Trezor تكشف عن أجهزة معدلة خبيثة في محافظ CryptoBilis وتصدر تحديثاً

أكدت شركة Trezor المصنعة لمحافظ العملات المشفرة العتادية أن ثلاثة أجهزة Safe 5 بيعت عبر الموزع في جنوب شرق آسيا CryptoBilis احتوت على زرعات عتادية خبيثة مصممة لسرقة عبارات استرداد المحفظة وإرسالها إلى المهاجمين عبر شبكات الهاتف المحمول.

جاء هذا التأكيد بعد تحقيق في زرعة عتادية مشتبه بها أُبلغ عنها أول مرة في أكتوبر، عندما اكتشف أحد العملاء لوحة دوائر غير مصرح بها داخل جهاز Trezor Safe 5 اشتراه من CryptoBilis في إندونيسيا.

في ذلك الوقت، لم تكن Trezor قد فحصت الجهاز ولم تستطع التحقق من قدرات الزرعة.

وفي تحديث حديث، قالت Trezor إنها حللت الآن الجهاز الأصلي في مختبرها وحددت محفظتين إضافيتين مخترقتين بناءً على صور قدمها أصحابهما. وكانت الأجهزة الثلاثة المخترقة قد اشتُريت من CryptoBilis بين 20 أغسطس و23 سبتمبر 2026.

وأفادت Trezor بأن 48 عميلاً من عملاء CryptoBilis تواصلوا مع الشركة بعد تحذيرها في أكتوبر، ويجري فحص الأجهزة في مختبرها أو عبر صور مقدمة لمكوناتها الداخلية. كما فحصت الشركة أجهزة من موزعين آخرين في المنطقة ولم تجد أي علامات على التلاعب.

وحتى الآن، اقتصرت الزرعات المؤكدة على أجهزة Safe 5 التي بيعت عبر CryptoBilis، ولم يبلغ أي من العملاء المتأثرين عن فقدان أموال.

تحديث البرنامج الثابت يمنع الزرعات العتادية

حلل مهندسو Trezor البرنامج الثابت للزرعة وأكدوا أن العتاد الخبيث قادر على التقاط معلومات حساسة تُعرض أو تُدخل على شاشة المحفظة. وتتكون الزرعة من لوحة دوائر إضافية مثبتة بين اللوحة الرئيسية لجهاز Safe 5 والشاشة، ما يسمح لها بمراقبة نشاط الشاشة دون تغيير البرنامج الثابت الشرعي للجهاز أو Secure Element.

وعندما تظهر كلمات استرداد المحفظة على الشاشة، سواء أثناء إنشاء نسخة احتياطية جديدة للمحفظة أو أثناء استعادة محفظة موجودة، تجمعها الزرعة. ويمكنها أيضاً التقاط عبارات المرور المعروضة على الشاشة، وتشفير المعلومات المسروقة، وإرسالها عبر شبكة هاتف محمول إلى خادم يتحكم به المهاجم. وإذا لم يتوفر اتصال، تحتفظ الزرعة بالبيانات الملتقطة وتحاول إرسالها مراراً حتى تنجح.

وتأتي هذه الزرعات المبلغ عنها بعد زرعات عتادية مؤكدة اكتُشفت سابقاً في أجهزة Ledger بيعت عبر CryptoBilis، ورُبطت بسرقات عملات مشفرة.

وفي 11 نوفمبر، أصدرت Trezor إصدار البرنامج الثابت 2.13.1، الذي يتضمن حمايات تمنع الزرعات من التقاط المعلومات. وقالت Trezor: «يتضمن تحديث البرنامج الثابت الأخير لدينا 2.13.1، الذي صدر في 11 نوفمبر، حماية توقف الزرعات التي اكتشفناها عن التقاط أي شيء على الأجهزة التي تشغله، ما يجعل الدفعة الحالية من الزرعات عديمة الفائدة». لكن الشركة حذرت من أن التحديث لا يمكنه حماية عبارات استرداد المحفظة التي ربما التُقطت بالفعل قبل التثبيت.

ورغم عدم إبلاغ أي من عملاء Trezor عن سرقة أموال، يُنصح من اشتروا أجهزة Trezor من CryptoBilis بنقل عملاتهم المشفرة إلى محفظة جديدة أُنشئت باستخدام عبارة استرداد جديدة.

Trezor تقلص شبكة الموزعين بنسبة 80%

رداً على هجمات سلسلة التوريد هذه، قلصت Trezor شبكة موزعيها العالمية بنحو 80%، ما خفض بشكل كبير عدد موزعي محافظها العتادية من الأطراف الثالثة. وكانت الشركة قد أعلنت سابقاً خططاً لتقليص شبكة موزعيها في أكتوبر، بعد تقارير عن محافظ Ledger مخترقة بيعت عبر CryptoBilis، قبل أن تعلم بالزرعات في أجهزتها.

وأشارت Trezor إلى أن الموزعين المستبعدين كانوا موثوقين ولا يشكلون تهديداً لكنهم لم يستوفوا متطلبات أمن سلسلة التوريد الأكثر صرامة التي يجري تطبيقها. ويتعين على الشركاء المتبقين الالتزام بضوابط أكثر إحكاماً بشأن كيفية الحصول على الأجهزة وتخزينها والوصول إليها.

وتقدم الشركة أجهزة بديلة لكل من اشترى محفظة Trezor من CryptoBilis منذ مارس 2026، بما في ذلك العملاء الذين لم تؤكد إصابة أجهزتهم. وحتى الآن، لم تجد Trezor أي دليل على زرعات في أجهزة من موزعين آخرين ولم تتلق أي تقارير عن سرقة أموال عبر محافظ Safe 5 المخترقة.

المصدر: BleepingComputer