شرکت ترزور (Trezor) به مشتریان خود که از ماه مارس اقدام به خرید دستگاه‌های کیف پول سخت‌افزاری از نمایندگی سابق خود، CryptoBilis، کرده‌اند، هشدار داده است که دارایی‌های دیجیتال خود را جابجا کنند. این هشدار پس از آن صادر شد که گزارشی مبنی بر کشف یک قطعه مشکوک در یکی از دستگاه‌های Trezor Safe 5 منتشر گردید.
بر اساس گزارشی که روز جمعه منتشر شد، یکی از مشتریان ترزور در اندونزی، قطعه‌ای غیرمجاز را در یک دستگاه Trezor Safe 5 که در ماه اوت از طریق پلتفرم Tokopedia خریداری کرده بود، گزارش کرده است. این قطعه مشکوک ظاهراً قادر به ثبت اطلاعات نمایش داده شده بر روی صفحه نمایش دستگاه، از جمله عبارات بازیابی کیف پول (recovery phrases)، و ارسال آن از طریق شبکه تلفن همراه بوده است.
بررسی اولیه و نبود خسارت گزارش شده
ترزور اعلام کرده است که هنوز دستگاه مورد نظر را مورد بررسی قرار نداده و هیچ گزارشی مبنی بر ضرر و زیان مرتبط با این حادثه دریافت نکرده است. دنی سندرز، مدیر ارشد تجاری ترزور، در این خصوص گفت: «ما هنوز دستگاه را در آزمایشگاه خود نداریم، اما این گزارش را معتبر می‌دانیم و ترجیح می‌دهیم افراد را اکنون هشدار دهیم تا اینکه منتظر تأیید بمانیم و بفهمیم در این فاصله زمانی کسی دارایی خود را از دست داده است.»
سخنگوی ترزور اظهار داشت که فروش از طریق این نمایندگی «بسیار اندک» بوده، اما جزئیات بیشتری در این زمینه ارائه نکرد. وی افزود که ترزور هنوز محل احتمالی دستکاری دستگاه را مشخص نکرده و در حال بازبینی حفاظت‌های سخت‌افزاری خود است. همچنین اذعان شد که تدابیر امنیتی موجود، از جمله پلمپ و بسته‌بندی، به تنهایی کافی نیستند.
سابقه مشکلات امنیتی و هشدارهای پیشین
این هشدار به دنبال گزارش‌هایی مبنی بر ضرر مالی مرتبط با کیف پول‌های لجر (Ledger) که از طریق CryptoBilis فروخته شده بودند و در تاریخ ۹ اکتبر منتشر شد، صادر شده است. لجر در آن زمان دستکاری سخت‌افزاری در یکی از دستگاه‌های آسیب‌دیده را تأیید کرد.
پیش از این، جو گرند، محقق امنیتی، در ماه اوت به ترزور در مورد کیف پول‌های دستکاری شده Trezor One و Model T که از طریق فروشندگان غیرمجاز در TikTok و Facebook خریداری شده بودند، هشدار داده بود. ترزور در آن زمان اعلام کرد که ادعای قبلی مبنی بر عدم وجود شواهد دستکاری در دستگاه‌ها، فقط مربوط به کیف پول‌های جدید فروخته شده از طریق فروشندگان مجاز بوده است.
ترزور بیان کرد که بررسی‌های راه‌اندازی آن بر روی دستگاه‌های تقلبی و سفت‌افزار تغییر یافته متمرکز بود، در حالی که قطعه کشف شده در کیف پول لجر فروخته شده توسط CryptoBilis، صفحه نمایش را بدون تغییر سفت‌افزار می‌خوانده است. سرقت عبارت بازیابی می‌تواند به یک مهاجم اجازه دهد تا کیف پول را در دستگاه دیگری بازیابی کرده و وجوه آن را منتقل کند. ترزور در تاریخ ۱۳ اکتبر اعلام کرد که قصد دارد شبکه فروشندگان خود را کاهش دهد.
