گزارش‌های اخیر حاکی از آن است که تعدادی از کیف‌پول‌های سخت‌افزاری Ledger که از طریق نمایندگی‌های فروش در جنوب شرق آسیا توزیع شده‌اند، مورد دست‌کاری فیزیکی قرار گرفته‌اند. این حملات منجر به تخلیه دارایی‌های کاربران و سرقت تخمینی بالغ بر ۹۳ میلیون دلار شده است.
جزئیات فنی ایمپلنت سخت‌افزاری
بررسی‌های فنی نشان می‌دهد که مهاجمان یک برد مدار کوچک را به صورت مخفیانه در زیر صفحه نمایش دستگاه قرار داده‌اند. این ایمپلنت شامل قطعات زیر است:
- یک میکروکنترلر (Microcontroller)
- یک آنتن و تراشه LTE
- یک کارت e-SIM
این سخت‌افزار مخرب با نظارت بر محتویات نمایش داده شده روی صفحه، عبارت بازیابی یا همان Seed Phrase را در هنگام نمایش برای کاربر ضبط کرده و از طریق شبکه سلولار برای مهاجم ارسال می‌کند. با دسترسی به این عبارت، عامل تهدید (Threat Actor) می‌تواند بدون نیاز به دستگاه اصلی، کیف‌پول را روی هر دستگاه دیگری بازسازی کرده و دارایی‌ها را سرقت کند.
شکست مکانیزم‌های امنیتی و تشخیص
یکی از خطرناک‌ترین جنبه‌های این حمله، عبور دستگاه‌های دست‌کاری شده از تست اصالت یا Genuine Check شرکت Ledger است. دلیل این اتفاق آن است که تراشه امنیتی اصلی دستگاه دست‌نخورده باقی مانده و ایمپلنت به صورت موازی و خارجی روی سخت‌افزار نصب شده است. طبق گزارش‌ها، تنها راه قطعی برای شناسایی این نوع تخریب، باز کردن فیزیکی بدنه دستگاه است.
دامنه اثرگذاری و توصیه‌های امنیتی
شرکت Ledger تایید کرده است که این مورد در ابتدا مربوط به دستگاه‌های فروخته شده توسط نمایندگی CryptoBilis در جنوب شرق آسیا بوده است، اما ادعاهای تایید نشده‌ای مبنی بر وجود دستگاه‌های مشابه در بازار اروپا (از طریق نمایندگی Mediamarkt) نیز مطرح شده است.
توصیه‌های کلیدی برای کاربران و مدیران امنیت:
- در صورتی که دستگاه خود را از نمایندگی‌های غیررسمی یا غیرمعتبر خریداری کرده‌اید، از فعال‌سازی (Initialize) آن خودداری کنید.
- کاربرانی که پیش از این از دستگاه‌های مشکوک استفاده کرده‌اند، باید سریعاً دارایی‌های خود را به یک دستگاه جدید با Seed Phrase کاملاً جدید منتقل کنند.
- همواره از کانال‌های رسمی فروش سازنده برای تهیه سخت‌افزارهای امنیتی استفاده کنید، هرچند که حتی در این حالت نیز احتیاط لازم است.
در نهایت، هشدار داده شده است که کلاهبرداران ممکن است از این حادثه برای اجرای حملات مهندسی اجتماعی (Social Engineering) استفاده کرده و از کاربران بخواهند عبارت بازیابی خود را برای «بررسی امنیتی» ارسال کنند؛ به یاد داشته باشید که هیچ پشتیبانی رسمی هرگز عبارت بازیابی شما را درخواست نمی‌کند.
به‌روزرسانی (اکتبر 12, 2026 — BleepingComputer)
به‌روزرسانی: شرکت Ledger به‌طور رسمی تایید کرد که تعدادی از دستگاه‌های این شرکت که از طریق فروشنده مالزیایی CryptoBilis توزیع شده‌اند، مورد دست‌کاری سخت‌افزاری قرار گرفته و حاوی یک ایمپلنت (Implant) برای تخلیه دارایی‌های دیجیتال کاربران بوده‌اند. بر اساس بررسی‌ها، مدل Ledger Nano X هدف اصلی این حمله زنجیره تامین (Supply Chain Attack) بوده است.
تحلیل‌های فنی نشان می‌دهد که عامل تهدید برای ایجاد فضای کافی جهت جایگذاری مدارات مخرب، باتری اصلی دستگاه را با یک باتری کوچک‌تر جایگزین کرده است. این مدار شامل یک میکروکنترلر (MCU) مدل ST STM32G431KBU6، یک eSIM کوچک و یک ماژول LTE است. این ایمپلنت با ثبت خروجی نمایشگر و فشردن دکمه‌ها، عبارت بازیابی (Seed Phrase) کاربر را استخراج کرده و آن را از طریق اتصال LTE به مهاجم ارسال می‌کند.
نکته بحرانی در این حمله این است که مکانیسم «تایید اصالت» (Genuine Check) شرکت Ledger قادر به شناسایی این نوع ایمپلنت‌ها نیست؛ زیرا تراشه امنیتی اصلی (Secure Element) دست‌نخورده باقی مانده و تنها سخت‌افزارهای جانبی به دستگاه اضافه شده‌اند. این موضوع باعث می‌شود شناسایی حمله برای کاربران عادی تقریباً غیرممکن باشد.
شرکت Ledger به کاربرانی که دستگاه خود را از این فروشنده خریداری کرده‌اند توصیه کرده است که در صورت عدم راه‌اندازی، از فعال‌سازی آن خودداری کنند و در صورتی که پیش از این دستگاه را پیکربندی کرده‌اند، هرچه سریع‌تر دارایی‌های خود را به یک کیف‌پول جدید با عبارت بازیابی متفاوت منتقل نمایند.
