ليدجر المحاصر: نصاب يخسر 60 بيتكوين

المُرشِد المُرشَد. منذ 9 أكتوبر، شهد مئات من حاملي أجهزة ليدجر المحاصرة اختفاء عملاتهم المشفرة. كانت أجهزتهم، التي تم شراؤها من جنوب شرق آسيا، قد تم فتحها وتزويرها قبل البيع. ومن بين الضحايا كان هناك نصاب. لقد قام بتجميع غنائم عملية احتيال تتعلق بـ << المهام المدفوعة >> على ثلاث عناوين تم إنشاؤها حديثًا. النتيجة: أخذ اللصوص منه أكثر من 60 بيتكوين، أي حوالي 4.8 مليون دولار. وقد أفرغت نفس الموجة أيضًا مئات من المحافظ المرتبطة بالبائع الماليزي كريبتوبيلس.

نشرت شركة تشايناليسيس هذا التفصيل يوم الخميس في وقت متأخر من بعد الظهر على منصة X. قبل بضع ساعات، قدمت ليدجر أول رد مكتوب لها على الهجوم. كما أمرت الشركة بائعيها بسحب أجهزتها من الأرفف.
النقاط الرئيسية في هذه المقالة:

• تعرض نصاب لعملية احتيال تتعلق بمحافظ ليدجر المحاصرة، حيث فقد أكثر من 60 بيتكوين في عملية غسيل أموال معقدة.
• سحبت ليدجر منتجاتها من الأرفف في جنوب شرق آسيا، كاشفة عن عصابة إجرامية منظمة للغاية قامت بتعديل أجهزة أصلية لسرقة الأموال.

ليدجر المحاصر: تذكير بالحقائق لمن فاتته البداية

في صباح يوم الجمعة 9 أكتوبر، قام نفس الفاعل بإفراغ محافظ على ستة بلوكتشين في أقل من ساعة. القاسم المشترك بين الضحايا: ليدجر تم شراؤه من كريبتوبيلس، بائع معتمد في إندونيسيا وماليزيا والفلبين. في اليوم التالي، أكدت ليدجر أنها وجدت زرًا ماديًا في جهاز أحد الضحايا.

تم زراعة المكون في العلبة. يقرأ الشاشة في اللحظة التي تعرض فيها المحفظة 24 كلمة من عبارة الاسترداد، ثم ينقلها عبر الشبكة المحمولة بفضل بطاقة SIM مدمجة. مع هذه الـ 24 كلمة، لم يعد اللص بحاجة إلى ليدجر. يعيد بناء المحفظة في مكان آخر وينتظر أن يودع مالكها مدخراته.

تشايناليسيس وبيتكوين تتبعان غنائم ليدجر المحاصرة

نموذج هذه الاحتيال المتعلقة بالمهام المدفوعة معروف لدى الشرطة في جميع أنحاء العالم. أولاً، يقوم النصاب بتجنيد عمالة صغيرة. يدفع لهم النصاب لتقليد عمليات الشراء ونشر تقييمات مزيفة على منتجات حقيقية. تبدأ الأرباح الأولى في الوصول، وتبدأ الثقة في التزايد. ثم يظهر << رصيد سالب >> على حسابهم. لفك تجميد عائداتهم، يجب على المجندين أولاً أن يساهموا من جيوبهم. لقد فهمتم ما سيحدث بعد ذلك.

في 22 سبتمبر، نقل منظم هذه الاحتيال أرباحه إلى ثلاث عناوين ليدجر متميزة، لوضع غنيمته بعيدًا عن متناول اليد. بعد سبعة عشر يومًا، في 9 أكتوبر، أفرغ اللصوص الثلاثة في كل عملية واحدة. كل شيء انتهى في محفظة واحدة، تم الإبلاغ عنها بالفعل كوعاء للأموال المسروقة. << كانت واحدة من أكبر ضحايا سرقة ليدجر نصابًا بنفسه >>، تلخص تشايناليسيس على X. يتحدث الوقت عن نفسه. لقد التقط الزر 24 كلمة منذ إعداد الجهاز، ثم انتظر اللص اليوم المحدد ليجمع كل شيء دفعة واحدة.

