تصل الخسائر المُبلغ عنها في حادثة Ledger CryptoBilis إلى حوالي 93.2 مليون دولار من 315 محفظة عبر ست سلاسل بعد عمليات سحب منسقة في 9 أكتوبر 2026، في حين أكدت Ledger وجود زرع غير مصرح به في أحد الأجهزة المتأثرة. لم تؤكد Ledger رقم الخسارة أو هوية المهاجم أو طراز الجهاز المتأثر، أو ما إذا كانت آلية الزرع التي أُعلن عنها في الأبحاث العامة تفسر كل عمليات السرقة المُبلغ عنها.
الملخص الأساسي: يُفهم حادث Ledger CryptoBilis بشكل أفضل على أنه هجوم على سلسلة توريد المحفظة الصلبة ضد مسار عرض عبارة الاسترداد، وليس كتجاوز مُثبت لبرمجيات Ledger أو العنصر الآمن أو البنية التحتية الخاصة بها.
ماذا حدث خلال عمليات سحب محافظ Ledger CryptoBilis؟
كانت عمليات سحب محافظ Ledger CryptoBilis هجمة منسقة على عدة سلاسل بدأت حوالي 05:07 بالتوقيت العالمي الموحد في 9 أكتوبر 2026، وأثرت على مستخدمين اشتروا أجهزة Ledger عبر CryptoBilis في ماليزيا، إندونيسيا، والفلبين. تقدر تحليلات البلوكتشين أن 315 محفظة فقدت حوالي 93.2 مليون دولار عبر بيتكوين، إيثيريوم، TRON، BNB Chain، Polygon، وسولانا، على الرغم من أن Ledger لم تصادق على هذا التقدير.
يهم التوقيت لأن تسلسل الأحداث على الشبكة يشير إلى وصول متزامن بدلاً من أخطاء فردية للمستخدمين. عند حوالي الساعة 05:00 بالتوقيت العالمي، أضافت 30 محفظة TRON المفتاح الجديد نفسه إلى صلاحيات الحساب. عند 05:07:48، وقّع 13 محفظة TRON نفس الموافقة على الرمز، تلتها 12 محفظة خلال ثوانٍ قليلة. سمحت تلك الموافقات الأولية على TRON بإزالة حوالي 29 مليون دولار.
بدأت عمليات السحب بعدها على BNB Chain وPolygon وإيثيريوم بين 05:07 و05:09 بالتوقيت العالمي. عند 05:54، تم تفريغ 111 محفظة بيتكوين في كتلة واحدة، وأزيل منها حوالي 203 بيتكوين. يتوافق التسلسل مع فرد يتحكم في بيانات اعتمادات تتيح له تفويض نشاط عبر العديد من المحافظ في وقت واحد تقريبًا.
أبلغ المحققون عن عناوين عمليات السحب حوالي الساعة 12:00 بالتوقيت العالمي في 9 أكتوبر. أصدرت Ledger أول بيان لها عند 13:32 بالتوقيت العالمي، وأكدت أنها تحقق في تقارير مرتبطة بـ CryptoBilis، وطلبت من الوكيل إيقاف المبيعات. وفي 10 أكتوبر، علّقت CryptoBilis المبيعات والشحن لجميع علامات المحافظ الصلبة وأغلقت المتاجر الفعلية كإجراء احترازي.
أكدت Ledger في 10 أكتوبر أن جهازًا واحدًا متأثرًا يحتوي على زرع غير مصرح به. وأطلعت Ledger بحلول 11 أكتوبر على أن الحالات المؤكدة كانت مرتبطة بأجهزة CryptoBilis، وأن حجم الأجهزة المتأثرة محدود، وأنها تعمل مع السلطات المختصة. وقالت Ledger أيضًا إنه لا يوجد مؤشر على تعرض بنيتها التحتية أو أنظمتها أو خدماتها أو قنوات مبيعاتها المباشرة للاختراق.
