لجر تأیید کرده است که داخل دستگاه یکی از کاربران آسیب‌دیده «قطعهٔ سختافزاری غیرمجاز» پیدا شده و همهٔ موارد تأییدشده به یک فروشندهٔ واسطه مربوط است. کیف پول سختافزاری هنوز بسیار امنتر از صرافی است، اما محل خرید به اندازهٔ خود دستگاه اهمیت دارد: از فروشگاه رسمی بخرید و چکلیست راهاندازی را رعایت کنید.
این راهنما ماجرا را خلاصه میکند، برندهای اصلی را مقایسه میکند و دو چکلیست خرید و راهاندازی می‌دهد. اینکه کیف پول چیست و چطور با آن پول را جابه‌جا کنیم، در راهنمای کیف پول و جابه‌جایی امن آمده است. آخرین به‌روزرسانی: ۲۰ مهر ۱۴۰۵. تحقیقات این ماجرا ادامه دارد؛ آخرین اطلاعیهٔ لجر را بررسی کنید.
نکات کلیدی
- لجر تأیید کرده در دستگاه یکی از کاربران آسیب‌دیده قطعهٔ سختافزاری غیرمجاز پیدا شده و همهٔ موارد تأییدشده به یک فروشندهٔ واسطه در جنوب شرق آسیا مربوط است.
- خریداران آن فروشنده گزارش دادهاند بیش از ۷۰ میلیون دلار از کیف پولشان خالی شده؛ لجر این رقم را تأیید نکرده است.
- درس اصلی: کیف پول سختافزاری هنوز امنتر از نگه داشتن دارایی در صرافی است، اما محل خرید به اندازهٔ برند اهمیت دارد.
- دستگاه دست‌دوم، جعبه‌باز، «راه‌اندازی‌شده توسط فروشنده» یا همراه با کارت عبارت بازیابی را هرگز استفاده نکنید.
- هیچ برندی عبارت بازیابی شما را نمیخواهد؛ هر درخواستی از این نوع کلاهبرداری است.
ماجرا چه بود؟
- لجر تأیید کرده است که داخل دستگاه یکی از کاربران آسیب‌دیده «یک قطعهٔ سختافزاری غیرمجاز» پیدا شده و همهٔ موارد تأییدشده به یک فروشندهٔ واسطه در جنوب شرق آسیا به نام کریپتوبیلیس مربوط است. لجر از این فروشنده خواسته فروش را متوقف کند و میگوید سیستمهای خود لجر آسیبی ندیدهاند.
- خریداران این فروشنده گزارش دادهاند بیش از ۷۰ میلیون دلار از کیف پولشان خالی شده است. لجر این رقم را تأیید نکرده است.
- طبق گزارش محققان امنیتی، این قطعه زیر صفحهٔ دستگاه قرار داشت، هنگام راهاندازی عبارت بازیابی را از روی صفحه می‌خواند و با یک سیم‌کارت برای مهاجم می‌فرستاد. بنا بر همین گزارشها، بستهبندی دستگاه نشانهٔ دست‌کاری نداشت.
- درس اصلی: کیف پول سختافزاری هنوز بسیار امنتر از نگه داشتن دارایی در صرافی است، اما جایی که دستگاه را از آن میخرید به اندازهٔ خود دستگاه اهمیت دارد.
برندهای اصلی کیف پول سختافزاری کدام‌اند؟
همهٔ برندهای زیر غیرحضانتی‌اند: کلید فقط روی دستگاه شماست و عبارت بازیابی را خود دستگاه می‌سازد.
| برند | ویژگی اصلی | مناسب برای |
|---|---|---|
| لجر (Ledger) | پرکاربردترین برند؛ مدل‌های Nano S Plus، Nano X، Flex و Stax؛ تراشهٔ امن؛ برنامهٔ Ledger Live؛ شبکه‌های بسیار زیاد | شروع کار و دارایی متوسط |
| ترزور (Trezor) | قدیمی‌ترین برند، نرم‌افزار متن‌باز؛ مدل‌های Safe 3 و Safe 5 با تراشهٔ امن؛ برنامهٔ Trezor Suite | شروع کار و دارایی زیاد |
| کیستون (Keystone) | کاملاً بدون اتصال؛ ارتباط با دوربین و کد QR؛ صفحهٔ لمسی بزرگ؛ سازگار با متامسک و مشابه | دارایی زیاد، دستگاه بدون هیچ اتصال |
| تنگم (Tangem) | کارت هوشمند با NFC؛ بدون صفحه و باتری؛ معمولاً بستهٔ دو یا سه‌تایی با کارت پشتیبان | کار ساده با گوشی |
| بیتباکس ۰۲ (BitBox02) | ساخت سوئیس، متن‌باز و ساده؛ نسخهٔ چندارزی و نسخهٔ مخصوص بیتکوین | کاربر محتاط |
| کلدکارد (Coldcard) | فقط بیتکوین؛ امکانات امنیتی پیشرفته؛ کار بدون اتصال با کارت حافظه | کاربر حرفهای بیتکوین |
| وان‌کی (OneKey) و سیف‌پل (SafePal) | گزینه‌های ارزان‌تر رایج در آسیا؛ وان‌کی متن‌باز؛ سیف‌پل S1 با کد QR و بدون اتصال | بودجهٔ کم |
لجر یک سرویس اختیاری به نام Ledger Recover دارد؛ اگر میخواهید عبارت بازیابی فقط روی کاغذ خودتان باشد، آن را فعال نکنید.
