Tag: امنیت و هک

اوپن‌ای‌آی اعلام کرد که یک مدل تحقیقاتی داخلی با استفاده از یک عبارت بازیابی توسعه‌دهنده که به صورت عمومی شناخته شده بود، بدون اجازه به یک کیف پول تست‌نت اتریوم دسترسی پیدا کرده و هزینه‌های استقرار را پرداخت کرده است.

این حادثه که ماه‌ها پس از وقوع کشف شد، نشان می‌دهد که چگونه یک مدل می‌تواند یک نگرانی اخلاقی را تشخیص دهد اما تصمیم بگیرد که ارزیابی خودش از آسیب احتمالی برای ادامه کار کافی است.

این حادثه در تاریخ ۲۶ ژوئن ۲۰۲۶، در جریان یک وظیفه آموزشی شامل به‌روزرسانی یک برنامه معاملاتی ارز دیجیتال و استقرار قراردادهای هوشمند سازگار در Sepolia، یک شبکه تست اتریوم، آغاز شد. دستورالعمل‌ها به مدل اجازه می‌داد تا در صورت عدم وجود نسخه‌های موجود مناسب، قراردادها را مستقر کند، اما هیچ کیف پول تامین مالی شده‌ای ارائه نشده بود و هیچ مجوزی برای خرج کردن وجوه حساب دیگری داده نشده بود.

پس از شکست تلاش‌هایش برای یافتن استقرارهای موجود و دریافت اتریوم تستی از طریق فاست‌ها، مدل تحقیقاتی خانواده GPT-5.6 Sol به استفاده از عبارات بازیابی توسعه‌دهنده که به صورت عمومی در دسترس بودند، فکر کرد. این مدل اسکریپتی برای استخراج حساب‌ها از عبارات رایج و بررسی موجودی آن‌ها نوشت. از ۳۶۲ آدرس بررسی شده، یکی به اندازه کافی اتریوم Sepolia برای پوشش هزینه استقرار برنامه‌ریزی شده داشت.

مدل سابقه تراکنش‌های حساب را بررسی کرد و تشخیص داد که کیف پول ممکن است هنوز در حال استفاده باشد. با این حال، استدلال کرد که عبارت بازیابی عمومی و عدم ارزش پولی توکن تست، استفاده از وجوه را قابل قبول می‌سازد.

این مدل قبل از تصمیم‌گیری برای ادامه، استدلال کرد: «وجوه موجود در یک عبارت یادآور عمومی توسعه‌دهنده عملاً رها شده/اتریوم تست هستند؛ Sepolia بی‌ارزش است.»

کلید خصوصی را استخراج کرد، تراکنش استقرار را به صورت آفلاین امضا کرد و پس از مواجهه با خطاهای شبکه، آن را پخش کرد. تراکنش موفقیت‌آمیز بود، یک قرارداد هوشمند ایجاد کرد و هزینه‌ها را از کیف پول انتخاب شده کسر کرد. بررسی‌های بعدی بایت‌کد را در هر ده آدرس قرارداد یافتند، در حالی که اجرای ذخیره شده ۱۲ تست واحد موفق و یک ساخت محصول موفق را ثبت کرد.

پاسخ نهایی استقرار قرارداد تکمیل شده را توصیف کرد و تأیید کرد که دکمه معاملاتی همچنان به اتصال یک کیف پول و تغییر شبکه محدود بود. این پاسخ استفاده از حساب تامین مالی شده شخص دیگری را فاش نکرد.

اوپن‌ای‌آی این حادثه را در تاریخ ۲۵ سپتامبر هنگام گسترش نظارت خود بر فعالیت‌های مدل‌های قبلی کشف کرد. این گزارش در تاریخ ۱۵ اکتبر به‌روزرسانی شد.

این شرکت از آن زمان اقدامات احتیاطی اضافی را برای جلوگیری از دسترسی به اینترنت زنده در موارد مشابه اجرا کرده است. همچنین اعلام کرد که سیستم نظارتی آن اکنون تمام ترافیک را پوشش می‌دهد و برای هشدار دادن به کارکنان امنیتی در صورت دسترسی مدل به اینترنت زنده طراحی شده است.

این حادثه در حالی رخ می‌دهد که عامل‌های هوش مصنوعی وظایف بیشتری را در رابطه با سیستم‌های مالی و امنیت سایبری بر عهده می‌گیرند. همانطور که CryptoPotato در تاریخ ۵ اکتبر گزارش داد، شرکت امنیتی بلاکچین CertiK هشدار داد که عامل‌های خودکار می‌توانند در محیط‌های زنده اقدام کنند، که نظارت انسانی و محدودیت‌های روشن بر اختیارات آن‌ها را به طور فزاینده‌ای مهم می‌سازد.

سه سرباز کانادایی به اتهام تلاش برای ربودن ارز دیجیتال در تورنتو بازداشت شدند

سه سرباز ارتش کانادا در ارتباط با یک آدم‌ربایی خشونت‌آمیز با هدف سرقت ارز دیجیتال در تورنتو در ماه ژوئیه بازداشت شده‌اند. این حادثه شامل گروهی هفت نفره بود که تلاش کردند دارایی‌های دیجیتال قربانی را تصاحب کنند.

این گروه پس از ناکامی در دستیابی به دارایی‌های قربانی، او را آزاد کرده و تهدید کردند که در صورت تماس با پلیس، عواقب وخیمی در انتظارش خواهد بود. جزئیات بیشتری از این پرونده در دست بررسی است.

یک دارنده کیف پول که در پستی در شبکه اجتماعی X به عنوان کلاهبردار ارز دیجیتال معرفی شده بود، بیش از ۶۰ بیت‌کوین به ارزش ۴.۸ میلیون دلار را پس از به خطر افتادن یک کیف پول سخت‌افزاری Ledger از دست داد.

این ضرر یک رویداد منفرد نبوده است. این بخشی از یک حمله زنجیره تأمین بسیار بزرگتر به دستگاه‌های Ledger است که از طریق CryptoBilis، یک فروشنده جنوب شرقی آسیا، فروخته شده‌اند. گزارش شده است که این حمله در یک حمله هماهنگ، صدها کیف پول را تخلیه کرده است.

