هک ۲ سازنده کیف پول سخت‌افزاری رمزارز به نابودی ۱۹ هزار دستگاه منجر شد
به گزارش خبرگزاری آنا؛ صنعت کیف پول‌های سخت‌افزاری رمزارز در ادامه مجموعه‌ای از حملات سایبری سال ۲۰۲۶، با ۲ حادثه امنیتی تازه مواجه شده که اعتبار سازوکار‌های حفاظت از دارایی‌های دیجیتال را بار دیگر زیر سؤال برده است. شرکت‌های Foundation و Keystone که محصولاتی برای نگهداری آفلاین کلید‌های خصوصی بیت‌کوین و دیگر رمزارز‌ها تولید می‌کنند، طی روز‌های اخیر از دسترسی غیرمجاز مهاجمان به بخش‌هایی از زیرساخت‌های عملیاتی خود خبر داده‌اند. در حمله نخست، مجرمان توانسته‌اند با سوءاستفاده از دسترسی‌های به‌دست‌آمده، ایمیل‌هایی ظاهراً معتبر برای مشتریان ارسال کنند و با هشدار‌های ساختگی درباره سرقت دارایی‌ها، آن‌ها را به اقدام فوری ترغیب کنند. در پرونده دوم نیز مهاجمان علاوه بر دستیابی به اطلاعات سفارش‌های مشتریان، کلیدی را به سرقت برده‌اند که برای تأیید اصالت کیف پول‌های سخت‌افزاری استفاده می‌شود. با وجود تفاوت ماهیت این حملات، هر ۲ حادثه یک آسیب‌پذیری مشترک را آشکار کرده‌اند؛ امنیت کلید‌های خصوصی درون دستگاه لزوماً به معنای ایمن بودن اطلاعات مشتریان، سامانه‌های فروش و زنجیره تأمین محصولات نیست.
مهاجمان با جعل ایمیل‌های رسمی به سراغ مشتریان رفتند
شرکت Foundation که کیف پول سخت‌افزاری پاسپورت را تولید می‌کند، روز دوشنبه ۴ آبان از شناسایی یک حمله فیشینگ علیه مشتریان خود خبر داد. براساس توضیحات منتشرشده، مهاجمان ایمیل‌هایی ارسال کرده‌اند که ظاهراً از دامنه‌های رسمی این سازنده فرستاده شده‌اند و در آن‌ها ادعا می‌شد یکی از تأمین‌کنندگان قطعات، ماژول نمایشگر برخی دستگاه‌ها را پیش از تحویل دستکاری کرده است. پیام‌های جعلی به خریداران هشدار می‌دادند که دارایی‌های ذخیره‌شده در کیف پول آن‌ها در حال سرقت است و دستگاهشان باید فوراً تعویض شود. استفاده از چنین سناریویی می‌توانست کاربران را به باز کردن لینک‌های مخرب یا ارائه اطلاعات حساس ترغیب کند، زیرا هشدار‌ها مستقیماً امنیت دارایی‌های دیجیتال آن‌ها را هدف قرار داده بودند. برخی ایمیل‌ها علاوه بر نام گیرنده، نشانی پستی و شماره تلفن واقعی او را نیز در بر می‌گرفتند که به باورپذیرتر شدن پیام‌های جعلی کمک می‌کرد.
بررسی اولیه حادثه مشخص کرده که مهاجمان احتمالاً به یک یا چند کلید API سرویس کلودفلر دسترسی پیدا کرده‌اند و از این مسیر توانسته‌اند بخشی از سامانه‌های ارتباطی را تحت کنترل بگیرند. پس از شناسایی نفوذ، تمام کلید‌های API مرتبط باطل شدند و دامنه مخربی که در ایمیل‌ها معرفی شده بود از دسترس خارج شد. زک هربرت، مدیرعامل و هم‌بنیان‌گذار این مجموعه، نیز توضیح داده که بخشی از زیرساخت‌های پشتیبان از طریق یک آسیب‌پذیری در برنامه‌ای که روی سرور‌های اختصاصی میزبانی می‌شد، مورد نفوذ قرار گرفته است. به گفته او، مهاجمان احتمالاً به صندوق پیام‌های پشتیبانی مشتریان دسترسی داشته‌اند و توانسته‌اند ایمیل‌هایی ارسال کنند که از نظر گیرندگان معتبر به نظر می‌رسیدند. دسترسی مهاجمان به سامانه‌های آسیب‌دیده ظرف ۱۰ دقیقه پس از دریافت نخستین گزارش‌های کاربران قطع شده و امکان ارسال پیام‌های جعلی نیز از بین رفته است.