| التاريخ والوقت | حدث حادثة Ledger CryptoBilis | تفاصيل موثوقة تم الإبلاغ عنها |
|---|---|---|
| 25 سبتمبر 2026 | تلقت عناوين يسيطر عليها المهاجم التمويل الأولي | حدد تحليل البلوكتشين نشاط التمويل الأولي |
| 26 سبتمبر إلى 7 أكتوبر 2026 | حدثت أنشطة اختبار على TRON وإيثيريوم | 21 عملية اختبار على TRON و20 على إيثيريوم |
| 9 أكتوبر 2026، حوالي 05:00 UTC | تغيرت صلاحيات TRON | تلقت 30 محفظة ضحية نفس المفتاح الجديد |
| 9 أكتوبر 2026، 05:07 UTC | بدأ السحب الجماعي | وقّعت 25 محفظة TRON نفس الموافقة خلال ثوانٍ |
| 9 أكتوبر 2026، 05:54 UTC | تم تفريغ محافظ بيتكوين | أُفرغت 111 محفظة بيتكوين في كتلة واحدة |
| 9 أكتوبر 2026، 13:32 UTC | أصدرت Ledger أول بيان لها علنًا | قالت إنها تحقق في تقارير مرتبطة بـ CryptoBilis |
| 10 أكتوبر 2026، 17:09 UTC | أكدت Ledger أدلة على التلاعب المادي | احتوى جهاز واحد متأثر على زرع غير مصرح به |
| 11 أكتوبر 2026، 07:00 UTC | تم تعديل التقدير العام | حوالي 93.2 مليون دولار من 315 محفظة عبر ست سلاسل |
| 11 أكتوبر 2026، 17:13 UTC | أصدرت Ledger تحديثًا لمدة 72 ساعة | قالت إن حجم الأجهزة المتأثرة محدود |
كانت تركيز الخسائر غير متساوٍ أيضًا. استنادًا إلى التقدير العام المفصل على البلوكتشين، كانت 131 محفظة TRON مسؤولة عن حوالي 70.5 مليون دولار، تتضمن حوالي 70.2 مليون USDT وبعض TRX. شكلت محافظ البيتكوين 122 محفظة و203.8 BTC، بقيمة تقريبية تبلغ 16.8 مليون دولار. وكانت باقي الخسائر المُعرفة من إيثيريوم وBNB Chain وPolygon وسولانا.
في عمل إبيرسوكن فيما يخص أمان العقود الذكية والبنية التحتية، تعتبر الموافقات المتزامنة وتغييرات بيانات الاعتماد عبر محافظ غير مرتبطة إشارة قوية للاستجابة للحادث: يجب على المستجيبين أولاً تحديد حدود الثقة المشتركة، بدلاً من التعامل مع كل محفظة متأثرة على أنها اختراق منفصل.
لماذا تشير الأدلة إلى هجوم عبر سلسلة توريد الأجهزة؟
تشير الأدلة المتوفرة إلى هجوم عبر سلسلة توريد الأجهزة لأن Ledger أكدت وجود زرع غير مصرح به في جهاز واحد متأثر، مع تأكيدها أن أنظمتها وقنوات مبيعاتها المباشرة لم تتضرر. تستخدم طريقة الزرع المقترحة لالتقاط كلمات الاسترداد عند عرضها على شاشة الجهاز، مما يتجاوز الحاجة إلى التغلب على العنصر الآمن أو تعديل برمجيات Ledger.
وصف البحوث العامة على الأجهزة وجود لوح إضافي مخفي تحت منطقة الشاشة. تفرض فرضية معينة تستخدم وحدة LTE خلوي، وeSIM بيانات، وميكروكنترولر متصلًا بنBUS بيانات العرض. تحت تلك الفرضية، ينتظر الزرع إعداد الجهاز، ويتعرف على عبارة الاسترداد الواضحة على الشاشة، ثم يرسلها عبر اتصال جوال.
لم تؤكد Ledger تلك الآلية، ولم تصدق على طراز الجهاز المزروع الذي فحصته، ولم تحدد عدد الأجهزة المتأثرة. لذلك، يُعتبر هذا الآلية شرحًا تقنيًا معقولًا يدعمه الأبحاث الخارجية، وليس رواية مؤكدة لكل سرقات Ledger CryptoBilis.
الفرق الأساسي هو أن العنصر الآمن يحمي عمليات المفتاح الخاص داخل الجهاز. لا يحتاج زرع قراءة الشاشة إلى استخراج المفتاح الخاص من العنصر الآمن إذا استطاع التقاط عبارة الاسترداد أثناء تهيئة المحفظة. بمجرد أن يحصل المهاجم على عبارة الاسترداد، يمكنه إعادة إنشاء وصول المحفظة في مكان آخر وتوقيع المعاملات بدون الحاجة إلى وصول جسدي مستمر إلى الجهاز الأصلي.