Ledger تأیید کرد که یک قطعه سخت‌افزاری غیرمجاز را در حداقل یک دستگاه آسیب‌دیده کشف کرده است. این قطعه، عبارت کلیدی ۲۴ کلمه‌ای را که کاربران در هنگام راه‌اندازی ثبت می‌کردند، ضبط می‌کرد. سپس این عبارات را از طریق شبکه‌های سلولی ارسال می‌کرد. عبارت کلیدی، کلید اصلی یک کیف پول است. هر کسی که آن را در اختیار داشته باشد، می‌تواند کیف پول را در هر مکانی بازسازی کرده و تمام کوین‌های داخل آن را جابجا کند.

فعالیت‌های غیرعادی در حدود ۹ اکتبر ۲۰۲۶ مشاهده شد. طبق توضیحات Ledger از این حمله، تخلیه کیف پول‌ها در آن روز به سرعت اتفاق افتاد و در عرض چند ثانیه چندین کیف پول را هدف قرار داد.

برآوردهای اولیه ضرر از ۷۲ میلیون دلار تا ۸۶ میلیون دلار متغیر بود. این ارقام بعداً به ۹۳ تا ۱۰۲ میلیون دلار برای حدود ۳۰۰ کیف پول افزایش یافت. تحلیلگرانی که آدرس‌های جمع‌آوری کننده را رصد می‌کردند، ورودی‌هایی در بیت‌کوین، اتریوم، ترون و استیبل‌کوین‌ها مشاهده کردند. بر اساس یافته‌های تحقیقاتی، بیش از ۳۲۴ کیف پول درگیر بوده‌اند.

شمارش بیت‌کوین‌ها نیز با بررسی‌های بیشتر تغییر کرد. شمارش‌های اولیه حدود ۲۱۱ بیت‌کوین به ارزش تقریبی ۱۷.۵ میلیون دلار را نشان می‌داد. تحلیل‌های دیگر این رقم را بیش از ۲۰۳ بیت‌کوین اعلام کردند.

ضررهای فردی قابل توجه بود. گزارش شده است که یکی از قربانیان حدود ۸۰ بیت‌کوین را اندکی قبل از حمله ۹ اکتبر به یک Ledger جدید منتقل کرده بود، که در آن زمان ارزشی تقریبی معادل ۴.۸ میلیون دلار داشت.

قربانی دیگری از دست دادن حدود ۶۰ بیت‌کوین را گزارش کرده است. پست X، ضرر بیش از ۶۰ بیت‌کوین به ارزش ۴.۸ میلیون دلار را به کلاهبردار ادعایی نسبت داده است.

Tether حدود ۱۰ میلیون دلار USDT مرتبط با آدرس‌های مورد سوءاستفاده را مسدود کرد.

Ledger اعلام کرد که هر مورد تأیید شده به خریدهای انجام شده از CryptoBilis بازمی‌گردد. این شرکت اظهار داشت که سیستم‌های خود و کانال‌های فروش مستقیم آن امن باقی مانده‌اند. CryptoBilis پس از کشف این موضوع، فروش خود را به طور موقت متوقف کرد.

Ledger عاملان را یک گروه جنایتکار بسیار سازمان‌یافته توصیف کرد. طبق گفته این شرکت، این گروه تلاش قابل توجهی را برای ساخت قطعات سخت‌افزاری قبل از راه‌اندازی حمله هماهنگ صرف کرده بود.

تا اواسط اکتبر ۲۰۲۶، Ledger همچنان به‌روزرسانی‌هایی را برای کاربران منتشر می‌کرد. این به‌روزرسانی‌ها بر مشتریانی متمرکز بود که دستگاه‌ها را از CryptoBilis در ۹۰ روز گذشته خریداری کرده بودند. این شرکت در هنگام راه‌اندازی دستگاه و هنگام انتقال دارایی‌ها به یک عبارت کلیدی جدید، احتیاط را توصیه کرد. هشدار دوم مهم است. تولید یک عبارت کلیدی جدید بر روی یک دستگاه به خطر افتاده، صرفاً کلید جدیدی را به مهاجمان می‌دهد.

مهاجمان بلافاصله پس از دریافت عبارات کلیدی، کیف پول‌ها را تخلیه نکردند. در عوض، به نظر می‌رسد که منتظر ماندند تا قربانیان وجوه را واریز کنند، سپس به طور همزمان به بسیاری از کیف پول‌ها حمله کردند. گزارش شده است که قربانی ۸۰ بیت‌کوینی اندکی قبل از حمله وجوه خود را واریز کرده بود. این رویکرد، حداکثر سود را به همراه دارد و هشدار را به حداقل می‌رساند. اگر گروه کیف پول‌ها را یکی یکی تخلیه می‌کرد، قربانیان اولیه می‌توانستند هشدار دهند و قربانیان بعدی را نجات دهند.

یافته‌های تحقیقاتی نشان می‌دهد که این رویداد می‌تواند اعتماد مصرف‌کنندگان به ایمنی کیف پول‌های سخت‌افزاری و خود-نگهداری را به طور کلی تضعیف کند. با برداشت حدود ۱۰۲ میلیون دلار در عرض چند ساعت، این نگرانی انتزاعی نیست. این یافته‌ها همچنین نشان‌دهنده احتمال نظارت قانونی و درخواست‌های بلندتر برای پاسخگویی تولیدکنندگان است. Ledger خط روشنی را در اطراف کانال‌های خود ترسیم کرده است، اما مشتریانی که وجوه خود را از دست داده‌اند، ممکن است این تمایز را دلگرم‌کننده نیابند.

یک چک لیست عملی برای هر کسی که دستگاهی از فروشنده شخص ثالث دارد وجود دارد. منبع و تاریخ خرید را با راهنمایی ۹۰ روزه Ledger بررسی کنید. مراقب هر دستگاهی باشید که با بسته‌بندی یا قطعاتی که به نظر نامتعارف می‌رسند، تحویل داده شده است.

کوین‌بیس کلیدهای ذخیره‌سازی سرد خود را در چادرهای مجهز به قفس فارادی، در مکان‌های مخفی در سراسر سانفرانسیسکو تولید می‌کرد.