بيتكوين تتبع أثر لصوص ليدجر المحاصرة

لم تستيقظ شركة التحليل يوم الخميس. منذ 9 أكتوبر، أعلنت تشايناليسيس أنها تحقق في << عملية غسيل أموال معقدة عبر السلاسل >>. حالة النصاب هي أول قطعة تم الكشف عنها علنًا. لكن شركة تحليل أخرى على السلسلة، بيتكوين، قدمت التشريح الأكثر شمولاً للسرقة. بدأ محللوها من العناوين العشر التي تم نشرها في 9 أكتوبر من قبل الباحثين تانكي42 وسبيكتر. بعد ذلك، تابعوا كل محفظة تم إفراغها على ستة بلوكتشين، مع عد مستقل ثانٍ للتحقق من الأرقام.

على بيتكوين، انضمت 60 بيتكوين الخاصة بالنصاب إلى 203.8 بيتكوين التي سُرقت في نفس الصباح من 122 محفظة، في الغالب في كتلة واحدة في الساعة 5:54 بتوقيت UTC. أي، لرجل واحد، ما يقرب من 30% من بيتكوين المسروقة في ذلك اليوم.

تقرير Bitquery يجيب أيضًا عن سؤال: كان هناك لص واحد فقط، الذي كان يمتلك جميع المفاتيح بالفعل. على شبكة Tron، قامت 25 محفظة بتوقيع نفس التفويض لنفس العنوان في ثلاث ثوانٍ. قبل ثماني دقائق، كانت 30 محفظة أخرى قد شهدت تحول السيطرة إلى مفتاح غير معروف. البشر لا يفعلون ذلك. ومع ذلك، يمكن لبرنامج يمتلك جميع عبارات الاسترداد أن يفعل ذلك. في الواقع، كان اللص قد تدرب لمدة أسبوعين، من خلال إجراء تحويلات اختبار صغيرة، قبل أن يضرب.

درس آخر: ستة محافظ من أصل عشرة كانت ضحايا قد تلقت أموالها الأولى في نافذة الـ 90 يومًا التي ذكرتها Ledger. ولكن أكثر من ثمانية من كل عشرة فعلوا ذلك منذ يونيو فقط. لذا، فإن الخطر يعود على الأرجح إلى ما هو أبعد من التوجيه الرسمي.

الغنائم من محافظ Ledger المخترقة تمر عبر Tornado Cash و Zcash

تظهر عملية "غسيل الأموال عبر السلاسل" التي ذكرتها Chainalysis بوضوح في بيانات Bitquery. في غضون ساعات، قام اللص بتوزيع حوالي 79 مليون دولار من USDT المسروقة على Tron. أولاً، قام بتحويل 20 مليون دولار إلى Ethereum عبر جسر USDT0، ثم قام بتحويلها إلى إيثير. بعد ذلك، تبادل 23.7 مليون دولار مقابل USDD، وهو عملة مستقرة لا يمكن لـ Tether تجميدها. أخيرًا، قام بتوزيع الباقي بين خدمات التبادل الفوري مثل Relay و Chainflip و THORChain.

ثم يأتي الغسيل. من 9 إلى 13 أكتوبر، دخل حوالي 7260 ETH إلى الخلاط Tornado Cash. جزء كبير مما خرج منه مر بعد ذلك عبر Zcash، قبل أن يعود إلى USDC أو ETH على عناوين جديدة. بحلول 15 أكتوبر، كانت Bitquery لا تزال قادرة على تحديد 84 مليون دولار على السلسلة. أما 203.8 BTC، فلم تتحرك من ساتوشي واحد منذ 9 أكتوبر.

