לדג'ר מציגה את Atom במחיר 849 דולר עם מגן נגד חבלה, ורמאי איבד 60 ביטקוין בארנקים מושתלים

לדג'ר הציגה ב-15 באוקטובר את Atom, מכשיר מגע מבוסס אנדרואיד במחיר 849 דולר עם מגן פיזי שאמור לזהות ניסיונות לפתוח או לשנות את החומרה. באותו שבוע החברה עסוקה בחקירת ארנקים מקוריים שעברו חבלה בדרך ללקוח, ולפי חברת ניתוח הבלוקצ'יין Chainalysis אחד הנפגעים הגדולים היה רמאי שאיבד יותר מ-60 ביטקוין, בשווי של כ-4.8 מיליון דולר.

איך עבדה מתקפת השתלים באסיה

לפי הודעת לדג'ר, עבריינים קנו במשך חודשים מכשירים אמיתיים, התקינו בהם רכיבים שנבנו במיוחד, והחזירו אותם לרשת ההפצה דרך משווקים בדרום מזרח אסיה. צוות האבטחה של החברה, Donjon, מצא שתל בארנק שנמכר דרך המשווק המורשה CryptoBilis. השתל קלט את מילות השחזור בזמן ההגדרה הראשונית ושלח אותן החוצה ברשת LTE. פרטים נוספים על הממצאים תמצאו בכתבה על השתל שנמצא בארנק של נפגע.

היקף הנזק משתנה לפי המקור. Decrypt מדווח על משיכה חשודה של 87 מיליון דולר, ו-Cointelegraph מדבר על יותר מ-103.4 מיליון דולר מ-530 כתובות, כלומר בממוצע לפחות כ-195 אלף דולר לכתובת. לדג'ר טוענת שהתוקפים השקיעו מיליוני דולרים בהכנה, כולל תשתית ייעודית לאיסוף מילות שחזור, להעברת המטבעות ולהלבנת הכספים.

החברה מתעקשת שהשבבים, המערכות הפנימיות ומערכת ההפעלה שלה לא נפרצו. סמנכ"ל הטכנולוגיה צ'רלס גיימה הסביר שהמכשירים הקיימים מאמתים קריפטוגרפית את שלמות התוכנה המאובטחת, אבל האימות הזה לא יכול לזהות רכיב נוסף שמצותת למסך. לפי הדיווחים, הרכיב הזדוני יירט את המידע שהוצג על המסך בזמן הגדרת הארנק. מי שמחזיק במילות השחזור יכול לשחזר את המפתח הפרטי ולרוקן את הארנק מכל מקום.

הרמאי שהפקיד 60 ביטקוין בארנקים הלא נכונים

לפי Chainalysis, הנפגע הפעיל הונאת משימות: אנשים קיבלו תשלום על יצירת מכירות וביקורות מזויפות למוצרים אמיתיים, ואז הוצגה להם "יתרה שלילית" והם התבקשו להפקיד כסף משלהם כדי לקבל את מה שהובטח. את הרווחים העביר המפעיל לשלושה ארנקי לדג'ר חדשים.

כתובת היעד זוהתה כמחזיקה כספים גנובים, ולכן החוקרים קיבלו מסלול כספים שאפשר לעקוב אחריו, בזמן שלדג'ר עובדת עם רשויות האכיפה ועם חוקרי אבטחה כדי לאתר את התוקפים. המקרה ממחיש שגם מכשירים שנקנו חדשים ונטענו בכסף כמה שבועות לפני שהפרשה התגלתה נפגעו.

מה Atom אמור לעשות אחרת

לדג'ר מגדירה את Atom כ"חותם" ולא כארנק חומרה. המכשיר מריץ את גרסת הקוד הפתוח של אנדרואיד לצד שבב מאובטח (Secure Element, רכיב חומרה ששומר את המפתחות בנפרד משאר המכשיר) עם Ledger OS. בפעולות רגישות, כמו חתימה על עסקאות או אישור בקשות של סוכני AI, המכשיר עובר ל"מצב מאובטח" והמעבד המאובטח משתלט על המסך, כך שאפליקציה רגילה לא יכולה להתערב באישור הסופי. לפי Decrypt, התצוגה והמגע מבודדים פיזית מאנדרואיד.