قفس فارادی را در نظر بگیرید؛ محفظه‌ای توری که از ورود یا خروج سیگنال‌های الکترومغناطیسی جلوگیری می‌کند. دستگاه‌های الکترونیکی هنگام کار، سیگنال‌های ضعیفی را نشت می‌دهند. از نظر تئوری، یک مهاجم مجهز می‌تواند این امواج را دریافت کرده و داده‌های حساس را بازسازی کند. محققان امنیتی این حملات را «حملات کانال جانبی الکترومغناطیسی» می‌نامند.

پاسخ کوین‌بیس این بود که کل فرآیند تولید کلید را در یک سپر محافظ قرار دهد. کلیدها در داخل چادرهای مجهز به قفس فارادی تولید می‌شدند، بنابراین هر آنچه دستگاه‌ها منتشر می‌کردند، درون چادر باقی می‌ماند. این چادرها همچنین جابجا می‌شدند. کوین‌بیس آن‌ها را در مکان‌های غیرقابل پیش‌بینی در سانفرانسیسکو برپا می‌کرد، که این امر برنامه‌ریزی برای نظارت از قبل را برای هر کسی بسیار دشوار می‌ساخت.

سخت‌افزار نیز همین رویه را طی کرد. کوین‌بیس از دو لپ‌تاپ پلمپ کارخانه‌ای برای این کار استفاده کرد: یکی برای تولید کلید و دیگری برای چاپ. یکی از آن‌ها سیستم‌عامل لینوکس داشت و دیگری مک‌بوک بود. هر دو دستگاه «ایربارپ» (air-gapped) بودند، به این معنی که هرگز به هیچ شبکه‌ای متصل نشدند.

سپس نوبت به پرتاب سکه رسید. لپ‌تاپ‌ها با پرتاب سکه انتخاب می‌شدند. اگر از قبل مشخص نباشد که کدام دستگاه استفاده خواهد شد، هیچ‌کس نمی‌تواند از قبل آن را دستکاری کند.

پس از ایجاد کلیدها، سخت‌افزار دیگر یک دارایی محسوب نمی‌شد، بلکه به یک ریسک تبدیل می‌شد. بنابراین کوین‌بیس تمام آن‌ها را از بین برد. این شامل لپ‌تاپ‌ها و چاپگرها می‌شد که برای این مراسم نو بودند. چاپگرها اغلب نادیده گرفته می‌شوند، اما می‌توانند داده‌های مربوط به کارهای چاپی را ذخیره کنند. از بین بردن آن‌ها دری را می‌بندد که اکثر مردم هرگز به آن فکر نمی‌کنند.

کلیدها سپس با استفاده از روش «اشتراک‌گذاری راز شمیر» (Shamir’s secret sharing) تقسیم شدند. طرح شمیر این کار را به صورت ریاضی برای کلیدهای رمزنگاری انجام می‌دهد. در عمل، این بدان معنا بود که چندین شرکت‌کننده باید برای بازسازی یک کلید همکاری می‌کردند، بنابراین هیچ فرد داخلی نمی‌توانست با وجوه مشتریان فرار کند. در تکرارهای بعدی این فرآیند، کوین‌بیس همچنین یک حسابرس مستقل را برای تأیید اینکه مراسم طبق برنامه پیش رفته است، به کار گرفت.

این پیکربندی همیشه به این پیچیدگی نبود. در ابتدا، این شرکت به درایوهای USB و پشتیبان‌های کاغذی متکی بود که در صندوق‌های امانات بانکی نگهداری می‌شدند. حتی با این سیستم ساده‌تر، حدود ۸۷ درصد از وجوه مشتریان تا اواخر سال ۲۰۱۲ به صورت آفلاین نگهداری می‌شد.

برای مشتریان، این داستان یادآوری می‌کند که ذخیره‌سازی سرد تنها به اندازه‌ی لحظه‌ی تولد کلیدها قوی است. اگر یک کلید در زمان ایجاد به خطر بیفتد، تمام اقدامات امنیتی بعدی از چیزی محافظت می‌کنند که از قبل در معرض خطر قرار گرفته است. برای هر کسی که در مورد محل نگهداری دارایی‌های خود تصمیم می‌گیرد، نکته‌ی عملی این است که نه تنها از محل نگهداری کلیدها، بلکه از نحوه‌ی تولید آن‌ها توسط امین (custodian) پرس‌وجو کند.

چانگ‌پنگ ژائو، هم‌بنیان‌گذار بایننس، معتقد است آینده امنیت رمزارزها شبیه به کنسول بازی Game Boy Color دهه ۹۰ میلادی خواهد بود. او در تاریخ ۱۴ اکتبر ۲۰۲۶ اعلام کرد که کیف پول‌های سخت‌افزاری باید در نهایت با بدنه‌های شفاف عرضه شوند تا کاربران بتوانند با چشم خود، نشانه‌های دستکاری را بررسی کنند.

این اظهارنظر در زمانی مطرح شد که تنها چند روز قبل، گزارش‌هایی مبنی بر حمله زنجیره تأمین به دستگاه‌های Ledger که از طریق یک فروشنده خاص عرضه شده بودند، منتشر شد. این حادثه با زیان تقریبی ۸۶ میلیون دلاری همراه بوده است.

اظهارات ژائو در واکنش به ابزار جدیدی به نام tampered.app بود که برای تشخیص دستکاری در کیف پول‌های سخت‌افزاری برندهایی چون Ledger، OneKey و Trezor طراحی شده است. در تاریخ ۹ و ۱۰ اکتبر، گزارش‌هایی مبنی بر دستکاری احتمالی در دستگاه‌های Ledger که توسط CryptoBilis، یک فروشنده در جنوب شرق آسیا، عرضه شده بودند، منتشر شد. زیان‌های گزارش‌شده عمدتاً شامل بیت‌کوین، اتریوم و ترون بود. Ledger در حال بررسی هر دو مورد دستکاری گزارش‌شده و ادعاهای کاربران در خصوص زیان است.

ژائو در این میان، بایننس را مورد انتقاد قرار نداد و مشکل را احتمالاً محدود به یک فروشنده خاص دانست. او معتقد است این حادثه نشان‌دهنده نقص گسترده در محصولات Ledger نیست، بلکه حلقه ضعیف، مسیر رسیدن دستگاه به خریدار بوده، نه طراحی خود دستگاه.

