيح العملات المشفّرة الإنترنت أبدًا. ويبدو أنها خرجت عبر شريحة SIM أخفاها أحدهم داخل الهيكل.

أغرب ما في القصة ليس المبلغ. فصاحب الأموال كان محتالًا بنفسه. شركة تحليلات البلوكشين Chainalysis وصفته بأنه من أكبر ضحايا موجة السرقة، وتتبّعت مصدر بيتكوينه الستين. كان يدفع للناس مقابل كتابة مراجعات مزيفة، ثم يطلب منهم رسومًا قبل أن يسدّد لهم ما كسبوه. وفي 22 سبتمبر نقل العائدات إلى ثلاثة عناوين على Ledger. وفي 9 أكتوبر أخذها شخص آخر.

لا تقول Chainalysis من أين اشترى المحتال أجهزته. لكن في اليوم نفسه فتحت Ledger تحقيقًا في خسائر أبلغ عنها مشترون في جنوب شرق آسيا. وفي 10 أكتوبر أكدت الشركة أن محفظة أحد الضحايا تحتوي على زرع غريب، وفي 13 أكتوبر شرحت بالضبط ما وجدته: متحكمًا دقيقًا إضافيًا ومودم اتصالات خلوية مع eSIM، أي شريحة SIM ملحومة مباشرة على اللوحة. جهاز صُنع ليعيش بلا اتصال كان يتصل بالإنترنت خلسة ويرسل مفاتيحه إلى الخارج.

أربع وعشرون كلمة على شاشة

تبدو المحفظة الصلبة كذاكرة USB بشاشة صغيرة وزرّين. في داخلها شريحة آمنة تحتفظ بالمفتاح السري وتوقّع التحويلات بنفسها. أما حاسوبك أو هاتفك فيسلّمها معاملة جاهزة ويستعيدها موقّعة. المفتاح لا يغادر الشريحة، ولذلك لا تصل إليه البرمجيات الخبيثة على الحاسوب.

غير أن لهذا النظام مخرج طوارئ لا غنى عنه. فالمحافظ تضيع وتتحطم. ولهذه الحالة يعرض الجهاز عند الإعداد الأول 24 كلمة على شاشته، وينسخها المالك على ورقة.

السر الرئيسي للمحفظة لا يظهر نصًّا صريحًا إلا في لحظات نادرة. أكثرها شيوعًا الإعداد الأول، حين تظهر الكلمات على الشاشة، وأقلّ منه الاسترداد، حين تُدخَل الكلمات من جديد. والهجوم مبني حول أولى هاتين اللحظتين.

هاتف داخل المحفظة

في 13 أكتوبر شرح فريق الأمن في Ledger، Ledger Donjon، طريقة عمل الزرع. متحكم دقيق داخل الهيكل يراقب ما يظهر على الشاشة، ويفك ترميز كلمات الاسترداد، ثم يرسلها عبر LTE، أي الإنترنت الخلوي العادي كما في الهاتف. ولا يمسّ الشريحة الآمنة ولا البرنامج الثابت، ولا يغيّر المعاملات أو التواقيع. المحفظة لا تلاحظ شيئًا. تواصل حراسة مفتاحها بإخلاص، بينما الكلمات الأربع والعشرون القادرة على إعادة بناء ذلك المفتاح صارت منذ وقت طويل في أيدي الغرباء.

ولهذا يعجز فحص الأصالة الرسمي هنا. فبحسب Ledger، لا تستطيع ميزة Genuine Check اكتشاف المكوّنات المضافة ما دامت الشريحة الآمنة الأصلية في مكانها. فهي تفحص الشريحة. لا جاراتها.

لم يكن المنفّذون هواة. ففي النسخة الأولى وجد باحثو Tibane Labs متحكمًا دقيقًا من نوع STM32، وشريحة eSIM بحجم 2 في 2 ملّيمتر، ووحدة راديو مدرّعة. ولتوفير المساحة استُبدلت البطارية الأصلية بأخرى أصغر تغذّي المحفظة و"الجاسوس" معًا. وفي النسخة الثانية كُشطت علامات الشريحة، ودُسّت اللوحة تحت الشاشة في مكان الوسادة الإسفنجية المعتاد. كانت لوحة مرنة تُصنع بالدفعات على طريقة المصانع، لا شيئًا لُحم باليد على طاولة مطبخ.

متجر بالشعار الصحيح على بابه

تربط Ledger كل خسارة مؤكدة ببائع واحد هو CryptoBilis، متجر تجزئة ماليزي. لم يكن موزعًا عشوائيًا من سوق السلع المستعملة: ففي 9 أكتوبر كان مدرجًا موزعًا رسميًا لـLedger في إندونيسيا وماليزيا والفلبين. ولم يحدد التحقيق بعد من فتح العلب ولا أين، على الطريق من المصنع أم في مستودع.

لكن القصة لم تبقَ في آسيا. ففي ألمانيا اشترى زبون عادي محفظة من MediaMarkt، سلسلة كبرى لبيع الإلكترونيات الاستهلاكية، ووجد “جاسوسًا” بداخلها. لم يخسر أي مال، وسحبت السلسلة Ledger من متاجرها وموقعها. أما مارك كاربيليس، الرئيس السابق لمنصة Mt. Gox، فكتب أنه عثر على زرع في Ledger Flex اشتراها من متجر في مطار سنغافورة، رغم أن Ledger لم تؤكد وجود صلة بين ذلك الجهاز وCryptoBilis. وطلبت Ledger نفسها من البائعين في ست دول بجنوب شرق آسيا وهونغ كونغ سحب المحافظ من الرفوف إلى حين اكتمال الفحوص.