המגן הפעיל מתריע לשבב המאובטח כשמישהו מנסה לפתוח, לבדוק או לשנות את החומרה המוגנת, ולפי Cointelegraph הוא אמור לזהות חבלה גם כשהמכשיר כבוי. המפרט כולל מסך OLED בגודל 6.77 אינץ', סוללה של 4,000mAh, שבב Qualcomm Dragonwing ומתג שמנתק פיזית את המצלמה והמיקרופון. יש חיבור נתונים ב-4G ו-5G דרך eSIM, אבל אין שיחות ו-SMS, כך שהוא לא מחליף טלפון. לדג'ר מבטיחה גם הודעות מוצפנות ותמיכה בקריפטוגרפיה עמידה למחשבים קוונטיים. אפליקציית Seeker של Solana Mobile תגיע מותקנת מראש, עם חנות של יותר מ-1,500 אפליקציות מבוזרות.

המקורות לא מסכימים על כל הפרטים. CryptoSlate מדווח על מחיר של 849 דולר ומקדמה של 100 דולר שניתנת להחזר, ו-Cointelegraph מציין את אותו מחיר, בעוד Decrypt כתב שאף אחת מהחברות לא מסרה מחיר או תאריך משלוח. לפי CryptoSlate, טכנולוגיית ההגנה עוד ממתינה להערכה בלתי תלויה. דובר לדג'ר אמר שהפיתוח לא נולד בתגובה לאירועים בודדים, אבל לא נתן לוח זמנים.

חנויות בלי מדפים ומכשיר שנמכר רק באתר

לפי Decrypt, Atom יימכר רק באתר הרשמי של לדג'ר. במקביל החברה שינתה את הכללים למשווקים: אסור להציג מכשירים על המדף, הם נמסרים ללקוח רק ברגע הרכישה, אסור למכור מחדש מכשיר שהוחזר בשום מצב, ודיווחים חריגים מלקוחות חייבים לעלות לחברה. בדיקה של מכשירים מחנויות ומדגימות מחסן לא העלתה סימני חבלה, לפי לדג'ר.

לפי Cointelegraph, דיווחים על ארנקים מושתלים באירופה הובילו את רשת מדיה מרקט להשעות את מכירת ארנקי לדג'ר, כפי שדיווחנו כאן, אף שלדג'ר אומרת שכל הגניבות המאומתות עד כה הן מאסיה. טרזור לא דיווחה על מכשירים מושתלים, אבל הודיעה שתנתק חלק מהמשווקים המרוחקים מ-1 בינואר.

CryptoSlate מעריך שההגבלות החדשות עלולות לסבך את ההפצה בחנויות בדיוק כשלדג'ר מנסה למכור ללקוחות הקיימים מוצר יקר בהרבה, שיגיע רק ב-2027.

לפני שאתם קונים ארנק חומרה בישראל

מי שמחזיק קריפטו בארנק קר לא צריך לחכות ל-Atom כדי לצמצם את הסיכון שנחשף כאן. כמה צעדים מעשיים:

• קנו מכשיר ישירות מאתר היצרן, ולא ממשווק צד שלישי, מזירת מכירות או מחנות שמציגה ארנקים פתוחים.
• אל תקנו מכשיר שהוחזר, נפתח או נמכר כ"חדש באריזה פגומה", גם אם המחיר מפתה.
• מכשיר שמגיע עם מילות שחזור מודפסות מראש או עם הוראה להזין מילים מכרטיס מצורף צריך לעבור לפח מיד.
• אם קניתם לאחרונה ארנק ממשווק באסיה או מחנות שאינה של היצרן, שקלו להעביר את המטבעות לארנק חדש שנקנה ישירות והוגדר מאפס.
• שמרו תיעוד של כל העברה בין ארנקים ובורסות. בנקים בישראל מעכבים לעיתים קרובות העברות שמגיעות מבורסות קריפטו בחו"ל ומבקשים מסמכים על מקור הכספים.

למי שהאירוע הזה הוריד את החשק להחזיק מפתחות בעצמו, יש בישראל קרנות מחקות ביטקוין שנסחרות מאז 31 בדצמבר 2024, עם דמי ניהול של כ-0.2% בשנה וניכוי מס במקור על ידי הבנק. אפשר גם לקנות קרנות ביטקוין ספוט אמריקאיות דרך חשבון מסחר רגיל בבנק או אצל ברוקר. החיסרון הוא שאתם מחזיקים חשיפה למחיר ולא את המטבעות עצמם. מדריך מפורט על גיבוי ושמירה תמצאו במדריך לשמירת ביטקוין בבטחה.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.