حمایت از کیف پول‌های سخت‌افزاری و خودحفاظتی

ژائو همچنین بر حمایت خود از کیف پول‌های سخت‌افزاری و مفهوم خودحفاظتی (self-custody) تأکید کرد. او به سرمایه‌گذاری‌های YZi Labs در چندین محصول کیف پول از جمله OneKey، SafePal و Trust Wallet اشاره کرد و استدلالش این بود که کیف پول‌های مختلف، بسته به پروفایل ریسک کاربران، برای افراد متفاوتی مناسب هستند. قابل ذکر است که OneKey یکی از برندهایی است که ابزار tampered.app آن را پوشش می‌دهد و همچنین یکی از شرکت‌های زیرمجموعه YZi Labs محسوب می‌شود.

مفهوم بدنه شفاف

مفهوم بدنه شفاف صرفاً نظری نیست. یک نمونه اولیه به نام Crystal wallet از قبل از محفظه اپوکسی شفاف استفاده می‌کند. اجزای داخلی آن در رزین مهر و موم شده و کاملاً از بیرون قابل مشاهده هستند.

درس‌های فوری برای کاربران

درس فوری برای کاربران، کمتر به نوع بدنه و بیشتر به منبع خرید مربوط می‌شود. حمله احتمالی بر روی یک فروشنده خاص متمرکز بوده است، که این موضوع بر اهمیت خرید دستگاه‌ها از کانال‌های مورد اعتماد تأکید می‌کند. ابزارهایی مانند tampered.app لایه دیگری را اضافه می‌کنند و به خریداران امکان می‌دهند قبل از اعتماد به یک دستگاه برای نگهداری وجوه واقعی، ناهنجاری‌ها را بررسی کنند.

یک بدنه شفاف به تشخیص دستکاری‌های ابتدایی کمک می‌کند، اما اکثر کاربران آموزش ندیده‌اند تا یک تراشه مشکوک روی برد مدار را تشخیص دهند. قابلیت مشاهده تنها زمانی مفید است که افراد بدانند به چه چیزی نگاه می‌کنند.

در حال حاضر، متغیر کلیدی، تحقیقات Ledger است. اگر این تحقیقات تأیید کند که مشکل به CryptoBilis محدود بوده است، دیدگاه ژائو مبنی بر مسئله‌ای مربوط به یک فروشنده خاص، تقویت می‌شود. اما اگر تحقیقات چیز گسترده‌تری را آشکار کند، بحث از طراحی بدنه به موضوعی بسیار دشوارتر برای حل و فصل تغییر خواهد کرد.

شرکت Trezor در انتخاب فروشندگان کیف پول‌های سخت‌افزاری خود سخت‌گیرتر می‌شود.

کاهش شبکه فروشندگان مجاز Trezor

شرکت SatoshiLabs که مالک برند Trezor است، در تاریخ ۱۳ اکتبر ۲۰۲۶ اعلام کرد که شبکه فروشندگان مجاز خود را کاهش می‌دهد. این تصمیم پس از آن اتخاذ شد که حوادث مربوط به زنجیره تأمین، نگرانی‌هایی را در مورد دستکاری محصولات در سراسر صنعت کیف پول‌های سخت‌افزاری برانگیخت. اولین نامی که از لیست فروشندگان حذف شد، CryptoBilis بود.

ارتباط با حادثه Ledger و خسارات مالی

این انتخاب تصادفی نبود. CryptoBilis فروشنده‌ای است که با حادثه بزرگی در ارتباط با دستگاه‌های Ledger مرتبط است. برآوردهای اولیه حاکی از خساراتی بین ۸۶ تا ۱۰۳ میلیون دلار برای کیف پول‌هایی است که عمدتاً حاوی USDT بر بستر شبکه ترون (Tron) بودند.

موضع Trezor: پیشگیری و عدم وجود شواهد دستکاری

Trezor در انتخاب کلمات خود دقت می‌کند. این شرکت کاهش شبکه فروشندگان را اقدامی پیشگیرانه توصیف کرده و اعلام کرده است که هیچ مدرکی مبنی بر به خطر افتادن هیچ‌یک از دستگاه‌هایش در دست ندارد.

Trezor در تاریخ ۱۱ اکتبر ۲۰۲۶، دو روز پیش از اعلام کاهش گسترده‌تر، نام CryptoBilis را از لیست فروشندگان خود حذف کرد. این شرکت این اقدام را به عنوان یک اقدام احتیاطی پس از انتشار گزارش‌هایی مبنی بر دستکاری دستگاه‌های Ledger توصیف کرد.

Ledger صدها مورد سرقت از کیف پول را به دستگاه‌هایی که از طریق CryptoBilis فروخته شده‌اند، نسبت داده است. قابل ذکر است که CryptoBilis از آن زمان فروش کیف پول‌های سخت‌افزاری را به طور کامل متوقف کرده است.

پاکسازی گسترده‌تر و آینده شبکه فروشندگان

این پاکسازی فراتر از یک فروشنده واحد است. Trezor قصد دارد پس از سال نو میلادی، صفحه فروشندگان خود را به‌روزرسانی کند و انتظار می‌رود نسخه جدید، گروهی کوچک‌تر از شرکای مجاز را نشان دهد.

ماهیت کیف پول‌های سخت‌افزاری و حملات زنجیره تأمین

کیف پول سخت‌افزاری کلیدهای خصوصی را به صورت آفلاین و دور از رایانه‌های متصل به اینترنت ذخیره می‌کند. ارزش آن به این بستگی دارد که دستگاه دقیقاً همان‌طور که سازنده آن را ساخته، به دست مشتری برسد.

حمله زنجیره تأمین، این مسیر را هدف قرار می‌دهد. به جای تلاش برای شکستن رمزنگاری دستگاه، مهاجم در جایی بین کارخانه و مشتری، در محصول اختلال ایجاد می‌کند.