تعتبر هذه الحالة المعزولة ذات وزن قليل في إجمالي حسابات محافظ Ledger المخترقة. تسجل Bitquery الآن 102 مليون دولار تم سحبها من 324 محفظة وستة سلاسل بلوكشين. هذا الرقم، الذي تم التحقق منه في 15 أكتوبر، لم يتم تأكيده أو نفيه من قبل Ledger. بالإضافة إلى ذلك، قامت Tether بتجميد 10 ملايين دولار من USDT المرتبطة بالتحقيق. لكن المحتال يتناسب مع ملف تعريف الضحايا الآخرين: حاملو مبالغ كبيرة في جنوب شرق آسيا، الذين اشتروا جهاز محفظة مادي لحماية أموالهم.

Ledger تسحب محافظها من الأسواق وتصف مجموعة أنفقت ملايين

وصلت نسخة Ledger في 15 أكتوبر، بضع ساعات قبل كلمة رئيسية Op3n حيث كشف المصنع عن Ledger Atom. يتحدث النص عن "مجموعة إجرامية منظمة للغاية". على مدار عدة أشهر، قامت هذه المجموعة بشراء أجهزة أصلية وفتحتها لتثبيت مكونات مخصصة. كانت مهمتهم: التقاط عبارة الاسترداد أثناء الإعداد. ثم أعادت إدخال هذه الأجهزة في السوق عبر بائعي التجزئة في جنوب شرق آسيا. كانت العصابة قد أنشأت "خوادمها الخاصة لجمع الكلمات السرية، وبنيتها التحتية للتفريغ والغسيل". وقد "أنفقت ملايين" قبل أن تضرب في عملية منسقة واحدة.

تصر Ledger على ما لم يتعرض للتلف. الشريحة، ونظام التشغيل، والخوادم ظلت سليمة. "لم تكن هجومًا منهجيًا على سلسلة التوريد، بل كانت هجومًا محليًا على التوزيع"، تكتب الشركة في منشورها. قام مختبرها المسمى "الزنزانة" بتفكيك الزرع. ثم قامت الفرق بشراء وفتح أجهزة في المتاجر، في ألمانيا من بين دول أخرى، ثم فحصت عينات في المستودع. كل شيء كان نظيفًا.

قواعد جديدة لبائعي Ledger

تظهر التداعيات العملية لقضية Ledger المحاصرة على الفور. قامت Ledger بتعليق المبيعات لدى موزعيها المعتمدين في جنوب شرق آسيا وهونغ كونغ. يُمنع إعادة بيع الجهاز الذي تم إرجاعه، حتى لو كان مختومًا. ومن الآن فصاعدًا، يجب ألا يتواجد أي منتج من Ledger في الرفوف أو في واجهات العرض. يبقى المخزون محفوظًا، ولا يسلم البائع المنتج للعميل إلا عند الشراء. تطلب Ledger أيضًا من موزعيها الإبلاغ على الفور عن أي منتج يعتبره المشتري غير عادي. أخيرًا، يدعو المُصنّع << الصناعة بأكملها للقيام بالمثل >>. وقد أعلنت Trezor وOneKey عن تقليص شبكة موزعيها الأسبوع الماضي.

تعد Ledger أيضًا باتخاذ تدابير مضادة << على مستوى المنتج >>. جهاز Ledger Atom الذي تم تقديمه في نفس اليوم بسعر 849 يورو يمكنه بالفعل اكتشاف فتح علبته وإزالة شاشته. لكنه لن يُطرح إلا في صيف 2027. لن يستفيد أي من أجهزة Nano X أو Flex أو Stax المتداولة من ذلك. بالنسبة لتلك الأجهزة، تبقى التعليمات كما هي منذ عشرة أيام: عدم إعداد جهاز تم شراؤه من CryptoBilis خلال الـ 90 يومًا الماضية دون التحقق منه.