یکی از پرسش‌های اصلی درباره این حادثه، نحوه دستیابی مهاجمان به اطلاعات شخصی مشتریان است. هربرت احتمال داده که اطلاعات موجود در ایمیل‌های فیشینگ از صندوق پشتیبانی، سفارش‌های اخیر فروشگاه جدید مبتنی بر شاپیفای یا ترکیب اطلاعات افشاشده در حملات قبلی به شرکت‌های فعال در حوزه رمزارز به دست آمده باشند. با این حال، منشأ دقیق تمام اطلاعات هنوز مشخص نشده است. موضوع زمانی اهمیت بیشتری پیدا کرد که برخی مشتریان اعلام کردند پیام‌های دریافتی شامل اطلاعات خرید‌های قدیمی آن‌ها بوده است، در حالی که سیاست حریم خصوصی فروشنده مقرر می‌کرد اطلاعاتی مانند نام، نشانی و شماره تلفن مشتریان حداکثر ۶۰ روز پس از ارسال سفارش از سامانه‌های آنلاین حذف شوند.
بررسی‌های تکمیلی مشخص کرده که فروشگاه قبلی مبتنی بر ووکامرس برای حذف خودکار اطلاعات پس از ۶۰ روز تنظیم شده بود، اما انتقال پایگاه داده باعث باقی ماندن نسخه‌هایی از سفارش‌های قدیمی در جدول‌های پیشین شده است. این اطلاعات در بخش مدیریتی معمول فروشگاه قابل مشاهده نبودند و همین موضوع باعث شده بود مسئولان تصور کنند داده‌های موردنظر به‌طور کامل حذف شده‌اند. هنوز مشخص نیست چه مقدار از این اطلاعات مستقیماً در اختیار مهاجمان قرار گرفته است. با این حال، سازنده کیف پول پاسپورت تأکید کرده که دستگاه‌ها و دارایی‌های ذخیره‌شده در آن‌ها تحت تأثیر این حمله قرار نگرفته‌اند و نفوذ شناسایی‌شده به زیرساخت‌های عملیاتی و ارتباطی مربوط بوده است، نه کلید‌های خصوصی کاربران.
سرقت کلید احراز اصالت به نابودی نزدیک به ۱۹ هزار کیف پول انجامید
حادثه امنیتی شرکت Keystone پیامد گسترده‌تری برای موجودی سخت‌افزاری این سازنده داشته است. مسئولان مجموعه در تاریخ ۲۸ مهر متوجه دسترسی غیرمجاز به وب‌سایت رسمی شدند و پس از بررسی فعالیت رابط‌های برنامه‌نویسی فروشگاه با همکاری شاپیفای، روز اول آبان تأیید کردند که مهاجمان به اطلاعات سفارش‌های مشتریان دسترسی پیدا کرده‌اند. داده‌های افشاشده شامل نام خریداران، اطلاعات تماس، نشانی ارسال کالا و جزئیات سفارش مانند نوع محصول خریداری‌شده و قیمت آن بوده است. بررسی‌های تکمیلی نیز مشخص کرده که مهاجم از یک آسیب‌پذیری در ابزار نظارت بر داده متعلق به شرکت ثالث استفاده کرده و با افزایش سطح دسترسی خود، توانسته به بخش‌های حساس‌تری از زیرساخت فروش و مدیریت دستگاه‌ها راه پیدا کند.
مهم‌ترین بخش این نفوذ، سرقت کلید WebAuth بوده است که برای بررسی اصالت کیف پول‌های سخت‌افزاری استفاده می‌شود. این کلید در مرحله تولید داخل دستگاه‌ها ثبت می‌شود و سامانه احراز اصالت با کمک آن بررسی می‌کند که محصول موردنظر واقعاً توسط سازنده تولید شده است. مشکل اصلی آن است که کلید ثبت‌شده در دستگاه‌های موجود قابل پاک کردن یا بازنویسی نیست و در صورت افشای آن، مهاجمان ممکن است بتوانند تجهیزات تقلبی تولید کنند که از فرایند تأیید اصالت عبور کنند؛ بنابراین خطر این حادثه به سرقت اطلاعات مشتریان محدود نمی‌شود و می‌تواند اعتماد به سازوکار تشخیص دستگاه‌های اصلی از نمونه‌های دستکاری‌شده را نیز تحت تأثیر قرار دهد.
برای جلوگیری از ورود محصولات دارای کلید افشاشده به بازار، تصمیم گرفته شده تمام ۱۸ هزار و ۸۳۵ دستگاه موجود در انبار‌ها که از کلید قدیمی استفاده می‌کنند، نابود شوند و به فروش نرسند. همچنین قرار است از کلید احراز اصالت جدیدی در محصولات آینده استفاده شود. این تصمیم از نظر اقتصادی قابل توجه است، زیرا دستگاه‌های موجود الزاماً به‌صورت فیزیکی دستکاری نشده‌اند، اما دیگر نمی‌توان به سازوکار قبلی تأیید اصالت آن‌ها اعتماد کامل داشت. در واقع، افشای یک اعتبارنامه دیجیتال توانسته موجودی بزرگی از محصولات سخت‌افزاری آماده فروش را از چرخه عرضه خارج کند.
