جدال مدیرعامل لجر با رئیس سابق Mt. Gox بر سر سرقت ۹۰ میلیون دلاری از کیف پول‌ها
مدیرعامل لجر در پاسخ به انتقادات رئیس سابق Mt. Gox از هشدارهای امنیتی این شرکت دفاع کرد. یک راهنمای امنیتی قدیمی لجر این سوال را ایجاد کرده که آیا شرکت از قبل از این نوع حملات اطلاع داشته است یا خیر. برآوردها حاکی از سرقت بیش از ۹۰ میلیون دلار است، هرچند لجر این رقم را تأیید نکرده است.
پاسکال گوتیه، مدیرعامل لجر، در یک درگیری عمومی در شبکه اجتماعی X با مارک کارپلس، مدیر سابق صرافی Mt. Gox، بر سر هشدارهای مربوط به کیف پول‌های سخت‌افزاری دستکاری‌شده که با سرقت تخمینی ۹۰ میلیون دلار ارز دیجیتال مرتبط است، روبرو شد. کارپلس این سوال را مطرح کرد که آیا این شرکت سازنده کیف پول، خطر وجود قطعات جاسوسی پیچیده را به اندازه کافی و پیش از گزارش ضرر مشتریان، به وضوح اعلام کرده بود یا خیر. گوتیه در مقابل از اقدامات امنیتی لجر دفاع کرد و انتقادات مدیر اجرایی سابق صرافی را به چالش کشید.
این اختلاف به دنبال کشف قطعات الکترونیکی غیرمجاز در داخل یک دستگاه اصلی لجر به وجود آمد. بازرسان دریافتند که سخت‌افزار اضافی می‌تواند عبارت بازیابی ۲۴ کلمه‌ای کیف پول را در حین راه‌اندازی ضبط کرده و آن را از طریق یک اتصال سلولی ارسال کند.
تحقیقات، زیان‌های مشکوک را بیش از ۹۰ میلیون دلار تخمین می‌زنند. لجر هنوز این رقم را به عنوان مبلغ نهایی تأیید شده اعلام نکرده و ادعای کارپلس مبنی بر اینکه هشدارهای قبلی می‌توانست از این ضررها جلوگیری کند، اثبات نشده باقی مانده است.
اختلاف بر سر هشدارهای امنیتی لجر
این اختلاف نظر با زیر سوال بردن ارتباطات قبلی لجر در مورد تغییرات فیزیکی در کیف پول‌های سخت‌افزاری‌اش توسط کارپلس آغاز شد. او در پستی در ۱۷ اکتبر، ادعای قبلی خود مبنی بر اینکه لجر قبل از این حادثه در مورد چنین قطعاتی صحبت نکرده بود را تصحیح کرد.
کارپلس اذعان داشت که این شرکت در ماه مارس مقاله‌ای امنیتی منتشر کرده بود که خطرات مرتبط با دستگاه‌های دستکاری‌شده را پوشش می‌داد. با این حال، او استدلال کرد که انتشار راهنما در یک بخش آموزشی با توجه به پیچیدگی دستگاه‌هایی که بعداً کشف شدند، کافی نبوده است.
او گفت که یک هشدار برجسته‌تر می‌توانست از ضرر بیش از ۹۰ میلیون دلاری جلوگیری کند. گوتیه پاسخ داد که این شرکت به طور گسترده برای محافظت از مشتریان تلاش می‌کند و افراد خارجی باید بین شواهد اثبات‌شده و گمانه‌زنی‌ها تمایز قائل شوند. مدیرعامل لجر نوشت که این کار دشوار است، از مشارکت کارپلس در بحث قدردانی کرد و از او خواست که نظرات خود را به آنچه می‌تواند اثبات کند محدود نماید.
این بحث زمانی تهاجمی‌تر شد که گوتیه به سابقه رهبری کارپلس در صرافی شکست‌خورده Mt. Gox اشاره کرد.
از طرف مدیرعامل Mt Gox... بی‌خیال مرد. تو یک شوالیه سفید نیستی. واقع‌بین باش.
