چکیده: کیف پول‌های نرم‌افزاری از ریسک‌های نشت ترزور در امانند

افشای اطلاعات ۱۳۷۰۰ مشتری ترزور در پی نقض امنیتی شریک حمل‌ونقل

شرکت ترزور (Trezor) روز ۱۳ اوت اعلام کرد که در پی وقوع یک نقض امنیتی در شرکت ShipMonk، شریک حمل‌ونقل این شرکت، اطلاعات شخصی حدود ۱۳۷۰۰ مشتری اخیر این شرکت شامل نام، شماره تلفن و آدرس منزل افشا شده است.

واکنش بنیان‌گذار بایننس و مزیت کیف پول‌های نرم‌افزاری

چانگ‌پنگ ژائو (CZ)، بنیان‌گذار بایننس، در واکنش به این حادثه، مزیت واقعی کیف پول‌های نرم‌افزاری خودنگهدار را برجسته کرد. وی استدلال کرد که این کیف پول‌ها نیازی به ارسال فیزیکی دستگاه ندارند و هویت خریدار را به آدرس منزل وی گره نمی‌زنند.

جزئیات حادثه و زمان‌بندی آن

ترزور پس از آنکه شرکت ShipMonk، ارائه‌دهنده خدمات لجستیک، در روز دوشنبه ۱۰ اوت این شرکت را از دسترسی غیرمجاز به سیستم‌های حاوی اطلاعات سفارش مشتریان مطلع ساخت، این حادثه را افشا کرد.

تحلیل ریسک کیف پول‌های سخت‌افزاری و نرم‌افزاری

CZ روز پنجشنبه در واکنش به این موضوع، اظهار داشت که این حادثه نمایانگر پروفایل ریسک متفاوتی برای کیف پول‌های سخت‌افزاری و نرم‌افزاری خودنگهدار است. وی نوشت: «کیف پول‌های سخت‌افزاری اغلب «امن‌تر» از کیف پول‌های نرم‌افزاری تلقی می‌شوند. در حالی که من هنوز معتقدم این موضوع «به طور کلی درست» است، اما این حادثه مزیت کیف پول‌های نرم‌افزاری خودنگهدار را تقویت می‌کند.»

نمونه‌هایی از کیف پول‌های نرم‌افزاری

وی به نمونه‌هایی مانند Binance Web3 Wallet و Trust Wallet اشاره کرد که نیازی به ارسال دستگاه فیزیکی ندارند و هویت و آدرس کاربر را به مالکیت رمزارز گره نمی‌زنند.

عدم رد کیف پول‌های سخت‌افزاری

CZ همچنین از رد کردن کیف پول‌های سخت‌افزاری خودداری کرد و نوشت: «نمی‌گویم کیف پول‌های سخت‌افزاری «بد» هستند. فقط پروفایل‌های متفاوتی دارند.» وی افزود که YZiLabs یکی از سرمایه‌گذاران در بسیاری از شرکت‌های تولیدکننده کیف پول سخت‌افزاری است.

نگرانی‌های امنیتی و حملات احتمالی

پروتکل NaoX نیز در این بحث مشارکت کرده و اظهار داشت که آدرس‌های افشا شده می‌تواند فهرستی از دارندگان رمزارز تأیید شده را در اختیار مهاجمان قرار دهد که هدف‌گیری حضوری آن‌ها ارزشمند است. نیک نیومن، مدیر اجرایی امنیت بیت‌کوین، نیز به طور مشابه هشدار داد که این اطلاعات می‌تواند منجر به مهندسی اجتماعی هدفمند و حملات احتمالی باج‌گیری شود، جایی که مجرمان از تهدیدات فیزیکی برای سرقت وجوه استفاده می‌کنند.

توصیه‌های ترزور به کاربران

ترزور اعلام کرد که مشتریان ممکن است با حملات فیشینگ پیچیده‌تر از طریق ایمیل، تماس تلفنی یا نامه‌های پستی مواجه شوند. این شرکت از کاربران خواست هرگز پشتیبان کیف پول خود را به صورت آنلاین وارد نکنند یا آن را با کسی به اشتراک نگذارند.

سابقه مشکلات کیف پول‌های سخت‌افزاری

این حادثه به دنبال مجموعه‌ای از اخبار ناخوشایند برای تولیدکنندگان کیف پول سخت‌افزاری رخ می‌دهد. در اواسط ژوئیه، زاک‌اکس‌بی‌تی (ZachXBT)، محقق بلاک‌چین، این دسته از محصولات را برای استفاده جدی نامناسب خواند و در تلگرام نوشت که «تمام کیف پول‌های سخت‌افزاری آشغال کامل هستند.» وی استدلال کرد که یک تلفن یدکی که فقط برای امضای تراکنش‌ها استفاده می‌شود، می‌تواند بهتر عمل کند و به مشکلاتی مانند باتری‌های تمام شده، به‌روزرسانی‌های اجباری سفت‌افزار و باگ‌های رابط کاربری به عنوان مشکلات مکرر اشاره کرد. نقض امنیتی ترزور نوع متفاوتی از شکست است، زیرا شامل افشای اطلاعات از طریق یک فروشنده است نه خود دستگاه، اما در بحث هزینه‌های فراتر از عبارت بازیابی (seed phrase) قرار می‌گیرد.

نقص در فریم‌ور Coldcard

علاوه بر این، هفته گذشته، گلکسی ریسرچ (Galaxy Research) بیش از ۱۰۰ میلیون دلار بیت‌کوین سرقت شده را به مشکلی جداگانه در فریم‌ور قدیمی Coldcard مرتبط دانست که بذرهای کیف پول را با تصادفی بودن ضعیف‌تر از حد انتظار تولید می‌کرد. Coinkite این نقص را در نسخه‌های جدیدتر برطرف کرده است، اما نمی‌تواند بذرهای تولید شده بر روی دستگاه‌های آسیب‌دیده را اصلاح کند و به دارندگان مدل‌های Mk3 تا Q خود توصیه کرده است که وجوه خود را به سخت‌افزارهای سالم منتقل کنند.

سابقه مشابه برای ترزور

این اولین بار نیست که ترزور در چنین وضعیتی قرار می‌گیرد؛ در ژانویه ۲۰۲۴، نقض امنیتی جداگانه‌ای که به یک فروشنده پشتیبانی شخص ثالث مرتبط بود، منجر به افشای اطلاعات تماس حدود ۶۶۰۰۰ کاربر شد.