مسئولان این مجموعه در توضیح وضعیت مشتریان فعلی اعلام کرده‌اند کیف پول‌هایی که پیش از ۲۸ مهر تحویل داده شده‌اند، همچنان می‌توانند از طریق فرایند معمول بررسی اصالت تأیید شوند. با این حال، برای دستگاه‌هایی که پس از آن تاریخ و با کلید قدیمی تحویل داده شده‌اند، احتمال عبور یک محصول تقلبی از بررسی آنلاین به‌طور کامل قابل رد نیست. از صاحبان چنین دستگاه‌هایی خواسته شده برای بررسی بیشتر با واحد پشتیبانی ارتباط برقرار کنند. همچنین تأکید شده که کلید‌های خصوصی، عبارت‌های بازیابی و رمز‌های عبور کیف پول‌ها در جریان نفوذ به وب‌سایت افشا نشده‌اند و براساس اطلاعات موجود، نیازی به انتقال فوری دارایی‌های کاربران به کیف پول‌های دیگر وجود ندارد.
اطلاعات بیش از ۲۵ هزار خریدار در معرض دسترسی غیرمجاز قرار گرفت
دامنه افشای اطلاعات در دومین حمله نیز قابل توجه بوده است. بررسی‌ها مشخص کرده‌اند که ۲۵ هزار و ۹۶۴ رکورد مربوط به خریداران سال‌های ۲۰۲۴ تا ۲۰۲۶ همچنان حاوی اطلاعات شخصی بوده و در جریان نفوذ در معرض دسترسی مهاجمان قرار گرفته‌اند. این در حالی است که مجموع رکورد‌های خریداران موجود در سامانه شاپیفای به ۵۱ هزار و ۸۳ مورد می‌رسید و اطلاعات شخصی مربوط به بیش از ۲۵ هزار رکورد دیگر پیش از حادثه، مطابق سیاست نگهداری داده‌ها حذف یا ناشناس‌سازی شده بودند. در بررسی‌های تکمیلی همچنین ۱۲ هزار و ۸۷۳ رکورد مربوط به فرایند‌های خرید تکمیل‌نشده شناسایی شده که اطلاعاتی مانند نام، راه‌های تماس و نشانی ارسال کالا را در بر می‌گرفتند.
سیاست اعلام‌شده برای نگهداری اطلاعات شخصی مشتریان، حذف داده‌ها پس از گذشت ۱۸۰ روز از ثبت سفارش بود، اما بررسی داخلی مشخص کرده ابزار خودکار پاک‌سازی گروهی اطلاعات در برخی موارد به‌درستی فعالیت نکرده و تعدادی از وظایف حذف داده‌ها بدون شناسایی خطا انجام نشده‌اند. در نتیجه، اطلاعات بعضی خریداران برای مدت طولانی‌تری از بازه اعلام‌شده در پایگاه داده باقی مانده بود. این مسئله تنها یک نقص فنی در عملکرد فروشگاه محسوب نمی‌شود، زیرا نگهداری غیرضروری داده‌ها می‌تواند در صورت وقوع نفوذ، تعداد افراد آسیب‌دیده و حجم اطلاعات قابل دستیابی برای مهاجمان را افزایش دهد. مسئولان مجموعه ضمن پذیرش مشکل اعلام کرده‌اند فرایند‌های پاک‌سازی اطلاعات را بازبینی خواهند کرد و اقدامات اصلاحی بیشتری برای جلوگیری از تکرار حادثه انجام می‌دهند.
افشای اطلاعات خریداران کیف پول‌های سخت‌افزاری از نظر امنیت شخصی نیز حساسیت ویژه‌ای دارد. برخلاف اطلاعات معمول خرید یک کالای مصرفی، نشانی فردی که کیف پول سخت‌افزاری رمزارز تهیه کرده، می‌تواند برای مجرمان نشانه‌ای از احتمال نگهداری دارایی‌های دیجیتال ارزشمند باشد. چنین اطلاعاتی ممکن است برای طراحی حملات فیشینگ هدفمند، جعل هویت فروشنده یا حتی تهدید فیزیکی صاحبان رمزارز مورد استفاده قرار گیرد. در سال‌های اخیر گزارش‌های متعددی درباره سرقت، تهدید و آدم‌ربایی مرتبط با دارایی‌های دیجیتال منتشر شده و کارشناسان امنیتی نسبت به پیامد‌های افشای نشانی محل سکونت فعالان این حوزه هشدار داده‌اند. البته انتشار اطلاعات مشتریان به معنای وقوع قطعی چنین جرائمی نیست، اما خطرات احتمالی را فراتر از سرقت رمز عبور یا دریافت ایمیل تبلیغاتی ناخواسته گسترش می‌دهد.
