جو گرند، محقق امنیت سخت‌افزار که در بازیابی ارزهای دیجیتال از کیف پول‌های قفل‌شده تخصص دارد، روز سه‌شنبه به کوین‌تلگراف گفت که کاربران عادی ارزهای دیجیتال نمی‌توانند به طور واقع‌بینانه دستکاری‌های پیچیده در کیف پول‌های سخت‌افزاری را تشخیص دهند.
توضیح اینکه افراد چگونه باید دستگاه‌های خود را بررسی کنند واقعاً دشوار است، زیرا حتی افراد فنی مانند من نیز هر دستگاه را برای بررسی دستکاری احتمالی بازبینی نمی‌کنند.
Joe Grand
این نگرانی‌ها روز جمعه پس از گزارش‌هایی مبنی بر سرقت ارزهای دیجیتال از دستگاه‌های Ledger که توسط CryptoBilis، یک فروشنده مجاز در اندونزی، مالزی و فیلیپین، فروخته شده بودند، افزایش یافت. شرکت Ledger روز شنبه تأیید کرد که در یکی از دستگاه‌های آسیب‌دیده، یک قطعه غیرمجاز (ایمپلنت) کار گذاشته شده بود.
به گفته این شرکت فرانسوی سازنده کیف پول سخت‌افزاری، ایمپلنت‌های مخرب در کیف پول‌های Ledger فروخته‌شده توسط CryptoBilis، عبارات بازیابی کاربران را ضبط کرده و از طریق شبکه‌های تلفن همراه ارسال می‌کردند.
کنترل بیشتر به معنای اعتماد کمتر نیست
کیف پول‌های سخت‌افزاری برای نگهداری کلیدهای خصوصی به صورت آفلاین طراحی شده‌اند تا در برابر حملات آنلاین که کیف پول‌های نرم‌افزاری را هدف قرار می‌دهند، مقاوم باشند. با این حال، محبوبیت جهانی برخی از این کیف پول‌ها و شبکه‌های توزیع گسترده آن‌ها، فرصت‌هایی برای دستکاری در زنجیره تأمین ایجاد کرده است.
ماتی گرینسپن، تحلیلگر ارزهای دیجیتال، به کوین‌تلگراف گفت که با وجود فعالیت در این صنعت از سال ۲۰۱۳، هرگز از کیف پول سخت‌افزاری استفاده نکرده است، زیرا ارزش چندانی در افزودن یک حلقه دیگر به زنجیره اعتماد نمی‌بیند.
وقتی یک کیف پول سخت‌افزاری می‌خرید، یک زنجیره اعتماد کاملاً جدید را معرفی می‌کنید، از تولیدکننده گرفته تا تأمین‌کننده و هر کسی که قبل از رسیدن به دست شما با دستگاه سروکار داشته است.
Mati Greenspan
در مقابل، نیک نیومن، مدیرعامل شرکت امنیت بیت‌کوین Casa، معتقد است که اجتناب کامل از اعتماد به شخص ثالث غیرممکن است.
همیشه یک واسطه وجود دارد که باید به آن اعتماد کنید.
Nick Neuman
او افزود که کاربران باید به جای اتکا به یک ارائه‌دهنده، ریسک خود را بین چندین سرویس‌دهنده تقسیم کنند.
بررسی‌های امنیتی نمی‌توانند همه چیز را تشخیص دهند
شرکت Trezor، یکی از رقبای اصلی Ledger، اعلام کرد که دستگاه‌هایش تحت بررسی‌های اصالت‌سنجی قرار می‌گیرند و فقط سیستم‌عامل‌های امضاشده را می‌پذیرند، اما اذعان کرد که این تدابیر نمی‌توانند دستکاری فیزیکی را به طور کامل رد کنند.
سخنگوی Trezor به کوین‌تلگراف گفت: «شما می‌توانید بررسی کنید که بسته‌بندی و هولوگرام دست‌نخورده باشند و به دنبال علائم غیرعادی روی دستگاه بگردید، اما این بررسی‌ها به تنهایی نمی‌توانند تضمین کنند که دستگاه اصلاح نشده است.»
این شرکت اعلام کرد که ایمپلنت‌های یافت‌شده در دستگاه‌های Ledger چالش متفاوتی ایجاد می‌کنند، زیرا اطلاعات را از روی صفحه نمایش ضبط می‌کنند بدون آنکه سیستم‌عامل را تغییر دهند. Trezor گفت که این نوع حمله را روی دستگاه‌های خود مشاهده نکرده است. روز سه‌شنبه، Trezor به عنوان یک اقدام «پیشگیرانه» اعلام کرد که تعداد نمایندگان فروش خود را کاهش خواهد داد.
طراحی کیف پول‌ها می‌تواند ریسک دستکاری را کاهش دهد
جو گرند چندین تغییر در طراحی فیزیکی را پیشنهاد کرد، از جمله استفاده از بدنه‌های شفاف که قطعات داخلی را نمایان می‌کنند تا محفظه‌های مقاوم در برابر دستکاری. به گفته او، این کار تزریق سخت‌افزار اضافی به دستگاه را برای مهاجم بسیار دشوارتر می‌کند، زیرا برای پنهان کردن تغییرات، مجبور به بازسازی کامل بدنه دستگاه خواهد بود.
این محقق امنیتی همچنین به توصیه‌های طراحی ضد دستکاری از سوی مهندس الکترونیک، دیو جونز، اشاره کرد، اما هشدار داد که نباید تنها به این اقدامات تکیه کرد. این تدابیر می‌توانند حملات زنجیره تأمین را دشوارتر کنند، اما ریسک را به طور کامل از بین نخواهند برد.
این مطلب صرفاً جنبه اطلاع‌رسانی دارد و نباید به عنوان توصیه مالی یا سرمایه‌گذاری در نظر گرفته شود.
