זליגת ארנקי לדג׳ר: כמעט 90 מיליון דולר נעלמו דרך סוחר מורשה בדרום מזרח אסיה
חברת לדג׳ר חוקרת אובדן כספים אצל לקוחות שרכשו ארנקים קשיחים מהמשווק CryptoBilis, כשחוקרי בלוקצ׳יין מעריכים את הנזק בכ-90 מיליון דולר וטתר כבר הקפיאה חלק מהכספים הגנובים.
מה קרה בפועל
חברת לדג׳ר (Ledger), אחת היצרניות המובילות בעולם של ארנקים קשיחים (cold wallets, התקנים פיזיים לאחסון מפתחות פרטיים מחוץ לאינטרנט), פרסמה ב-9 באוקטובר הודעה שלפיה היא חוקרת דיווחים על אובדן כספים אצל לקוחות שרכשו מכשירים מהמשווק CryptoBilis, גורם מורשה הפועל בדרום מזרח אסיה. החברה ביקשה מהמשווק להשהות מכירות באופן מיידי, ופנתה ללקוחות שרכשו ממנו מכשירים לאחרונה בבקשה מפורשת: לא להפעיל את הארנק ולא להזין אליו כספים עד להודעה חדשה.
הרקע לחשד פשוט ומטריד. ארנק קשיח אמור לבודד את המפתח הפרטי של המשתמש מכל חיבור לרשת, כך שגם אם המחשב או הטלפון נפרצים, הכספים נשארים מוגנים. אם הפריצה אכן מקורה בשרשרת האספקה, כלומר במכשירים שעברו מניפולציה עוד לפני שהגיעו ללקוח הסופי או בתהליך ההפעלה הראשוני שלהם, מדובר בכשל שמערער את ההנחה הבסיסית ביותר שעליה מבוסס השימוש בארנק קשיח מלכתחילה.
קנה המידה של הנזק
ההערכות לגבי היקף הגניבה השתנו במהירות תוך שעות ספורות, בהתאם למקור ולרגע הפרסום:
| מקור | הערכת נזק |
|---|---|
| The Block | מעל 86 מיליון דולר |
| Decrypt | כ-87 מיליון דולר |
| Cointelegraph | 72 עד 86 מיליון דולר |
| CryptoSlate | מתקרב ל-90 מיליון דולר |
הפערים בין ההערכות משקפים את העובדה שמדובר בחקירת בלוקצ׳יין מתפתחת, שבה חוקרים עצמאיים עוקבים אחרי תנועות כספים חשודות בזמן אמת ומעדכנים את המספרים ככל שמתגלים ארנקים נוספים המעורבים באירוע. אף גורם רשמי, לא לדג׳ר ולא רשות אכיפה, לא פרסם עדיין מספר סופי מאומת.
טתר נכנסת לתמונה
במקביל לחקירה, חברת טתר (Tether), המנפיקה את המטבע היציב USDT (סטייבלקוין הצמוד לדולר האמריקאי), פעלה להקפיא כתובות ארנק שזוהו כמי שקיבלו כספים מהגניבה החשודה. הקפאה כזו אפשרית מכיוון שטתר שומרת על יכולת טכנית לחסום כתובות ברשימה שחורה ברמת החוזה החכם של המטבע, צעד שהחברה נוקטת בו שוב ושוב כשמדובר בכספים שמקורם בפעילות פלילית מתועדת.
הקפאת USDT לא מחזירה את הכסף לנפגעים באופן אוטומטי, אבל היא חוסמת את יכולתם של הגנבים להמיר את הכספים הגנובים למטבע פיאט דרך בורסות שמכבדות את רשימת ההקפאה של טתר. זהו למעשה קו ההגנה המרכזי שנותר למשתמשים ברגע שהכספים כבר יצאו מהארנק שלהם.