هذا يفسر سبب وجود تغييرات منسقة للمفاتيح، وطلبات الموافقة على الرموز، وعمليات السحب عبر عدة سلاسل. يمكن لسجلات البلوكتشين أن تظهر أن نفس المهاجم يتحكم في المحافظ المتأثرة، لكن البلوكتشين نفسه لا يمكنه الكشف عن كيفية الحصول على عبارات الاسترداد أو بيانات توقيع الاعتمادات.
كما يختلف حادث Ledger CryptoBilis عن عملية احتيال عبر محفظة مُسبقًا إعدادها. صرحت Ledger أن الأجهزة الأصلية لا تأتي أبدًا بعبارة استرداد أو رقم تعريف شخصي مُعين مسبقًا. لا يدعي أي تقرير عام في هذا الحادث أن الأجهزة احتوت على عبارات مُطبوعة أو بطاقات خدش أو بيانات اعتماد مُعدة مسبقًا. يكمن الخطر هنا في تعرض عبارة جديدة تم إنشاؤها حديثًا في اللحظة التي يتوقع فيها المستخدم أن تكون عملية إعداد الجهاز خاصة.
بالنسبة للمؤسسات التي تدير أصول الخزانة، يجب أن يقود هذا التمييز إلى مراجعات أمنية تقنية تابعها هنا. لا يمكن لمراجعة تقتصر على كود العقد أو برمجيات الجهاز أن تكشف عن كل تعرض ناتج عن الشراء والتهيئة والمعالجة المادية وإجراءات عبارة الاسترداد.
لماذا لم يكتشف فحص Ledger Genuine the المزروع المزعوم؟
لم يُصمم فحص Ledger Genuine Check للكشف عن الزرع الذي يحافظ على العنصر الآمن الأصلي، لأن الفحص يتحقق من التصديق التشفيري بدلًا من تاريخ سلسلة التوريد المادي الكامل للجهاز. يذكر نموذج التهديد الخاص بـ Ledger أن فحص Genuine لا يمكنه اكتشاف التعديلات المادية غير المصرح بها عندما يظل العنصر الآمن الأصلي سليمًا.
تتم عملية فحص Genuine عبر تصميم تحدي-الرد. يُثبت العنصر الآمن لدى Ledger أنه أصلي من خلال إنشاء توقيع تشفير صحيح للتحدي. يوفر هذا التصميم ضمانًا حول أصالة العنصر الآمن، وهو مهم ضد الأجهزة المقلدة التي تستبدل المكونات الموثوقة الأساسية.
يمكن أن يقع الزرع المادي خارج نطاق هذا الضمان. إذا أضاف طرف خبيث دائرة كهربائية دون استبدال العنصر الآمن الحقيقي، لا يزال العنصر الآمن قادرًا على الرد على تحدي التصديق بشكل صحيح. لذلك، قد ينجح الجهاز في فحص Genuine على الرغم من أن مكونًا آخر أُضيف لمراقبة الشاشة أو التفاعل مع الاتصالات الخارجية.
هذا لا يعني فشل فحص Genuine في تحقيق هدفه التشفيري المقصود. هو دليل على أن مصادقة الجهاز وسلامة سلسلة التوريد خصائص أمنية مختلفة.
| السؤال الأمني | فحص Ledger Genuine | التحكم في سلسلة التوريد المطلوب لحالة Ledger CryptoBilis |
|---|---|---|
| هل العنصر الآمن أصل؟ | العنصر الآمن يوقّع تحدي التصديق | تحقق من المنشأ والتوصيل المصرح به قبل التهيئة |
| هل يمكن للجهاز إثبات تاريخه المادي؟ | لا، تقول Ledger إن فحص Genuine لا يمكنه التحقق من تاريخ سلسلة التوريد المادي | حافظ على تتبع البائع، الموزع، المستودع، وسلسلة الإرجاع |
| هل يمكن التعرف على زرع مراقبة الشاشة المضافة؟ | لا، إذا بقي العنصر الآمن الأصلي سليمًا | استخدم فحص التلاعب وإجراءات الإعداد المسيطر عليها |
| هل يحمى التحكم عبارة الاسترداد المكونة من 24 كلمة أثناء الإعداد؟ | لا بنفسه | أنشئ وسجل العبارة فقط في بيئة مادية موثوق بها |
| هل يثبت التحكم أن أنظمة Ledger تعرضت للاختراق؟ | لا | ذكرت Ledger أنها لا تملك أي مؤشر على تعرض بنيتها التحتية أو قنوات مبيعاتها المباشرة للاختراق |
يؤكد نمط الهجوم مبدأ أوسع للأمان: يمكن أن تكون التشفير صحيحًا، بينما يُعطل طريقه حول التشفير. تُعرض عبارة الاسترداد بشكل واضح ومباشر بحيث يمكن للمستخدم عمل نسخة احتياطية منها. تصبح تلك اللحظة الضرورية من ناحية الاستخدام سطحًا هجومياً حرجًا إذا استطاع عنصر خبيث مراقبة الشاشة.
