يواجه مستخدمو المحافظ الباردة حملة تصيد احتيالي شديدة التعقيد تتجاوز الفحوصات الأمنية القياسية، حيث تصل الرسائل الخبيثة مباشرة من نطاق البريد الإلكتروني الرسمي لشركة Trezor. وتهدف رسائل "تنبيه أمني حرج: ثغرة STM32" إلى إثارة الذعر بين المستخدمين لدفعهم إلى تسليم عبارات الاسترداد الخاصة بهم، مستغلة اختراقاً في مزود خدمة بريد إلكتروني تابع لجهة خارجية بدلاً من وجود عيب فعلي في المحافظ.
نجحت رسالة التصيد الاحتيالي في تجاوز فلاتر البريد العشوائي وبروتوكولات المصادقة لأنها أُرسلت عبر البنية التحتية الشرعية للمراسلة الخاصة بشركة Trezor. وادعت الرسالة كذباً أن المهندسين اكتشفوا عيباً في الأجهزة ضمن وحدات التحكم الدقيقة STM32 المستخدمة في المحافظ، زاعمة أن جهازاً واحداً من كل أربعة أجهزة يعاني من عشوائية غير كافية. وقد أكدت شركة Trezor أن هذا الادعاء مُختلق تماماً، مشيرة إلى أن أجهزتها تولد عشوائية بمعيار 128-bit كحد أدنى افتراضياً.
واستغل المهاجمون القلق الأخير في القطاع لجعل التهديد يبدو أكثر مصداقية، في إشارة إلى ثغرة حقيقية في البرامج الثابتة لمحافظ Coldcard أدت إلى سرقة عملات بيتكوين بقيمة تتجاوز 130 مليون دولار في وقت سابق من هذا العام. وحذّر نيك نيومان، المؤسس المشارك لشركة Casa، وجيمسون لوب، رئيس قسم الأمن، من أن الرسائل لا تشبه عمليات الانتحال العادية، حيث أشار نيومان إلى أنه "من المحتمل أن يكون مزود بريد إلكتروني تسويقي قد تعرض للاختراق".
لقد تعرض مزود البريد الإلكتروني التابع لجهة خارجية للاختراق. يرجى العلم أن البريد الإلكتروني الذي يحمل عنوان 'تنبيه أمني حرج: ثغرة STM32' لا يصدر عنا، وهو محاولة تصيد احتيالي.
- شركة Trezor
ويبدو أن الاختراق يمتد إلى ما هو أبعد من شركة واحدة، مما يشير إلى ثغرة أوسع في سلسلة التوريد. فقد أبلغت شركة BitBox السويسرية المصنعة للمحافظ الباردة عن وصول رسالة تصيد مطابقة تقريباً إلى مشتركيها في نفس اليوم. وأشارت المراجعة الأولية لشركة BitBox إلى أن العديد من شركات البيتكوين تشترك في نفس منصة النشرات البريدية المخترقة.
ويأتي هذا الحادث في أعقاب اختراق وقع في 4 سبتمبر لشركة ShipMonk، مزود الشحن الخاص بشركة Trezor، والذي كشف عن البيانات الشخصية لحوالي 67,000 عميل إضافي، ليصل إجمالي المتضررين إلى ما يقرب من 80,000 مستخدم. وقد ضربت تسريبات مماثلة لجهات خارجية القطاع مؤخراً، بما في ذلك كشف بيانات عملاء شركة Ledger عبر مزودها Global-e، واختراق شركة Pocket Bitcoin الذي أثر على أكثر من 5,400 مستخدم.
كيفية تأمين محفظتك الباردة
نظراً لأن رسائل التصيد الاحتيالي تصدر من نطاق شرعي، فإن النصيحة القياسية بالتحقق من عنوان المرسل لم تعد كافية. يجب على المستخدمين الاعتماد على أمان تشغيلي صارم فيما يتعلق بعبارات الاسترداد الخاصة بهم.
- لا تنقر على أي روابط في رسالة "ثغرة STM32" ولا تحاول تنزيل أي برامج ثابتة (Firmware) عبر الروابط المرفقة في البريد الإلكتروني.
- لا تقم أبداً بإدخال عبارة الاسترداد (Recovery Phrase) في أي موقع ويب أو تطبيق؛ فالتحديثات الشرعية عبر تطبيق Trezor Suite الرسمي لن تطلب منك أبداً إدخال هذه العبارة.
- إذا قمت بالفعل بإدخال عبارة الاسترداد في موقع خبيث، فانقل أموالك فوراً إلى محفظة جديدة باستخدام عبارة استرداد تم إنشاؤها حديثاً.
سلسلة التوريد هي نقطة الضعف الجديدة
أمضت صناعة المحافظ الباردة سنوات في تحصين الأجهزة المادية ضد العبث، لكن حملة التصيد المنسقة هذه تثبت أن المهاجمين قد تحولوا ببساطة إلى الحلقة الأضعف: موردي التسويق والخدمات اللوجستية التابعين لجهات خارجية. عندما تتجاوز رسالة التصيد الاحتيالي كل فحوصات المصادقة القياسية لأنها تصدر من نطاق شرعي، تصبح النصيحة التقليدية المتمثلة في التحقق من عنوان المرسل قديمة وخطيرة.
إن التأثير المضاعف لتسريب بيانات شركة ShipMonk - والذي زود المهاجمين بالأسماء والعناوين الدقيقة لـ 80,000 من عملاء شركة Trezor - يعني أن هذه الرسائل يمكن أن تكون مخصصة للغاية، مما يزيد من معدل نجاحها بشكل كبير. يجب على الشركات المصنعة للمحافظ الباردة الآن تطبيق نفس نماذج انعدام الثقة (Zero Trust) التي تستخدمها لبرامجها الثابتة على سلسلة التوريد التشغيلية بأكملها، وإلا فإنها تخاطر بفقدان ثقة المستخدمين تماماً.
