کاهش ۸۰ درصدی شبکه فروشندگان Trezor پس از کشف دست‌کاری در ۳ کیف پول Safe 5

Trezor پس از کشف قطعات سخت‌افزاری جاسوسی در سه کیف پول Safe 5 خریداری‌شده از CryptoBilis، شبکه فروشندگان خود را حدود ۸۰ درصد کوچک کرد و به‌روزرسانی امنیتی فریم‌ور منتشر کرد. این شرکت در گزارش تکمیلی تحقیقات خود در ۱۲ نوامبر ۲۰۲۶ تأکید کرد که مشتریان این فروشنده، حتی پس از نصب به‌روزرسانی، باید رمزارزهای خود را به کیف پولی تازه با عبارت بازیابی جدید منتقل کنند.

به گفته Trezor، سایر فروشندگانی که از شبکه حذف شده‌اند قابل‌اعتماد بوده‌اند و تهدید فوری ایجاد نمی‌کردند؛ اما الزامات سخت‌گیرانه‌تر این شرکت درباره تأمین، نگهداری و دسترسی به دستگاه‌ها را نداشتند. این الزامات در شبکه شرکای باقی‌مانده اجرا می‌شود.

به‌روزرسانی چه چیزی را محافظت می‌کند

به گفته سازنده، نسخه 2.13.1 فریم‌ور که در ۱۱ نوامبر منتشر شد، مانع ثبت اطلاعات توسط قطعات جاسوسی شناسایی‌شده در دستگاه‌های به‌روزشده می‌شود. بااین‌حال، کلمات بازیابی ثبت‌شده پیش از نصب آن ممکن است قبلاً افشا شده باشند و نصب به‌روزرسانی این خطر را برطرف نمی‌کند.

Trezor در توضیح فنی خود در شبکه اجتماعی X اعلام کرد که قطعه جاسوسی، ارتباط میان میکروکنترلر و نمایشگر را شنود می‌کند و با تشخیص توالی مشخصی از فرمان‌ها، ثبت اطلاعات را آغاز می‌کند. مهندسان ترتیب فرمان‌های ارسالی به نمایشگر را تغییر داده‌اند تا این سازوکار فعال‌سازی دیگر عمل نکند.

توصیه امنیتی شرکت به مشتریان CryptoBilis تغییری نکرده است: دارایی باید به کیف پولی تازه با عبارت بازیابی جدید منتقل شود، نه اینکه عبارت بازیابی قبلی در کیف پول سخت‌افزاری یا نرم‌افزاری دیگری وارد شود. مشتریانی که هنوز دستگاه خریداری‌شده از این فروشنده را راه‌اندازی نکرده‌اند نیز نباید آن را راه‌اندازی کنند یا نسخه پشتیبان کیف پول فعلی خود را در آن وارد کنند.

دامنه آلودگی تأییدشده

بر اساس تحقیقات Trezor، هر سه دستگاه آلوده بین ۲۰ اوت و ۲۳ سپتامبر ۲۰۲۶ از فروشگاه‌های CryptoBilis در Tokopedia و Shopee یا مستقیماً از خود این فروشنده خریداری شده‌اند. دستگاه نخست در آزمایشگاه Trezor بررسی شد و وجود قطعات جاسوسی در دو دستگاه دیگر از روی عکس‌های ارسالی صاحبانشان شناسایی شد.

پس از فراخوان شرکت در اکتبر، ۴۸ خریدار CryptoBilis با Trezor تماس گرفته‌اند. بررسی‌ها از طریق آزمایش دستگاه یا تصاویر قطعات داخلی انجام می‌شود. به گفته شرکت، در تمام دستگاه‌های دیگرِ بررسی‌شده نشانه‌ای از دست‌کاری دیده نشده است؛ بررسی کیف پول‌های سایر فروشندگان منطقه نیز موردی نشان نداده و وجود قطعه جاسوسی در مدل دیگری از Trezor تأیید نشده است. تاکنون هیچ مشتری از دست رفتن دارایی خود را گزارش نکرده است.

Trezor در ۹ اکتبر، پس از انتشار گزارش‌هایی درباره فروش کیف پول‌های دست‌کاری‌شده Ledger توسط CryptoBilis، این کسب‌وکار را از فهرست فروشندگان مجاز خود حذف کرد. نخستین هشدار درباره احتمال وجود قطعه جاسوسی در یک دستگاه Trezor نیز در ۳۰ اکتبر منتشر شد.

قطعه جاسوسی چگونه اطلاعات را سرقت می‌کرد

تیم مهندسی سامانه‌های تعبیه‌شده Trezor، فریم‌ور قطعه جاسوسی را استخراج و تحلیل کرد. این قطعه یک برد مدار اضافی است که میان برد اصلی Safe 5 و نمایشگر قرار گرفته و بدون تغییر فریم‌ور خود کیف پول یا تراشه امن آن، اطلاعات نمایش‌داده‌شده روی صفحه را کپی می‌کند.

این قطعه کلمات بازیابی نمایش‌داده‌شده هنگام ساخت نسخه پشتیبان و کلمات واردشده هنگام بازیابی کیف پول را تشخیص می‌دهد. عبارت عبور اضافی نیز، اگر روی صفحه ظاهر شود، به همین روش قابل ثبت است. بر اساس گزارش فنی، اطلاعات ثبت‌شده رمزگذاری و از طریق شبکه تلفن همراه به سروری تحت کنترل مهاجم ارسال می‌شود؛ در نبود اتصال، داده‌ها ذخیره می‌شوند تا ارسال در فرصتی دیگر تکرار شود.

به گفته Trezor، دستگاه‌های دست‌کاری‌شده تفاوت ظاهری آشکاری نداشتند. باز کردن کیف پول ممکن است به آن آسیب بزند و تشخیص یک قطعه جاسوسیِ ماهرانه نصب‌شده، حتی با تصاویر مرجع، دشوار باشد. شرکت تأکید کرده است که حفاظت به چند لایه امنیتی متکی است و از خرید از منبع معتبر آغاز می‌شود.

شرایط تعویض دستگاه

تمام مشتریانی که از مارس ۲۰۲۶ به بعد کیف پول Trezor را از CryptoBilis خریده‌اند، مشمول تعویض هستند؛ این بازه از تاریخ خرید سه دستگاه آلوده گسترده‌تر است. محدودیت‌های ارسال ممکن است به ارائه مدلی دیگر همراه با بازپرداخت اختلاف قیمت، تحویل به نشانی در کشوری دیگر یا بازپرداخت وجه منجر شود. مشتریان باید دستگاه خود را نگه دارند و هماهنگی را از طریق پشتیبانی Trezor انجام دهند.

شرکت همچنین هشدار داد که کلاهبرداران ممکن است با جعل هویت پشتیبانی، پیشنهاد تعویض یا بازپرداخت بدهند. کارکنان Trezor هرگز از مشتریان نمی‌خواهند عبارت بازیابی خود را در اختیار آن‌ها بگذارند.