حملات زنجیره تأمین امنیت کیف پول‌های سخت‌افزاری را زیر سؤال برده‌اند
حوادث اخیر پس از مجموعه‌ای از مشکلات امنیتی دیگر در صنعت کیف پول‌های سخت‌افزاری رخ داده‌اند. در ابتدای سال ۲۰۲۶، شرکت لجر اعلام کرد نفوذ به سامانه یکی از پردازشگران پرداخت طرف قراردادش باعث افشای نام و اطلاعات تماس شماری از مشتریان شده است. شرکت ترزور نیز با رخداد‌های مشابه در سامانه‌های حمل‌ونقل و بازاریابی ایمیلی مواجه شده و در یکی از حملات مرتبط با ارائه‌دهنده خدمات حمل شیپ‌مانک، اطلاعات حدود ۸۰ هزار مشتری در معرض خطر قرار گرفته است. همچنین حمله به سرویس ایمیلی بروو زمینه ارسال پیام‌های فیشینگ به مشترکان خبرنامه برخی سازندگان کیف پول، از جمله ترزور و بیت‌باکس، را فراهم کرده است. وجه مشترک بسیاری از این پرونده‌ها آن است که مهاجمان الزاماً به سخت‌افزار یا کلید‌های خصوصی دسترسی پیدا نکرده‌اند، بلکه از آسیب‌پذیری در خدمات جانبی، اطلاعات مشتریان یا تأمین‌کنندگان طرف قرارداد استفاده کرده‌اند.
با این حال، برخی حملات دیگر در سال جاری مستقیماً به از دست رفتن دارایی کاربران منجر شده‌اند. نقص امنیتی شناسایی‌شده در فریمور برخی کیف پول‌های کلدکارد باعث کاهش میزان تصادفی بودن اطلاعات مورد استفاده برای تولید عبارت بازیابی شده بود؛ ضعفی که می‌توانست پیش‌بینی کلید‌های مرتبط با کیف پول را برای مهاجمان آسان‌تر کند. در پرونده دیگری نیز گزارش‌هایی از دستکاری کیف پول‌های لجر در زنجیره تأمین منتشر شد که براساس آن، قطعات مخفی درون برخی دستگاه‌ها پیش از رسیدن به خریداران نصب شده بودند و امکان استخراج اطلاعات حساس هنگام راه‌اندازی را فراهم می‌کردند. مجموع خسارت‌های برآوردشده ناشی از ۲ پرونده اخیر از ۲۰۰ میلیون دلار فراتر رفته است، هرچند این رقم مربوط به همان حملات پیشین است و نباید به رخداد‌های جدید نسبت داده شود.
تکرار چنین حوادثی بحث درباره میزان امنیت کیف پول‌های سخت‌افزاری را دوباره مطرح کرده است. این دستگاه‌ها با نگهداری کلید‌های خصوصی خارج از رایانه‌ها و گوشی‌های متصل به اینترنت، همچنان می‌توانند از دارایی کاربران در برابر بسیاری از حملات راه دور محافظت کنند. با این حال، کارایی این روش به سالم بودن دستگاه هنگام خرید، امنیت فریمور، اعتبار سازوکار احراز اصالت و نحوه مدیریت اطلاعات کاربران نیز وابسته است. اگر مهاجم بتواند پیش از تحویل محصول قطعات آن را دستکاری کند یا اطلاعات شناسایی مشتریان را از سامانه فروش به دست آورد، مزیت نگهداری آفلاین کلید‌های خصوصی به‌تنهایی برای رفع تمام خطرات کافی نخواهد بود.
پرونده‌های تازه یادآور این واقعیت هستند که امنیت دارایی‌های دیجیتال تنها به انتخاب یک کیف پول سخت‌افزاری محدود نمی‌شود و کل فرایند تولید، فروش، ارسال، تأیید اصالت و پشتیبانی محصول در حفاظت از کاربران نقش دارد. در حال حاضر، هیچ شواهدی مبنی بر سرقت مستقیم کلید‌های خصوصی از طریق ۲ حمله اخیر منتشر نشده است، اما افشای اطلاعات مشتریان و کلید احراز اصالت دستگاه‌ها پیامد‌های مهمی برای اعتماد به این محصولات ایجاد کرده است. ادامه بررسی‌ها مشخص خواهد کرد چه تعداد از کاربران واقعاً تحت تأثیر قرار گرفته‌اند و اصلاحات امنیتی سازندگان تا چه اندازه می‌تواند از تکرار چنین حوادثی جلوگیری کند.
انتهای پیام/