سرقت ۹۰ میلیون دلاری با نفوذ سخت‌افزاری به کیف‌پول‌های لجر

یک رخنه‌ی سخت‌افزاری سازمان‌یافته در کیف‌پول‌های رمزارزی لجر منجر به سرقت بیش از ۹۰ میلیون دلار از دارایی کاربران شد؛ رویدادی که ضعف بنیادین زنجیره تأمین در حوزه نگهداری سرد (Cold Storage) را برملا ساخت. این سرقت‌ها که فرآیند خالی کردن حساب‌ها را از ۹ اکتبر ۲۰۲۶ کلید زدند، مستقیماً به دستگاه‌هایی مربوط می‌شوند که پیش از رسیدن به دست خریدار، تغییرات فیزیکی پیدا کرده بودند. این رخنه نقطه تمرکز تهدیدهای سایبری را از باگ‌های نرم‌افزاری به مداخله مستقیم در سخت‌افزار منتقل کرده است.[1][2][4]

مهاجمان با دسترسی به دستگاه‌های اصلی لجر، برد الکترونیکی بسیار کوچکی را زیر نمایشگر OLED و در فضای پد محافظ آن لحیم کردند. این ماژول مخرب مجهز به یک میکروکنترلر، آنتن و تراشه eSIM برای انتقال داده از طریق شبکه‌های مخابراتی است؛ پیاده‌سازی چنین شیوه‌ای نیازمند بودجه چشمگیر، هماهنگی لجستیکی بالا و دسترسی فیزیکی مستقیم به محموله‌ها پیش از توزیع بوده است.[2][4]

هنگامی که کاربر دستگاه را برای بار نخست روشن می‌کند، کیف‌پول یک عبارت بازیابی ۲۴ کلمه‌ای تولید و نمایش می‌دهد. قطعه جاسازی‌شده این کلمات را مستقیماً از سخت‌افزار صفحه نمایش خوانده و از طریق بستر شبکه مخابراتی LTE برای مهاجمان ارسال می‌کند. هکرها با در اختیار داشتن عبارت بازیابی، کیف‌پول را روی دستگاه‌های خود بازسازی کرده و در زمان دلخواه موجودی را بدون نیاز به دسترسی دوباره به سخت‌افزار قربانی تخلیه می‌کنند.[1][3]

دور زدن عنصر امنیتی

از آنجا که این قطعه مخرب صرفاً محتوای نمایشگر را رصد می‌کند و هیچ‌گونه تداخلی با چیپ امنیتی موسوم به «عنصر امن» (Secure Element) ندارد، دستگاه‌های دستکاری‌شده تمامی آزمون‌های اصالت‌سنجی رسمی لجر را هنگام اتصال با موفقیت پشت سر می‌گذارند. بررسی‌های فنی روی یکی از دستگاه‌های آلوده در مالزی نشان داد بسته‌بندی نایلونی و پلمب کارخانه کاملاً دست‌نخورده به نظر می‌رسید، به طوری که کشف این نفوذ بدون باز کردن کامل فیزیکی بدنه دستگاه ناممکن بوده است.[1][4]

شرکت لجر با تایید وقوع این حمله، تمام موارد تاییدشده تخلیه حساب را به دستگاه‌های توزیع‌شده توسط شرکت کریپتوبیلیس (CryptoBilis) در مالزی محدود دانست؛ شرکتی که به عنوان نماینده رسمی توزیع در منطقه جنوب‌شرقی آسیا فعالیت می‌کرد. این تولیدکننده مستقر در پاریس بلافاصله به نماینده مذکور دستور داد ارسال کالاها را متوقف کند. لجر در بیانیه رسمی خود تصریح کرد: «اگر دستگاه خود را از کریپتوبیلیس خریده‌اید و هنوز آن را راه‌اندازی نکرده‌اید، دستگاه را روشن نکنید و با پشتیبانی لجر تماس بگیرید».[2][3]

ردیابی داده‌های آن‌چین نشان می‌دهد دارایی‌های به سرقت رفته در حداقل ۶ شبکه بلاک‌چینی مختلف پخش شده و مجموع زیان به بار آمده از تخلیه بیش از ۳۱۵ کیف‌پول مجزا فراتر از ۹۰ میلیون دلار است. عمده این سرقت روی شبکه ترون متمرکز بود که حدود ۷۰٫۵ میلیون دلار از مبالغ سرقتی را شامل می‌شد و مابقی عمدتاً به بیت‌کوین و اتریوم اختصاص داشت. مهاجمان برای پنهان کردن رد تراکنش‌ها، مبالغ را از سرویس‌های میکسر رمزارزی عبور داده‌اند.[3][4]