پاسکال گوتیه
صرافی Mt. Gox در سال ۲۰۱۴ پس از ضررهای هنگفت بیت‌کوین سقوط کرد و طلبکاران را با یک فرآیند طولانی بازیابی دارایی مواجه ساخت. کارپلس پاسخ داد که تجربه شخصی او با شکست یک صرافی بزرگ، دلیلی است که از شرکت‌هایی که دارایی‌های مشتریان را مدیریت می‌کنند، انتظار ارتباطات امنیتی قوی‌تری داشته باشد.
راهنمای امنیتی ماه مارس و ابهامات موجود
مقاله امنیتی که در مرکز این اختلاف قرار دارد، در وب‌سایت لجر با تاریخ انتشار اصلی ۶ مارس و آخرین به‌روزرسانی در ۱۸ سپتامبر فهرست شده است. نسخه فعلی چندین روش را که مجرمان می‌توانند در کیف پول‌های سخت‌افزاری قبل از رسیدن به دست مشتریان دخالت کنند، توضیح می‌دهد. این مقاله دستگاه‌های تقلبی، کیف پول‌های ارسال‌شده با عبارات بازیابی از پیش تعیین‌شده و دستگاه‌های اصلی که پس از خروج از کارخانه دستکاری شده‌اند را پوشش می‌دهد.
با این حال، به‌روزرسانی این مقاله در ماه سپتامبر یک سوال حل‌نشده ایجاد می‌کند. نسخه فعلی مشخص نمی‌کند که هر عکس یا هشدار فنی چه زمانی اضافه شده است. بدون یک نسخه بایگانی‌شده از مقاله ماه مارس یا تاریخچه دقیق تغییرات، نمی‌توان اثبات کرد که لجر در آن زمان از حمله خاص CryptoBilis اطلاع داشته است.
محدودیت‌های راستی‌آزمایی و ادامه تحقیقات
اسناد خود لجر محدودیت مهمی را در سیستم احراز هویت دستگاه خود تأیید می‌کند. قابلیت «Genuine Check» این شرکت، هویت رمزنگاری‌شده «Secure Element» (تراشه محافظت‌شده برای انجام عملیات حساس کیف پول) را تأیید می‌کند. این بررسی، تمام اجزای فیزیکی داخل کیف پول را بازرسی نمی‌کند و نمی‌تواند قطعات فیزیکی غیرمجاز را در صورتی که Secure Element اصلی دست‌نخورده باقی بماند، شناسایی کند.
در مورد CryptoBilis، گزارش شده است که قطعات الکترونیکی مخرب در کنار سخت‌افزار قانونی کار می‌کردند و به ویژگی‌های امنیتی اصلی دستگاه اجازه می‌دادند که همچنان فعال باقی بمانند. بازرسان یک قطعه جاسازی‌شده در نزدیکی صفحه نمایش را توصیف کردند که می‌توانست کلمات بازیابی ارائه‌شده در هنگام راه‌اندازی اولیه را ضبط کند.
لجر پس از دریافت شکایات از مشتریانی که کیف پول‌های سخت‌افزاری را از طریق CryptoBilis، یک فروشنده در جنوب شرقی آسیا، خریداری کرده بودند، تحقیقات را آغاز کرد. در ۹ اکتبر، این شرکت از CryptoBilis خواست تا فروش و ارسال را متوقف کند. تحقیقات بعدی تأیید کرد که حداقل یک کیف پول بررسی‌شده حاوی قطعات الکترونیکی غیرمجاز بوده است.
موسسه Galaxy Research در تحلیل ۱۶ اکتبر خود، زیان‌های مشکوک را تقریباً ۹۱ میلیون دلار توصیف کرد. این رقم نباید به عنوان مبلغ قطعی سرقت‌شده یا معیاری برای سنجش آنچه هشدارهای قبلی می‌توانست از آن جلوگیری کند، در نظر گرفته شود. تحقیقات در مورد نظارت بر فروشندگان و همچنین حفاظت‌های فنی دستگاه‌ها ادامه دارد.