چالش‌های امنیتی دیگر Trezor در سال ۲۰۲۶

این تنها مشکل امنیتی نیست که Trezor در سال ۲۰۲۶ با آن روبرو شده است. در ماه اوت ۲۰۲۶، نفوذ به ارائه‌دهنده خدمات لجستیک ShipMonk، اطلاعات شخصی حداکثر ۸۱ هزار مشتری Trezor را فاش کرد. بیشتر سوابق تحت تأثیر مربوط به سال‌های ۲۰۱۹ تا ۲۰۲۱ بودند. این حادثه به کلیدهای کیف پول یا وجوه دسترسی نداشت.

توصیه‌ها برای خریداران فعلی و آینده

برای دارندگان فعلی Trezor، موضع شرکت این است که در بخش سخت‌افزار هیچ تغییری رخ نداده است. هیچ سازش تأیید شده‌ای و هیچ مدرکی مبنی بر دستکاری دستگاه‌های Trezor وجود ندارد.

برای خریداران بالقوه، اثر عملی این است که کانال‌های مجاز محدودتر شده‌اند. به طور فزاینده‌ای به کاربران توصیه می‌شود که برای اطمینان از یکپارچگی محصول، فقط از منابع تأیید شده خرید کنند.

نشانگر بعدی که باید به آن توجه کرد، صفحه به‌روزرسانی شده فروشندگان پس از سال نو میلادی است که نشان خواهد داد این کاهش تا چه حد عمیق خواهد بود.

با افزایش چالش‌های امنیتی پیش روی تولیدکنندگان و کاربران کیف پول‌های سخت‌افزاری بیت‌کوین و ارزهای دیجیتال، پیامدهای این وضعیت می‌تواند منجر به افزایش فروش دستگاه‌ها و راه‌اندازی کیف پول‌های پرهزینه‌تر در کوتاه‌مدت اما امن‌تر در بلندمدت برای کاربران شود. کاربران فنی و آگاه بیت‌کوین سال‌هاست که از پیکربندی‌های چند امضایی (multisig) با استفاده از کیف پول‌های سخت‌افزاری از برندهای مختلف بهره می‌برند. اکنون، پس از بحران Coldcard در تابستان امسال و […]

شرکت OneKey، تولیدکننده کیف پول‌های سخت‌افزاری، مجوز فروشنده CryptoBilis را لغو کرد و به مشتریان واجد شرایط، دستگاه‌های جایگزین رایگان ارائه می‌دهد. این اقدام پس از گزارش‌هایی مبنی بر سرقت وجوه از دستگاه‌های Ledger که از طریق همین توزیع‌کننده خریداری شده بودند، صورت گرفت.

لغو مجوز فروشنده و ارائه دستگاه جایگزین

یشی وانگ، مدیرعامل OneKey، روز دوشنبه اعلام کرد که این شرکت هیچ گزارشی مبنی بر از دست دادن وجوه توسط کاربران خود در ارتباط با این حادثه دریافت نکرده است. با این حال، OneKey تأیید مجدد فروشندگان جدید را به حالت تعلیق درآورده و بررسی تمام نمایندگی‌های فروش موجود را آغاز کرده است.

وانگ گفت: «اما عدم وجود گزارش به معنای عدم وجود ریسک نیست. امنیت دارایی کاربران نمی‌تواند به شانس متکی باشد.»

این اقدامات پس از تحقیقات Ledger در مورد زیان‌های مالی گزارش‌شده توسط مشتریان در آسیای جنوب شرقی که دستگاه‌های خود را از طریق CryptoBilis خریداری کرده بودند، انجام می‌شود.

تحلیلگر بلاکچین Specter، زیان‌ها را بیش از ۸۶ میلیون دلار تخمین زده است، هرچند Ledger این رقم را تأیید نکرده است. در تاریخ ۱۰ اکتبر، Ledger تأیید کرد که یکی از دستگاه‌های آسیب‌دیده حاوی یک تراشه سخت‌افزاری غیرمجاز بوده است.

در به‌روزرسانی مورخ ۱۱ اکتبر، Ledger اعلام کرد که تمام موارد تأیید شده مربوط به دستگاه‌های فروخته شده از طریق CryptoBilis بوده و سیستم‌های داخلی و کانال‌های فروش مستقیم این شرکت بدون تأثیر باقی مانده‌اند.

CryptoBilis همچنین محصولات OneKey، Trezor، Tangem، SafePal و imKey را به فروش می‌رساند و این موضوع باعث نگرانی مشتریان در مورد احتمال در معرض خطر بودن سایر دستگاه‌ها شده است.

وانگ اظهار داشت که OneKey مجوز هر فروشنده‌ای را که هویت حقوقی آن قابل تأیید نباشد یا مالکیت نهایی ذینفع آن نامشخص باقی بماند، لغو خواهد کرد. او انتظار دارد که شبکه نمایندگی فروش به طور قابل توجهی کوچک شود. این شرکت قصد دارد پس از اتمام بررسی‌ها، لیستی کامل از فروشندگان مجاز را منتشر کند.

جزئیات برنامه تعویض

برنامه تعویض شامل تمام مدل‌های OneKey است که بین ۱ مارس و ۱۲ اکتبر ۲۰۲۶ از CryptoBilis خریداری شده‌اند، چه فعال شده باشند، چه مورد استفاده قرار گرفته باشند و چه هنوز باز نشده باشند. مشتریان تا ۳۱ دسامبر فرصت دارند درخواست خود را ثبت کنند.

وانگ دلیل تعیین تاریخ قطع مارس را اظهارات عمومی یکی از بنیان‌گذاران سابق CryptoBilis مبنی بر تغییر مالکیت کسب‌وکار در اوایل سال جاری و تکمیل انتقال عملیاتی در ماه مارس عنوان کرد. این توضیح ارتباطی بین تغییر مالکیت و سرقت‌های گزارش‌شده برقرار نمی‌کند.

دستگاه‌های جایگزین مستقیماً از فروشگاه رسمی OneKey ارسال خواهند شد. مشتریان در صورت عدم دسترسی به مدل مشابه، همان مدل یا یک ارتقاء رایگان دریافت خواهند کرد، بدون اینکه نیازی به بازگرداندن دستگاه اصلی داشته باشند.

درخواست‌ها باید از طریق پشتیبانی OneKey با عنوان «تعویض CryptoBilis» ارسال شوند. مشتریان باید مدرک خرید، مدل دستگاه و وضعیت فعال‌سازی یا استفاده از آن را ارائه دهند.

