مع استمرار تطور مخاطر أمن الأصول الرقمية، لم يعد المهاجمون يستهدفون منصات التداول وحسابات المستخدمين فقط. محافظ الأجهزة قد تصبح أيضاً نقطة دخول للهجمات أثناء الشراء والشحن والتسليم.
إذا تم اعتراض الجهاز أو استبداله أو تعديله بشكل خبيث أثناء التوزيع، فقد يشكل خطراً على أمن أصول المستخدمين حتى لو بدا غير قابل للتمييز عن المنتج الأصلي.
تذكّر Gate جميع المستخدمين بأنه عند شراء محفظة أجهزة واستخدامها، ينبغي عدم الاكتفاء بالنظر إلى العلامة التجارية والسعر. فمن المهم بالقدر نفسه التحقق من مصدر الجهاز وقناة التسليم والفحوصات الأمنية اللاحقة.
I. ما هو تسميم سلسلة توريد الأجهزة؟
يشير تسميم سلسلة توريد الأجهزة إلى استغلال المهاجمين للثغرات في مراحل مثل تصنيع الأجهزة أو تخزينها أو نقلها أو توزيعها أو تسليمها، بهدف استبدال الأجهزة أو العبث بها أو زرع مكونات خبيثة فيها.
على سبيل المثال، قد يشتري المستخدم محفظة أجهزة عبر قناة موثوقة، لكن قد يعترض طرف ثالث الجهاز أثناء الشحن أو إعادة البيع. وقد يعدّل المهاجمون المكونات الداخلية، أو يعبثون بالبرنامج الثابت، أو يزوّرون التغليف والوثائق الرسمية قبل تسليم الجهاز إلى المستخدم.
قد تتضمن بعض الهجمات أيضاً تقنيات التصيد الاحتيالي. فقد يرسل المهاجمون ما يسمى بإشعارات الأمان، ويطلبون من المستخدمين تثبيت برامج محددة أو مسح رمز QR ضوئياً أو إعادة استيراد محافظهم. وبمجرد أن يُدخل المستخدمون عبارة الاسترداد أو المفتاح الخاص وفقاً للتعليمات، قد تتعرض أصولهم لخطر السرقة.
كشفت Kraken Security Labs علناً عن أبحاث تتعلق بهجمات سلسلة التوريد التي تستهدف محافظ الأجهزة Ledger Nano X، مشيرةً إلى أن الأجهزة قد يتم العبث بها قبل أن يتلقاها المستخدمون، مثل اعتراضها أثناء الشحن أو وصولها إلى المستخدمين عبر قنوات إعادة بيع خبيثة. واعتباراً من تاريخ تحديث المقالة، تُظهر المعلومات العامة أن حزمة تبعية الواجهة الأمامية Ledger Connect Kit تعرضت لهجوم على سلسلة التوريد. الإصدارات المؤكد تأثرها من ledgerhq/connect-kit هي: 1.1.5 و1.1.6 و1.1.7. احتوت هذه الإصدارات على تعليمات برمجية خبيثة مصممة للحث على المعاملات أو استبدالها عندما يربط المستخدمون محافظهم أو يتفاعلون مع التطبيقات اللامركزية (DApps)، مما يؤدي إلى سرقة الأصول. المرجع: من شذوذ سلسلة التوريد إلى عمليات زرع أجهزة مشتبه بها: تحليل كامل لحادثة سرقة مستخدمي Ledger
من المهم ملاحظة أن سلامة التغليف وتشغيل الجهاز بصورة طبيعية لا يعنيان بالضرورة أن الجهاز آمن. فقد يصعب اكتشاف بعض التعديلات الخبيثة من خلال الفحص البصري.
II. ما مخاطر هجمات سلسلة توريد الأجهزة؟
تتمثل الوظيفة الأساسية لمحفظة الأجهزة في مساعدة المستخدمين على تخزين المفاتيح الخاصة بأمان وتوقيع المعاملات. وإذا تم العبث بالجهاز نفسه، فقد تتعرض وسائل الحماية الأمنية الأصلية فيه للخطر.
مكونات خبيثة مزروعة في الجهاز: قد تتداخل المكونات الخبيثة أو البرنامج الثابت الذي تم العبث به مع التشغيل الطبيعي للجهاز، مما يزيد مخاطر تسرب المعلومات ومشكلات أمان المعاملات.
برامج انتحال تحفّز على اتخاذ إجراءات: قد يستخدم المهاجمون برامج مزيفة لإدارة المحافظ، أو إشعارات ترقية احتيالية، أو إرشادات مزيفة من خدمة العملاء لخداع المستخدمين ودفعهم إلى الكشف طوعاً عن عبارات الاسترداد والمفاتيح الخاصة.
فقدان السيطرة على الأصول: بمجرد حصول المهاجمين على عبارة استرداد أو مفتاح خاص صالح، يمكنهم استعادة المحفظة على جهاز آخر وتحويل الأصول.
حتى إذا فعّل المستخدمون المصادقة الثنائية لحساباتهم على منصات التداول، فلن يمنع ذلك بالكامل المخاطر الناتجة عن أجهزة تم العبث بها أو بيانات اعتماد المحفظة المسرّبة. يجب الحفاظ على أمن الحساب وأمن الجهاز وإدارة المفاتيح الخاصة بشكل سليم، إذ لا يمكن لأي منها أن يحل محل الآخر!
III. كيف يمكنك تقليل المخاطر؟
اشترِ الأجهزة عبر قنوات موثوقة
عند شراء محفظة أجهزة، اختر الموقع الرسمي للعلامة التجارية أو القنوات المعتمدة والموثقة متى أمكن. كن حذراً من الأجهزة مجهولة المصدر، أو ذات الأسعار غير الطبيعية بوضوح، أو من البائعين الذين لا يمكن التحقق من مؤهلاتهم.