کدام را انتخاب کنم؟
- شروع کار و دارایی متوسط: یک مدل ساده از لجر یا ترزور، یا تنگم اگر کار با گوشی برایتان راحتتر است.
- دارایی زیاد: ترزور Safe یا لجر، یا کیستون اگر میخواهید دستگاه هرگز به هیچ چیز وصل نشود؛ ترجیحاً دو دستگاه از دو برند یا دو فروشندهٔ مختلف.
- فقط بیتکوین و کاربر حرفهای: کلدکارد یا نسخهٔ بیتکوین بیتباکس.
- از هر برندی که میخرید، چکلیست بخش بعد مهمتر از خود برند است.
چکلیست خرید چیست؟
این چکلیست مخصوص خرید از فروشندهٔ واسطه است:
- اگر امکانش هست، از فروشگاه رسمی خود برند یا فروشندهٔ رسمی معرفی‌شده در سایت برند بخرید.
- اگر از واسطه میخرید، فقط از فروشنده‌ای با سابقهٔ طولانی، نشانی قابل پیگیری و نظرات واقعی خریداران.
- دستگاه دست‌دوم یا جعبه‌باز نخرید، حتی اگر ارزان‌تر است.
- از قیمت غیرعادی ارزان بترسید؛ سود فروشندهٔ دستگاه دستکاریشده از دارایی شما می‌آید، نه از قیمت دستگاه.
- دستگاهی را که فروشنده پیشنهاد می‌دهد «برایتان راهاندازی کند» یا با کارت عبارت بازیابی از قبل نوشته‌شده می‌آید، هرگز استفاده نکنید.
- برای مقدار زیاد، دارایی را بین دو دستگاه از دو فروشندهٔ مختلف تقسیم کنید تا یک دستگاه آلوده همه چیز را از بین نبرد.
چکلیست راهاندازی چیست؟
- دستگاه باید کاملاً نو باشد: روشن نشده، بدون پین و بدون دارایی.
- برنامهٔ مدیریت (Ledger Live، Trezor Suite و مانند آن) را فقط از سایت رسمی برند دانلود کنید و بررسی اصالت داخل برنامه را انجام دهید. طبق گزارشها، قطعهٔ ماجرای کریپتوبیلیس از این بررسی رد می‌شد؛ پس این بررسی لازم است، اما کافی نیست.
- عبارت بازیابی را خود دستگاه می‌سازد. آن را روی کاغذ بنویسید؛ هیچ‌جا تایپ نکنید و از آن عکس نگیرید.
- پیش از واریز مبلغ اصلی، یک مبلغ کم واریز کنید و یک برداشت آزمایشی هم انجام دهید.
- آدرس دریافت را همیشه روی صفحهٔ خود دستگاه هم بررسی کنید.
اگر به دستگاهم شک دارم چه کنم؟
این توصیهٔ خود لجر برای ماجرای کریپتوبیلیس است و برای هر دستگاه مشکوکی هم کاربرد دارد:
- اگر هنوز راهاندازی نکردهاید، راهاندازی نکنید.
- اگر راهاندازی کردهاید، یک دستگاه جدید از منبع مطمئن تهیه کنید، با آن یک عبارت بازیابی جدید بسازید و دارایی را به آن منتقل کنید.
- وارد کردن همان عبارت بازیابی قبلی در دستگاه جدید فایده ندارد، چون ممکن است آن عبارت قبلاً لو رفته باشد.
بعد از خبر باید مراقب چه کلاهبرداریهایی بود؟
- بعد از هر ماجرایی مثل این، کلاهبرداران به اسم «پشتیبانی لجر» یا «بررسی امنیتی» پیام میدهند، سایت جعلی میسازند یا حتی دستگاه جعلی پست میکنند.
- هیچ برندی هیچوقت عبارت بازیابی شما را نمیخواهد. هر پیام، تماس، سایت یا برنامهای که عبارت بازیابی خواست، کلاهبرداری است. چکلیست تشخیص کلاهبرداری توکن الگوهای مشابهی را توضیح می‌دهد.
- برنامهها را فقط از سایت رسمی برند دانلود کنید، نه از لینک‌های پیامرسانها.
این راهنما جنبهٔ آموزشی دارد و توصیهٔ مالی نیست. مسئولیت خرید، راهاندازی و نگهداری دارایی با خود شماست.
پرسش‌های متداول
بله، همچنان بسیار امنتر از نگه داشتن دارایی در صرافی است، اما درس اصلی این ماجرا این است که جایی که دستگاه را از آن میخرید به اندازهٔ خود دستگاه اهمیت دارد. طبق گزارشها، دستگاه دستکاریشده با بستهبندی سالم به دست خریدار رسیده بود. بنابراین بهتر است از فروشگاه رسمی برند بخرید و چکلیست راهاندازی را جدی بگیرید.