وانگ از مشتریانی که دستگاه‌های استفاده نشده دارند، خواست تا آن‌ها را غیرفعال نگه دارند. کسانی که در حال حاضر دارایی دارند، باید عبارت بازیابی فعلی خود را به طور بالقوه در معرض خطر بدانند و وجوه خود را به کیف پولی با عبارت بازیابی جدید منتقل کنند، به جای اینکه منتظر دستگاه جایگزین بمانند.

او همچنین نسبت به وارد کردن عبارت بازیابی قدیمی به دستگاه جایگزین هشدار داد. وی تأکید کرد که پشتیبانی OneKey هرگز عبارت بازیابی یا پین را درخواست نخواهد کرد.

ریپل به تهدید نرم‌افزاری علیه عرضه ثابت XRP واکنش نشان داد

یک نقص نرم‌افزاری حیاتی که می‌توانست منجر به ایجاد غیرمجاز XRP شود، توسط تیم مهندسی ریپل شناسایی و پیش از سوءاستفاده برطرف گردید. این شرکت اعلام کرده است که در حال گسترش تست‌های مبتنی بر هوش مصنوعی و بررسی‌های ریاضی برای کشف نقاط ضعف دیرینه در سیستم خود است، زیرا سرعت کشف آسیب‌پذیری‌ها افزایش یافته است.

جزئیات تهدید و اقدامات اصلاحی

نقص کشف شده، که جزئیات فنی آن به طور کامل منتشر نشده است، به طور بالقوه می‌توانست به مهاجمان اجازه دهد تا خارج از چارچوب عرضه ثابت XRP، توکن‌های جدیدی را ایجاد کنند. این امر می‌توانست پیامدهای جدی برای ارزش و ثبات XRP داشته باشد. تیم مهندسی ریپل با سرعت عمل، این حفره امنیتی را شناسایی و با اعمال وصله‌های نرم‌افزاری، آن را ترمیم کرده است.

تمرکز بر هوش مصنوعی و تست‌های ریاضی

در پی این حادثه، ریپل اعلام کرده است که رویکرد خود را در زمینه تست‌های امنیتی تقویت خواهد کرد. این شرکت قصد دارد استفاده از هوش مصنوعی را در فرآیندهای تست نرم‌افزار خود افزایش دهد. همچنین، بررسی‌های دقیق‌تر ریاضی و الگوریتمی برای شناسایی و رفع نقاط ضعف احتمالی که ممکن است در طول زمان انباشته شده باشند، در دستور کار قرار گرفته است. هدف از این اقدامات، اطمینان از استحکام و امنیت بلندمدت شبکه XRP است.

افزایش سرعت کشف آسیب‌پذیری‌ها

ریپل همچنین به افزایش سرعت کشف آسیب‌پذیری‌ها در دنیای فناوری اشاره کرده است. این امر، ضرورت به‌روزرسانی مداوم و اتخاذ رویکردهای پیشگیرانه در حوزه امنیت سایبری را بیش از پیش نمایان می‌سازد. شرکت‌های فعال در حوزه بلاکچین و ارزهای دیجیتال، با توجه به ماهیت حساس دارایی‌های دیجیتال، همواره باید در خط مقدم نوآوری‌های امنیتی قرار داشته باشند.

حساب‌های سخت‌افزاری لجر در اروپا هدف حمله قرار گرفتند؛ محققان امنیتی با هوش مصنوعی باگی در XRP کشف کردند

یک کاربر گزارش داده است که یک دستگاه لجر دستکاری شده را از یک خرده‌فروش بزرگ در اروپا خریداری کرده است. در همین حال، محققان امنیتی با استفاده از هوش مصنوعی، باگی در XRP کشف کرده‌اند که ارزش آن “۹۴ میلیارد دلار” تخمین زده می‌شود، اما تنها ۲۵۰ هزار دلار پاداش دریافت کرده‌اند.

یک حمله دستکاری دستگاه‌های لجر که پیش از این تخمین زده می‌شود ۹۳.۴ میلیون دلار از کاربران کیف پول سخت‌افزاری در آسیا ربوده است، اکنون گزارش شده است که به اروپا نیز گسترش یافته است. کاربری در پلتفرم X به نام یوهانس، تصاویری از یک دستگاه لجر دستکاری شده را منتشر کرده و مدعی شده است که دو هفته پیش آن را از زنجیره فروشگاه‌های لوازم الکترونیکی مصرفی در اروپا به نام MediaMarkt خریداری کرده است. به نظر می‌رسد قطعه دستکاری شده در این دستگاه، نسخه‌ای قدیمی‌تر از قطعه‌ای است که با دستگاه‌های ارسال شده توسط CryptoBilis در آسیا مرتبط بود و تاکنون هیچ وجهی از این دستگاه برداشت نشده است.

یوهانس در این باره گفته است: «یا دستگاه کار نمی‌کرد، یا منتظر استفاده گسترده‌تر از دستگاه‌های آلوده بودند.» مارک کارپلز، مدیرعامل سابق Mt Gox، که تحقیقاتش در مورد دستگاه‌های لجر دستکاری شده در آسیا به روشن شدن این مشکل کمک کرد، اظهار داشت که آنتن موجود در دستگاه نشان می‌دهد که این “نسخه اوراسیایی” است و این موضوع حاکی از آن است که نسخه‌های جداگانه‌ای از این قطعه دستکاری شده به مناطقی ارسال شده است که از فرکانس‌های مختلف تلفن همراه استفاده می‌کنند. شرکت لجر هنوز تایید نکرده است که دستگاه گزارش شده در اروپا بخشی از همان حمله است.

کاربر اروپایی یوهانس در پلتفرم X نوشت: «اطلاعیه مهم: حادثه لجر محدود به آسیا نیست.»

این حمله پیچیده اواخر هفته گذشته دستگاه‌های لجر در آسیا را هدف قرار داد. این اتفاق پس از آن رخ داد که مشخص شد دستگاه‌های فروخته شده توسط فروشنده رسمی CryptoBilis – که اخیراً مالک جدیدی پیدا کرده بود – به گونه‌ای تغییر یافته‌اند که ظاهراً به مهاجمان اجازه می‌دهد عبارت کلیدی (seed phrase) را بخوانند و وجوه را سرقت کنند، حتی با وجود اینکه دستگاه همچنان قادر به عبور از بررسی‌های اصالت‌سنجی است.