يجب على الفرق تجنب اعتبار التحقق من صحة الأجهزة المحفظة الصلبة عملية خطوة واحدة فقط. تتطلب عملية موثوقة فحوصات لسلامة الجهاز، وشراء موثق، واستلام مقاوم للتلاعب، وتهيئة مسيطرة، ومراجعة مستقلة للمعاملات، وإجراءات ترحيل محددة في حالة الشك.
يمكن لخدمات الأمان التي تقدمها Soken مساعدة الفرق على تطبيق تلك الضوابط عبر نشر المحافظ، والوصول العملياتي، وتصاريح العقود الذكية، وسير عمل الاستجابة للحوادث. السؤال الأهم ليس فقط عما إذا كان الموقع صالحًا، ولكن أيضًا إذا كانت كل مرحلة تتعامل مع عبارة الاسترداد وسلطة المعاملات موثوقة.
ماذا يجب أن يفعل مستخدمو ومنظمات Ledger CryptoBilis المتأثرون الآن؟
يجب على مستخدمي Ledger CryptoBilis المتأثرين عدم تهيئة الأجهزة غير المستخدمة التي اشترواها عبر CryptoBilis، وينبغي عليهم نقل الأصول من أي جهاز مرتبط بـ CryptoBilis تم تهيئته إلى موصل جديد من Ledger باستخدام عبارة جديدة. إعادة استخدام عبارة الاسترداد القديمة على جهاز بديل ستحتفظ بالعرض المزعوم، ولن تعد ترحيلًا آمنًا.
إرشادات Ledger في البداية كانت تشمل المستخدمين الذين اشتروا من CryptoBilis خلال الـ90 يومًا السابقة، ثم تم توسيعها لتشمل النصيحة بعدم تهيئة أجهزة CryptoBilis غير المستخدمة بدون تحديد زمن معين. كما وجهت Ledger المستخدمين للاتصال بقنوات الدعم الرسمية وتقديم شكاوى للسلطات المحلية عند الحاجة.
يجب اعتبار عملية الترحيل عملية أمنية مسيطرة، وليست مجرد انتقال بين واجهات المحافظ:
-
توقف عن استخدام الجهاز المشتبه فيه. لا تهيئ جهاز Ledger مرتبط بـ CryptoBilis غير مستخدم، ولا تستخدم جهازًا تم تهيئته لإنشاء هياكل محفظة طويلة الأمد.
-
أنشئ عبارة استرداد جديدة حقيقية. يجب أن يُصدر الموصل البديل عبارة جديدة. استيراد عبارة استرداد قديمة إلى محفظة أخرى يبقي على خطر تعرضها.
-
نقل الأصول إلى عناوين مشتقة من العبارة الجديدة. استكد من العنوان الوجهة من خلال الشاشة الموثوقة للموصل الجديد، واستخدم التحقق الدقيق من المعاملات لكل عملية نقل.
-
مراجعة الصلاحيات المفوضة. على شبكة TRON وإيثيريوم وBNB وPolygon وسولانا وغيرها، افحص الموافقات، وصلاحيات الحساب، وسلطة التوقيع المفوضة المرتبطة بالمحفظة القديمة.
-
توقع هجمات هندية اجتماعية ثانوية. ذكرت Ledger أنها لن تتصل أبدًا، أو ترسل رسائل مباشرة، أو تطلب عبارة الاسترداد من 24 كلمة. تجذب فترات الترحيل صفحات تصيد، ومركبات دعم مزيفة، وتطبيقات محافظ احتيالية.
-
احتفظ بالدليل. احتفظ بسجلات الشراء، وتغليف الأجهزة، والإيصالات، والاتصالات، وسجلات المحافظ ذات الصلة. لا تفكك الجهاز إذا كان ذلك قد يضر بالأدلة التي يحتاجها المحققون أو السلطات.