افحص الجهاز قبل استخدامه
تحقق مما إذا كانت العبوة والأختام والرقم التسلسلي ومظهر الجهاز تظهر أي علامات غير اعتيادية، وتحقق من معلومات الجهاز عبر القنوات الرسمية للشركة المصنعة. عند استخدام الجهاز للمرة الأولى، اتبع التعليمات الرسمية لإتمام التهيئة والتحقق من البرنامج الثابت. إذا كان الجهاز قد تمت تهيئته مسبقاً، أو فشل التحقق، أو بدت العملية غير طبيعية، فلا تتسرع في استيراد الأصول.
احمِ عبارة الاسترداد والمفتاح الخاص
تُعد عبارة الاسترداد والمفتاح الخاص معلومات بالغة الأهمية للتحكم في الأصول الموجودة في محفظتك. ولا ينبغي لأي شخص أن يطلب منك تقديم هذه المعلومات عبر الدردشة أو البريد الإلكتروني أو صفحات الويب أو المساعدة عن بُعد.
سواء ادعى الطرف الآخر أنه من دعم عملاء Gate، أو من شركة تصنيع الأجهزة، أو من موظفي الأمن، فلا تثق بالطلبات التي تطلب عبارة الاسترداد أو المفتاح الخاص. كما يجب ألا تُدخل عبارة الاسترداد مطلقاً في مواقع الويب أو البرامج من مصادر مجهولة.
لا تثبّت البرامج أو تحدّث البرنامج الثابت بشكل عشوائي
بالنسبة إلى توصيلات الأجهزة وتثبيت البرامج وترقيات البرنامج الثابت، اعتمد على المعلومات المقدمة عبر القنوات الرسمية للشركة المصنعة. وبالنسبة إلى الروابط غير المألوفة أو رموز QR أو حزم الترقية غير الرسمية أو الإشعارات التي تتطلب نقل الأصول بشكل عاجل، تحقق من صحتها أولاً. لا تتصرف على عجل لمجرد أن شخصاً ما يدعي أن حسابك معرض للخطر.
إذا اكتشفت أي أمر غير معتاد، فتوقف عن استخدام الجهاز فوراً
إذا أظهر الجهاز علامات تفكيك أو تعديل، أو فشل التحقق من البرنامج الثابت، أو كانت التهيئة غير طبيعية، فتوقف عن استخدامه واتصل بقنوات الدعم الرسمية للشركة المصنعة للتحقق من الوضع.
إذا اشتبهت في تعرض عبارة الاسترداد أو المفتاح الخاص للاختراق، فاستخدم جهازاً موثوقاً وغير متأثر لإنشاء محفظة جديدة في بيئة آمنة، وانقل أصولك إلى عنوان آمن في أقرب وقت ممكن. لا تواصل استخدام جهاز قد يكون تم العبث به لإدارة الأصول، ولا تُدخل بيانات اعتماد محفظة جديدة على جهاز يُشتبه في تعرضه للاختراق.
IV. تذكير Gate الأمني
تتسم هجمات سلسلة توريد الأجهزة بدرجة عالية من التخفي، وقد تنشأ المخاطر حتى قبل أن تتلقى الجهاز. لذلك، لا ينبغي أن تفترض أن الجهاز آمن تماماً بالاعتماد فقط على ملصق علامته التجارية أو سلامة تغليفه أو قدرته على التشغيل بصورة طبيعية.
تذكّر Gate المستخدمين بضرورة التحقق بعناية من مصدر الجهاز عند شراء محفظة أجهزة واستخدامها، والتعامل بحذر مع الإشعارات غير المألوفة، وحماية عبارات الاسترداد والمفاتيح الخاصة على نحو سليم. وعندما لا تتمكن من التحقق من صحة جهاز أو تطبيق برمجي أو إرشادات تشغيلية، فتحقق منها أولاً قبل اتخاذ أي إجراء.
يرجى تذكر: استخدم مصادر موثوقة للأجهزة، وتحقق من تحديثات البرامج، ولا تكشف أبداً عن عبارة الاسترداد أو المفتاح الخاص.
باتباع هذه التدابير الأمنية الأساسية، يمكنك تقليل مخاطر الأصول المرتبطة بهجمات سلسلة توريد الأجهزة بشكل أفضل.
إخلاء مسؤولية
المحتوى الوارد هنا مُقدَّم لأغراض مرجعية وتعليمية فقط، ولا يشكّل أي نصيحة مالية أو استثمارية أو تداولية أو قانونية، كما لا يُعد عرضًا أو دعوة لشراء أو بيع أي أصول رقمية. لا تقدّم Gate أي تعهدات أو ضمانات صريحة أو ضمنية بشأن دقة المعلومات الواردة هنا أو اكتمالها أو توقيتها. قد يتم تحديث أو تعديل ميزات المنتجات والواجهات والقواعد وهياكل الرسوم في أي وقت. يرجى الرجوع إلى أحدث الإعلانات والمعلومات الفعلية المعروضة على منصة Gate للحصول على أدق التفاصيل.
تنطوي الاستثمارات في الأصول الرقمية على مخاطر كبيرة، وقد تتقلب الأسعار بشكل ملحوظ. وقد تفقد كامل مبلغ استثمارك. يرجى اتخاذ قراراتك بحذر بناءً على وضعك المالي وقدرتك على تحمّل المخاطر بعد الفهم الكامل للمخاطر المرتبطة بذلك. وإذا لزم الأمر، يُنصح باستشارة مستشار مالي أو قانوني مستقل.
لمزيد من المعلومات حول المخاطر المحتملة، يرجى الرجوع إلى إفصاح المخاطر واتفاقية المستخدم الخاصة بـGate.