لا أحد يعرف كم سُرق إجمالًا. فبحسب حصيلة باحثين يستخدمون الاسمين tanuki42 وSpecter، ذهب ما بين 72 مليون دولار وأكثر من 86 مليون دولار إلى عناوين مشبوهة. وتقول Ledger صراحة إن هذه الأرقام من أطراف ثالثة وإنها لم تتحقق منها. أما Tether فتصدر دولارات رقمية تُعرف بالعملات المستقرة، ويمكنها تجميد عملاتها الموجودة عند عنوان غريب. وقد جمّدت ما قيمته 10 ملايين دولار مرتبطًا بالسرقة. وحتى الآن هذا هو المبلغ المسمّى الوحيد الذي نجح أحد في إيقافه في منتصف الطريق.

مفتاح لا يمكن تغييره

لدى Ledger، فات فحص الأصالة لوحة إلكترونية إضافية. أما لدى Keystone، الشركة الأخرى المصنّعة للمحافظ الصلبة، فقد سرق اللصوص المفتاح الذي يقوم عليه فحص كهذا. ففي 20 أكتوبر دخل مهاجم إلى موقع الشركة عبر ثغرة في أداة طرف ثالث لمراقبة البيانات. وقالت Keystone إن بيانات ما يقارب 26 ألف مشترٍ من 2024 إلى 2026 انكشفت: الأسماء وبيانات الاتصال وعناوين الشحن ومحتويات الطلبات. أما عبارات الاسترداد ومفاتيح المحافظ فلم تتأثر، بحسب الشركة.

قائمة بعناوين منازل من اشتروا جهازًا لتخزين العملات المشفّرة خطرة بذاتها. ففي فرنسا يقتحم لصوص منازل أمثال هؤلاء فعلًا، ويستقون معلوماتهم من قواعد بيانات متسرّبة كهذه. وبعض السجلات ما كان ينبغي أن توجد أصلًا. فبحسب سياسة Keystone نفسها كان يجب حذفها بعد 180 يومًا، لكن أداة الحذف الآلي تعطّلت. ولم ينتبه أحد. وكتبت الشركة: “لم نفِ بالتزامنا بمحو بيانات العملاء في وقتها، ونتحمل مسؤولية هذا الإخفاق”.

والخسارة الثانية أسوأ. فقد أخذ المهاجم أيضًا مفتاحًا مدمجًا في كل جهاز عند التصنيع ليثبت أصالته أثناء الفحص عبر الإنترنت. وهذا المفتاح لا يمكن تغييره في المحافظ المنتَجة بالفعل. أي أن جهازًا مزيفًا يحمله سيجتاز الفحص نفسه الذي وُضع لكشفه.

قررت Keystone إتلاف 18,835 جهازًا غير مباع، وأوقفت الشحنات، ونقلت متجرها الإلكتروني إلى نظام الطلب المسبق. وتقول الشركة إن المحافظ المسلَّمة قبل 20 أكتوبر آمنة للاستخدام إن اجتازت المصادقة. أما من تسلّم محفظة بعد ذلك التاريخ فعليه أن يفحصها فحصًا إضافيًا أولًا. كما تحذّر Keystone من أنها لن ترسل أبدًا رسائل تطلب من العملاء إعادة جهاز أو نقل أموالهم: فمثل هذه الرسائل من المحتالين.

سلسلة عليك أن تثق بها

يتصرف المصنّعون بطرق مختلفة. Trezor لم تجد أجهزة عبث بها في منتجاتها، لكنها ستقلّص شبكة موزعيها اعتبارًا من 1 يناير 2027، وسيفقد بعض المتاجر حق بيع محافظها. أما OneKey فقد أنهت شراكتها مع CryptoBilis وتستبدل مجانًا محافظها التي اشتُريت من هناك بين 1 مارس و13 أكتوبر 2026.

تنصح Ledger بعدم إعداد أجهزة CryptoBilis إطلاقًا. ومن يملكها بالفعل عليه نقل أمواله إلى محفظة جديدة بعبارة استرداد جديدة، وألّا يُدخل الكلمات القديمة على جهاز مشبوه أبدًا. وتقول Ledger إن خوادمها ومبيعاتها المباشرة لم تتعرض للاختراق، ولا شيء حتى الآن ينقض ذلك. ومن هنا أعمق خلاصة عملية: أأمن طريق هو الشراء مباشرة من المصنّع وعدم إعداد محفظة مجهولة المصدر.

ويبقى الكثير مجهولًا. فعدد الضحايا لم يُعلن، ومن لحم اللوحات لم يُعثر عليه. كما لا يُعرف إلى أي مدى انتشرت الأجهزة المعبوث بها خارج بائع واحد.

كتب تشانغبنغ تشاو، المؤسس المشارك لـBinance، في يوم التقارير الأولى أن الحفظ الذاتي يأتي بمسؤوليات إضافية. غير أن عملاء CryptoBilis اشتروا محافظهم من بائع رسمي، ولا قدر من الحذر كان سيمكّنهم من اكتشاف لوحة مخبأة تحت الشاشة.

وعدت المحفظة الصلبة صاحبها بأنه لن يحتاج بعد اليوم إلى الوثوق ببورصة أو مصرف. وأظهر أكتوبر أن الثقة لم تختفِ بل انتقلت: صار عليك أن تثق بالمصنع والمستودع والمتجر وساعي التوصيل الذي حمل الصندوق قبل أن تلمسه أنت.