شرکت لجر (Ledger) یک آسیبپذیری حیاتی در اپلیکیشن اتریوم کیفپولهای سختافزاریاش را در ۱۲ آگوست ۲۰۲۶ بهصورت خاموش وصله کرد، بدون آنکه جزئیات باگ را اعلام کند. امروز، ۴ شهریور ۱۴۰۵، بحث دربارهی این تأخیر ۱۲ روزه در افشای عمومی بالا گرفته و اعتماد کاربران به یکی از امنترین ابزارهای نگهداری بیت کوین و اتریوم را زیر سؤال برده است.
باگ دقیقاً چه بود و چرا خطرناک است؟
این آسیبپذیری به زمانبندی دستورهای APDU مربوط میشد؛ نقطهی ارتباطی بین اپ روی گوشی یا کامپیوتر و تراشهی امن داخل دستگاه. یک اپ مخرب میتوانست در همان لحظهی امضا، تراکنش قانونی را با تراکنشی جعلی جایگزین کند. جالبتر آنکه این باگ دقیقاً ویژگی کلیر ساینینگ (Clear Signing) را هدف گرفته بود؛ همان قابلیتی که لجر با سرمایهگذاری روی استاندارد ERC-7730 ساخته بود تا کاربر پیش از تأیید، محتوای واقعی تراکنش را ببیند. نتیجهی عملی این نقص، امکان تأیید ناخواستهی تأییدیههای نامحدود توکن (unlimited token approvals) به آدرس مهاجم بود، بدون آنکه هیچ نشانهای روی صفحهی دستگاه دیده شود.
جدول زمانی جنجالی: از کشف تا افشا
بخش امنیتی داخلی لجر با نام دونژون (Donjon) مدعی است این باگ را با کمک ابزارهای هوش مصنوعی و پیش از هر پژوهشگر خارجی کشف کرده است. اما توالی رویدادها نشان میدهد افشای عمومی با تأخیر قابل توجهی همراه بوده:
نکتهی کلیدی اینجاست که یادداشت انتشار فریمور ۱.۲۲.۲ هیچ اشارهای به جایگزینی تراکنش در فرآیند کلیر ساینینگ نداشت؛ عبارتی که TestMachine بعداً آن را دقیقاً همان مشکل معرفی کرد. تا لحظهی افشا در ۲۴ آگوست، هیچ سرقت تأییدشدهای به این باگ خاص نسبت داده نشده بود.
کدام کیفپولها تحت تأثیر بودند؟
بر اساس گزارش TestMachine، دستگاههای زیر بهدلیل اشتراک کد فرمان و رابط کاربری در این نقص سهیم بودند:
- Ledger Nano X
- Ledger Nano S Plus
- Ledger Stax
- Ledger Flex
- Ledger Apex
عملاً تقریباً کل خط تولید فعلی لجر که برای نگهداری اتریوم و توکنهای سازگار با آن استفاده میشود، در معرض این ریسک بوده است.
چرا این باگ درست حالا اهمیت بیشتری دارد؟
این ماجرا در بحبوحهی رشد بیش از ۲۰ درصدی بیت کوین و اتریوم در هفتههای اخیر منتشر شده؛ روندی که در تحلیل عبور بیت کوین از ۸۰ هزار دلار بررسی شده بود. بازگشت اشتها به ریسک باعث افزایش شدید فعالیت آنچین و تأییدیههای توکن شده، دقیقاً همان نوع تراکنشهایی که این باگ میتوانست دستکاری کند. همزمان جریان ورودی رکوردی به ETFهای بیت کوین و اتریوم، طبق گزارش ورود ۲.۶۲ میلیارد دلاری به ETFها، نشان میدهد حجم دارایی در معرض ریسک هرگز به این اندازه بالا نبوده است. برای مقایسه، پیشتر نیز کیفپولهای سختافزاری دیگری مانند Coldcard هدف سرقتی بیش از ۱۰۰ میلیون دلاری قرار گرفته بودند؛ نشانهای که امنیت سختافزاری بهتنهایی تضمینکنندهی مطلق نیست.
چه اقداماتی باید فوراً انجام دهید؟
- فریمور دستگاه خود را به نسخهی ۱.۲۲.۲ یا بالاتر آپدیت کنید.
- پیش از هر امضا، جزئیات نمایشدادهشده روی صفحهی دستگاه را با دقت با آنچه در اپ میبینید مطابقت دهید.
- تأییدیههای توکن نامحدودی که قبلاً صادر کردهاید را از طریق ابزارهای مدیریت تأییدیه لغو کنید.
- تاریخچهی تراکنشهای اخیر کیفپول اتریوم خود را برای هرگونه انتقال ناخواسته بررسی کنید.
نکته از تجربهی تیم بیتفا: در معاملات فیوچرز و اسپات، عادت به چککردن هر جزئیات تراکنش روی صفحهی کیفپول سختافزاری را جدی بگیرید؛ همانطور که این ماجرا نشان داد، حتی امنترین ابزارها میتوانند بهصورت مقطعی آسیبپذیر شوند و تنها هوشیاری کاربر خط دفاع نهایی است.
سوالات متداول درباره باگ لجر
آیا کاربران لجر باید نگران سرقت باشند؟
تا ۲۴ آگوست ۲۰۲۶ هیچ سرقت تأییدشدهای به این باگ خاص نسبت داده نشده، اما بهتر است بلافاصله فریمور را آپدیت کنید و تأییدیههای قدیمی توکن را لغو کنید.
چرا لجر جزئیات باگ را در ابتدا اعلام نکرد؟
یادداشت انتشار فریمور ۱.۲۲.۲ فقط از «بیثباتی در ارتباط APDU» صحبت کرده بود و هیچ اشارهای به ریسک جایگزینی تراکنش نداشت؛ همین ابهام باعث انتقاد جامعهی امنیتی شده است.
کدام دستگاههای لجر تحت تأثیر قرار گرفتند؟
بر اساس گزارش TestMachine، مدلهای Nano X، Nano S Plus، Stax، Flex و Apex به دلیل اشتراک کد فرمان و رابط، در معرض این نقص بودند.
کلیر ساینینگ چیست و چرا مهم است؟
کلیر ساینینگ ویژگیای است که محتوای واقعی یک تراکنش را پیش از امضا بهصورت خوانا روی صفحهی دستگاه نمایش میدهد تا کاربر بدون دیدن جزئیات، چیزی را امضا نکند؛ همین ویژگی هدف این آسیبپذیری قرار گرفت.
در نهایت، این ماجرا یادآوری میکند که حتی امنترین لایههای نگهداری دارایی دیجیتال هم نیازمند بهروزرسانی مداوم و هوشیاری کاربر هستند. اگر با مفاهیم امنیت کیفپول و مدیریت ریسک آشنایی کافی ندارید، دورهی رایگان بیتفا در بخش آموزش میتواند نقطهی شروع خوبی باشد، و برای تحلیل دقیقتر پرتفوی خود میتوانید از مشاورهی بیتفا نیز کمک بگیرید. برای رصد قیمت لحظهای میتوانید به صفحهی قیمت اتریوم یا قیمت بیت کوین سر بزنید. این مطلب صرفاً جنبهی خبری و تحلیلی دارد و توصیهی خرید یا فروش نیست.
ثبت دیدگاه
دیدگاه کاربران