يزيد تحرك الأموال بعد السحب من أهمية الاحتواء السريع. تقول تحليلات البلوكتشين العامة أن المهاجم ربط 20 مليون USDT في 40 قطعة متساوية، وتبادل هذا المبلغ تقريبًا مقابل 7994 ETH، وأحرق حوالي 14.9 مليون USDT في USDD. تتضمن الطرق الأخرى المبلغ عنها Relay.link، Chainflip، HiFiSwap، NEAR Intents، وحوالي 2990 ETH تم توجيهها عبر Tornado Cash.
جمّدت Tether حوالي 10.0 مليون دولار من USDT في 20 محفظة مرتبطة بالمهاجم في 9 أكتوبر. لم يتم استرداد الأموال أو الإعلان عن تعويضات حتى 12 أكتوبر. يعتمد استرداد الأصول على السرعة، وجودة الأدلة، والتنسيق القانوني، والطرق التي يختارها المهاجم عبر السلاسل والخدمات. قد تحتاج المؤسسات التي تواجه خسائر عبر محافظ متعددة من اختصاصات قضائية أيضًا إلى دعم قانوني والامتثال إلى جانب الاحتواء الفني.
ماذا تغير حادثة Ledger CryptoBilis لأمان المحافظ الصلبة؟
تُظهر حادثة Ledger CryptoBilis أن حماية المحافظ الصلبة يجب أن تشمل الطريق الموثوق من خلال شراء الموزع وتهيئة عبارة الاسترداد، لأنه لا يحمي التشفير الأساسي القوي عبارة مراقبة قبل أن تصبح سرًا. تؤكد Ledger وجود زرع في جهاز واحد، مما يجعل تحكمات سلسلة التوريد المادية مطلبًا أمنيًا عمليًا، وليس مجرد مسألة نظرية.
لا ينبغي أن يُوصف الحدث على أنه ثغرة أمنية مثبتة من Ledger. قالت Ledger إن بنيتها التحتية وقنوات مبيعاتها المباشرة لم تتضرر، ولا توجد مصادر عامة تدعي أن العنصر الآمن أو برمجيات الجهاز قد تم اختراقها. أيضًا، لم يُنسب إلى أي مهاجم أو مجموعة بشكل موثوق حتى 12 أكتوبر، وتظل ادعاءات السوشيال ميديا بوجود تدخل من دولة مجرد تكهنات.
كما لا ينبغي تعميم الحادث ليصبح ادعاءً بأن كل جهاز Ledger، وكل موزع، وكل محفظة صلبة معرضة للخطر. ذكرت Ledger أن جميع الحالات المؤكدة كانت مرتبطة بـ CryptoBilis، وأنها لا تملك تقارير تتعلق بأجهزة اشتريت مباشرة من Ledger. الرد المناسب هو تقليل المخاطر بطريقة تستند إلى أدلة الشراء والإعداد.
مقارنة مفيدة هي الفرق بين حادثة Ledger CryptoBilis وأساليب فشل أخرى في المحافظ الصلبة. ففي حادثة Coldcard المُبلغ عنها في يوليو 2026، كان فيرموير القديم المحدود يولد عبارات استرداد ذات عشوائية ضعيفة. في حالة Ledger CryptoBilis، يُذكر أن القلق هو المراقبة المادية لعبارة استرداد تم إنشاؤها بشكل صحيح. في سيناريو جهاز مزيف، يمكن أن يكون整个 المنصة hardware مزور. كل حالة تهاجم جزءًا مختلفًا من الطريق الموثوق.
لمزيد من سياق تحليل الحوادث، يمكن للمُطالعين الاطلاع على مركز أبحاث الأمان الخاص بـ Soken، خاصة عند بناء سياسات محافظ ترتبط بالضوابط التقنية بقرارات التشغيل.
اعتبر حادثة Ledger CryptoBilis اختبار أمان خاص بالشراء والتهيئة: حدد كل جهاز محفظة تم الحصول عليه عبر CryptoBilis، وأوقف إعداد الوحدات غير المستخدمة، وقم بترحيل أي جهاز تم تهيئته إلى عبارة جديدة مُولَّدة حديثًا. تمثل تلك الخطوة الصلبة من المخزون والترحيل استجابة أكثر مباشرة للمخاطر المؤكدة من الاعتماد فقط على فحص Genuine.