השוק מגיב בריסון
למרות היקף הפרשה, השוק הרחב לא קרס. ביטקוין נסחר סביב 82.5 אלף דולר ביום שישי, לאחר ירידה ביום חמישי, כשהשוק מנסה להתאושש מהדיווחים. התגובה המרוסנת מעידה שהשוק מתייחס לאירוע כתקרית ממוקדת בשרשרת האספקה של משווק ספציפי באזור גיאוגרפי מסוים, ולא כפגיעה מערכתית בטכנולוגיית הארנקים הקשיחים עצמה.
מה המשמעות עבור מחזיקי ארנקים בישראל
לדג׳ר נמכרת בישראל דרך חנויות אונליין ומשווקים מקומיים, וחלק ניכר ממחזיקי הקריפטו הישראלים, במיוחד אלו שמחזיקים סכומים משמעותיים, משתמשים בארנקים קשיחים בדיוק מהסוג הזה כדי להימנע מסיכוני פריצה לבורסות. הפרשה הנוכחית לא נוגעת ישירות לרוכשים בישראל, מכיוון שהיא קשורה למשווק ספציפי בדרום מזרח אסיה, אבל היא מחדדת שתי נקודות שרלוונטיות לכל משתמש בארנק קשיח, בכל מקום.
ראשית, יש לרכוש ארנקים קשיחים אך ורק מהאתר הרשמי של היצרן או ממשווקים שמופיעים מפורשות ברשימת המשווקים המורשים העדכנית שלו, ולא דרך אתרי מכירה כלליים או חנויות שלא ניתן לאמת את הקשר שלהן ליצרן. שנית, בעת ההפעלה הראשונית של מכשיר חדש, יש לוודא שמילת ההתאוששות (seed phrase) שהמכשיר מייצר היא ייחודית ולא מודפסת מראש, ושלא נשלחה אליכם מראש בצירוף למכשיר, סימן מובהק לחבלה. מי שרכש לאחרונה מכשיר לדג׳ר דרך גורם שאינו ידוע או מאומת, מומלץ לפעול בדיוק כפי שהחברה המליצה ללקוחות CryptoBilis: לא להפעיל את המכשיר ולא להעביר אליו כספים עד לבדיקה נוספת.
מבחינת היבט מיסויי, נפגעי גניבת קריפטו בישראל יכולים במקרים מסוימים לתעד את ההפסד מול רשות המסים כהפסד הון, אך הדבר דורש תיעוד מלא של העסקה והבעלות המקורית על הנכס, ולרוב מצריך ליווי של יועץ מס המתמחה בנכסים דיגיטליים.
עדכון, 11 באוקטובר: לדג'ר מאשרת שתל חומרה במכשיר של נפגע
בשבת, 10 באוקטובר, אישרה לדג'ר שבמכשיר של אחד הלקוחות שנפגעו נמצא שתל חומרה לא מורשה, כלומר רכיב שהוכנס לארנק אחרי שיצא מהמפעל. לפי החברה האירוע מוגבל למשווק אחד, CryptoBilis, שמוכר את מוצריה באינדונזיה, במלזיה ובפיליפינים, והתשתיות והמערכות של לדג'ר עצמה לא נפרצו. CryptoBilis הפסיקה למכור את כל מלאי הארנקים שלה עד סיום החקירה.
ההמלצה לרוכשים התחדדה. מי שקנה מהמשווק ב-90 הימים האחרונים ועוד לא הפעיל את המכשיר לא צריך להפעיל אותו. מי שכבר הפעיל צריך להעביר את הנכסים למכשיר לדג'ר חדש עם משפט שחזור חדש. לפי נתוני Arkham שציטט החוקר Specter, בכתובות הגנבים הצטברו כמעט 87 מיליון דולר: כ-42 מיליון באת'ר, 17.6 מיליון בביטקוין ו-16.5 מיליון ב-USDT. לדג'ר עדיין לא אישרה את הסכום ולא את מספר הנפגעים.
ניתוח מלא של השתל, יחד עם רוגלת האייפון החדשה שסורקת ארנקי קריפטו ושלוש פרצות נוספות מאותו שבוע, בכתבה הזאת.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