لجر از CryptoBilis خواسته است تا فروش و ارسال دستگاه‌های خود را به عنوان یک اقدام احتیاطی به حالت تعلیق درآورد و به مشتریانی که در ۹۰ روز گذشته دستگاه‌هایی را از این فروشنده خریداری کرده‌اند توصیه کرده است که دارایی‌های خود را به یک دستگاه لجر جدید منتقل کنند. این شرکت در آخرین به‌روزرسانی خود اعلام کرد: «حجم دستگاه‌های تحت تأثیر محدود است.»

CryptoBilis به عنوان یک فروشنده مجاز لجر در اندونزی، مالزی و فیلیپین فهرست شده است. وب‌سایت خبری امنیت سایبری Yfarmx زیان‌ها را ۹۳.۴ میلیون دلار در ۴۷۱ آدرس تخمین زده است، اما این رقم توسط لجر تأیید نشده است.

شرکت امنیتی Veria Labs برای کشف یک باگ سرریز (overflow bug) که از سال ۲۰۱۵ در کد XRP پنهان بود، ۲۵۰ هزار دلار پاداش دریافت کرده است. این شرکت ادعا می‌کند که یک تراکنش واحد می‌توانست تریلیون‌ها XRP را از هیچ ایجاد کند.

این باگ برطرف شده است و هیچ مدرکی مبنی بر سوءاستفاده از آن وجود ندارد.

کیدن لیائو، یکی از بنیان‌گذاران Veria Labs، در پلتفرم X نوشت که عامل هوش مصنوعی این شرکت، نرم‌افزار XRP Ledger را بررسی کرده و دو باگ با شدت کم را کشف کرده است. این عامل توانسته با ترکیب این دو باگ، یک اکسپلویت بسیار بزرگتر ایجاد کند. لیائو گفت که تنها یک تراکنش اکسپلویت می‌توانست بیش از ۱۸ تریلیون XRP ایجاد کند که ۱۸۴ برابر کل عرضه موجود است.

وی با اشاره به کل ارزش بازار XRP نوشت: «این امر کل ۹۴ میلیارد دلار را در معرض خطر قرار می‌دهد، بیش از ۶۰ برابر بزرگترین هک ارز دیجیتال ثبت شده.» او افزود: «ما حدس می‌زنیم یکی از دلایلی که هیچ‌کس این آسیب‌پذیری را کشف نکرده این است که این آسیب‌پذیری دو باگ را که به تنهایی شدت کمی دارند، به هم زنجیر می‌کند.» این باگ‌ها در تاریخ ۲۲ سپتامبر گزارش شدند و RippleX سه روز بعد آن‌ها را برطرف کرد.

ویتالیک بوترین، یکی از بنیان‌گذاران اتریوم، از هشدار جسٹن دریک، پژوهشگر، مبنی بر اینکه پیشرفت‌های هوش مصنوعی می‌تواند رمزنگاری مورد استفاده در بلاک‌چین‌های امروزی را پیش از کامپیوترهای کوانتومی تضعیف کند، حمایت کرده است.

بوترین نوشت: «من توصیه نمی‌کنم کسی امروز برای انتقال وجوه خود به کیف پول‌های جدید عجله کند. اما باید خطرات هوش مصنوعی برای رمزنگاری را که با شتاب‌دهی ریاضیات ایجاد می‌شود، جدی بگیریم.»

دریک در پی انتشار صدها یافته ریاضی جدید توسط OpenAI که انسان‌ها قادر به حل آن‌ها نبودند، از صنعت خواست تا خود را برای “حالت پناهگاه” آماده کند. هیچ‌کدام از این یافته‌ها مستقیماً به رمزنگاری مربوط نمی‌شد، اما پتانسیل عوامل هوش مصنوعی برای کشف بینش‌های جدید در ساختار ریاضی پشت رمزنگاری منحنی بیضوی یا رمزنگاری مبتنی بر لاتیس، تیم اصلی اتریوم را نگران کرده است.

این نگرانی‌ها توسط پروژه‌ها و تحلیلگران دیگر به عنوان ایجاد وحشت مورد انتقاد قرار گرفته است. منتقدان می‌گویند هیچ مدرکی مبنی بر اینکه عوامل هوش مصنوعی به شکستن رمزنگاری نزدیک هستند، وجود ندارد. اما از سوی دیگر، شواهد زیادی مبنی بر اینکه یک مدل هوش مصنوعی جدید می‌تواند راه‌حل صدها مسئله حل‌نشدنی دیگر را به یکباره پیدا کند، وجود نداشت.

سامسونگ قصد دارد در آخرین هفته اکتبر، انتقال USDC را به اپلیکیشن پرداخت Samsung Wallet برای ۸۲ میلیون کاربر واجد شرایط Galaxy در ایالات متحده معرفی کند.

این ویژگی به کاربران امکان می‌دهد USDC را به کیف پول‌های ارز دیجیتال سازگار در سطح بین‌المللی ارسال کنند و پول را به حساب‌های بانکی واجد شرایط در بیش از ۶۰ کشور منتقل کنند، جایی که گیرندگان می‌توانند وجوه را به ارز محلی خود دریافت کنند. کاربران برای دسترسی به این سرویس باید احراز هویت را تکمیل کنند.

Bastion زیرساخت حساب استیبل‌کوین و پرداخت را فراهم خواهد کرد و Coinbase به عنوان یک متولی فرعی از طریق Coinbase Prime Vault عمل خواهد کرد. Solana و Sui به عنوان شرکای فنی معرفی شده‌اند.

به گفته اندرو کوئومو، فرماندار سابق نیویورک، حمایت سنگین صنعت ارز دیجیتال از جمهوری‌خواهان آمریکا، دموکرات‌ها را که حمایتشان برای تصویب قوانین فدرال در زمینه ارز دیجیتال ضروری است، بیگانه کرده است.