در پی این حادثه، شرکت تتر اقدام به مسدودسازی حدود ۱۰ میلیون دلار توکن USDT در آدرس‌های مرتبط با مهاجمان کرد. با وجود آنکه این اقدام بخشی از ارزش مسروقه را متوقف ساخت، اما ماهیت غیرمتمرکز سایر شبکه‌ها سبب شد بازیابی بخش عمده این ۹۰ میلیون دلار امکان‌پذیر نباشد؛ موضوعی که نشان‌دهنده قطعی بودن و بازگشت‌ناپذیری خسارت ناشی از افشای عبارات بازیابی در کیف‌پول‌های سخت‌افزاری است.[4]

توقف فروش سخت‌افزار توسط خرده‌فروشان

تبعات این ماجرا از جنوب‌شرقی آسیا فراتر رفته و زنجیره کلی خرده‌فروشی را با تردید روبه‌رو کرده است. در پی انتشار گزارش‌های تاییدنشده از دستکاری‌های مشابه در اروپا، چندین فروشگاه زنجیره‌ای بزرگ لوازم الکترونیکی، محصولات لجر را از قفسه‌ها و فروشگاه‌های اینترنتی خود جمع‌آوری کردند. لجر اعلام کرده در حال بررسی گزارش‌های دریافتی از سایر مناطق است، هرچند تاکید دارد تمامی موارد سرقت قطعی، به زنجیره تأمین کریپتوبیلیس بازمی‌گردد.[2]

ابعاد وسیع این سرقت، سایر تولیدکنندگان کیف‌پول سخت‌افزاری را نیز ناچار به بازبینی رویه‌های توزیع خود کرد. رقبایی نظیر ترزور (Trezor) و وان‌کی (OneKey) اعلام کردند در حال ممیزی برنامه‌های فروشندگان مجاز خود هستند و شرکت OneKey همکاری با کریپتوبیلیس را به طور کامل فسخ کرد. این رخداد ریسک‌های ساختاری وابسته بودن به توزیع‌کنندگان شخص ثالث برای کالاهای حساس امنیتی را عیان کرد.[1][3]

شواهد نشان می‌دهد این شیوه نفوذ ماه‌ها پیش از تخلیه گسترده دارایی‌ها در ماه اکتبر فعال بوده است. محققان امنیت سایبری پیش‌تر از کشف ایمپلنت سلولار مشابهی در یک دستگاه لجر نانو ایکس خبر داده بودند که از بازار تایلند خریداری شده بود و در مارس ۲۰۲۶ این آسیب‌پذیری را به لجر اطلاع دادند. گزارش‌ها حاکی است لجر از دسامبر ۲۰۲۵ هشدارهایی درباره دستگاه‌های دستکاری‌شده دریافت کرده بود، مساله‌ای که انتقاد شدید فعالان بازار رمزارز را نسبت به تاخیر در اطلاع‌رسانی عمومی برانگیخته است.[1][2]

اضطراب ایجادشده میان سرمایه‌گذاران بستری برای حملات ثانویه فراهم کرده است. شرکت‌های امنیت بلاک‌چین گزارش داده‌اند کلاهبرداران اقدام به ارسال ایمیل‌های فیشینگ گسترده در پوشش به‌روزرسانی اضطراری سفت‌افزار لجر کرده‌اند. در این پیام‌ها ادعا شده بسته‌ای ترمیمی برای مقابله با بدافزار مالزیایی ارایه شده و کاربران به درگاه‌های جعلی هدایت می‌شوند تا عبارت ۲۴ کلمه‌ای خود را ثبت کنند.[3]

سالی پرآشوب برای ذخیره‌سازی سرد

بحران اخیر لجر زنجیره‌ای از مشکلات حوزه ذخیره‌سازی سرد در سال جاری را کامل کرد. در ماه‌های گذشته، باگ نرم‌افزاری در دستگاه‌های شرکت کوین‌کایت (Coinkite) آسیب‌پذیری‌های شدیدی به همراه داشت و منجر به سرقت تقریبی ۱۳۰ میلیون دلار بیت‌کوین شد. اندکی پس از آن، نشت اطلاعاتی در یکی از ارایه‌دهندگان خدمات پستی ترزور، داده‌های هویتی نزدیک به ۶۷ هزار خریدار را فاش ساخت؛ مسایلی که اعتماد فعالان اقتصادی به اکوسیستم کیف‌پول‌های فیزیکی را متزلزل کرده است.[2]

این رخداد صنعت دارایی‌های دیجیتال را با محدودیت‌های ذاتی راهکارهای نگهداری شخصی (Self-Custody) روبه‌رو کرده است. ذخیره‌سازی آفلاین اگرچه کلیدهای خصوصی را از نفوذ از راه دور مصون می‌دارد، اما در برابر رهگیری فیزیکی کالا پیش از تحویل بی‌دفاع است. این پرونده نشان داد اطمینان کاربران نباید صرفاً به استحکام الگوریتم‌های رمزنگاری محدود باشد، بلکه سلامت فیزیکی کل مسیر توزیع از کارخانه تا لحظه تحویل نقشی تعیین‌کننده دارد.[1][4]