بازارهای پیش‌بینی Kalshi احتمال پیروزی دموکرات‌ها در هر دو مجلس کنگره را حدود ۶۱ درصد اعلام کرده‌اند. کوئومو گفت که کنگره تحت کنترل دموکرات‌ها می‌تواند یا به دنبال لغو ابتکارات SEC و CFTC در زمینه ارز دیجیتال باشد، یا با دولت ترامپ برای تصویب کامل قانون CLARITY Act همکاری کند.

او گفت: «شما برای تصویب لایحه به دموکرات‌ها نیاز دارید. به جمهوری‌خواهان هم نیاز دارید. باید متعادل‌تر عمل کنید.»

در حالی که او پذیرفت که این تصور وجود دارد که دموکرات‌ها “ضد ارز دیجیتال” هستند، او گفت که این فناوری به خوبی با اهداف و باورهای این حزب همخوانی دارد. او افزود: «این افراد را توانمند می‌سازد که در غیر این صورت به محصولات مالی دسترسی نداشتند، و حزب دموکرات تمام عمر خود را برای انجام این کار تلاش کرده است.»

در پایان هفته، بیت‌کوین (BTC) با ۲.۸ درصد کاهش به قیمت ۸۳,۴۳۵ دلار معامله شد، اتریوم (ETH) با ۶.۵ درصد کاهش به قیمت ۲,۵۶۲ دلار و XRP (XRP) با ۷ درصد کاهش به قیمت ۱.۴۰ دلار معامله شد. طبق گزارش CoinMarketCap، کل ارزش بازار ۲.۸۲ تریلیون دلار است.

در میان ۱۰۰ ارز دیجیتال برتر، سه آلت‌کوین برتر هفته عبارتند از: StarkNet (STRK) با ۹۱ درصد افزایش (پس از اعلام اینکه به یک L1 پسا-کوانتومی تبدیل خواهد شد)، Binance Life (币安人生) با ۲۵.۴ درصد افزایش، و Celestia (TIA) با ۲۰.۸ درصد افزایش.

سه آلت‌کوین برتر بازنده هفته عبارتند از: Venice Token (VVV) با ۱۸.۵ درصد کاهش، Sky (SKY) با ۱۶.۲ درصد کاهش و Uniswap (UNI) با ۱۵.۴ درصد کاهش.

تام لی، رئیس Bitmine، روز جمعه در Token2049 گفت که اتریوم تا پایان سال از ۵۰۰۰ دلار فراتر خواهد رفت و تا پایان چرخه، اتریوم “به راحتی می‌تواند ۲۵,۰۰۰ یا ۵۰,۰۰۰ دلار به ازای هر توکن” باشد.

لی همچنین فاش کرد که Bitmine پس از انباشت حدود ۶ میلیون اتر، به هدف ۵ درصدی خود نزدیک می‌شود. این شرکت تنها به حدود ۱۰۰,۰۰۰ اتر دیگر برای رسیدن به این درصد نیاز دارد.

لی گفت: «این یک سقف سخت است. ما بیش از ۵ درصد انباشت نخواهیم کرد.» او افزود: «ما بیش از ۵ درصد اتریوم را در اختیار نخواهیم داشت.»

کیف پول سخت‌افزاری فقط بیت‌کوین Coldcard اعلام کرد که یک لینک فیشینگ غیرمجاز روز یکشنبه در حساب رسمی X این شرکت ظاهر شده است، علیرغم اینکه این شرکت از احراز هویت دو مرحله‌ای آفلاین استفاده می‌کند.

این پست از آن زمان حذف شده است و این شرکت اعلام کرده است که تنها وب‌سایت رسمی آن https://coldcard.com است.

ردیاب هک DefiLlama زیان‌های مرتبط با اکسپلویت Coldcard در ماه جولای را ۱۱۵ میلیون دلار تخمین زده است.

چاد بارافورد، یکی از بنیان‌گذاران فنی THORChain، صادرکننده استیبل‌کوین Tether را متهم کرد که بدون توضیح، کیف پول‌های USDt (USDT) این شبکه را مسدود کرده و سپس چند ساعت بعد آن‌ها را رفع مسدودیت کرده است.

بارافورد در پستی در X روز جمعه گفت که Tether آدرس‌های کیف پول THORChain را مسدود کرده و حدود ۱.۴۵ میلیون USDT را در مجموع در چهار کیف پول این شبکه مسدود کرده است. او حدود دو ساعت بعد گزارش داد که پس از رفع مسدودیت تمام آدرس‌ها توسط Tether، معاملات از سر گرفته خواهد شد.

الکس ماشینسکی، مدیرعامل سابق Celsius، تحت یک توافق با دادستان کل نیویورک، لتیا جیمز، که شامل پرداخت‌های مشروط تا سقف ۳۵ میلیون دلار است، به طور دائم از صنایع ارز دیجیتال، اوراق بهادار و کالاها محروم شد.

توافق نیویورک که روز جمعه اعلام شد، به دعوی مدنی سال ۲۰۲۳ که ماشینسکی را به فریب صدها هزار سرمایه‌گذار در مورد ایمنی Celsius پیش از فروپاشی آن در سال ۲۰۲۲ متهم می‌کرد، پایان می‌دهد.

ماشینسکی در حال گذراندن حکم ۱۲ سال زندان فدرال به جرم کلاهبرداری است و به طور جداگانه دستور مصادره بیش از ۴۸ میلیون دلار برای او صادر شده است.

مقامات فرانسوی در هفت ماه، ۹۰ پرونده مرتبط با ارز دیجیتال شامل آدم‌ربایی، اخاذی، تهدید و سرقت خشن را ثبت کرده‌اند. چه چیزی فرانسه را به چنین نقطه‌ای داغ تبدیل کرده است؟

وام‌دهی ارز دیجیتال از ماه جولای ۵۵ درصد افزایش یافته است، اما اکنون باید با خطرات هک‌های با کمک هوش مصنوعی و ریسک‌های گسترده در پروتکل‌های مرتبط مقابله کند. در اینجا نحوه امن ماندن آمده است.

رائول پال، بنیان‌گذار Real Vision، می‌گوید توقف در روند صعودی سهام هوش مصنوعی می‌تواند به جذب سرمایه توسط ارزهای دیجیتال کمک کند، در حالی که عوامل هوش مصنوعی احتمالاً پذیرش اتریوم و سولانا را افزایش خواهند داد.