أعلن تشارلز غيوميه، المدير التقني لشركة ليدجر، يوم 23 أغسطس أن الشركة أصلحت ثغرة أمنية كانت تؤثر على بعض عمليات “التوقيع الواضح” في تطبيقها الخاص بعملة إيثريوم، وذلك قبل أن تكشف شركة أمنية أخرى عن المشكلة للجمهور.
وقال غيوميه إن فريق “ليدجر دونجون”، وهو فريق البحث الأمني الداخلي للشركة، اكتشف الخلل باستخدام نظام ذكاء اصطناعي متخصص في البحث عن الثغرات. وأضاف أن الشركة نشرت الإصلاح قبل حوالي أسبوعين من تاريخ تصريحه.
وأكد غيوميه أن المستخدمين الذين يملكون أحدث إصدارات البرامج الثابتة (الفيرموير) والتطبيقات من ليدجر محميون من هذه الثغرة. ولم تظهر أي تقارير مؤكدة بشكل مستقل عن سرقة أموال من خلال هذه الثغرة تحديداً حتى 24 أغسطس.
ما هي مشكلة التوقيع الواضح في تطبيق إيثريوم من ليدجر؟
التوقيع الواضح هو ميزة تهدف إلى عرض تفاصيل المعاملة بطريقة مقروءة وواضحة على شاشة جهاز ليدجر قبل أن يوافق المستخدم عليها. هذه الميزة تتيح للمستخدمين التحقق من المبالغ والعناوين وإجراءات العقود الذكية بدلاً من الموافقة على معاملة غير مفهومة.
قالت شركة “تست ماشين”، الشركة الأمنية التي تقف وراء أداة الذكاء الاصطناعي “أزيموث”، إن الثغرة قد تقوّض عملية المراجعة هذه. ووفقاً لسلسلة منشورات الشركة العامة، يمكن لتطبيق ضار أن يرسل أمراً منافساً بينما لا يزال المستخدم يراجع المعاملة الأصلية.
المشكلة المبلغ عنها تتعلق بالتواصل عبر “وحدة بيانات بروتوكول التطبيق” بين التطبيق المتصل وتطبيق إيثريوم من ليدجر. وادعت “تست ماشين” أن هذا قد يسمح للمهاجم باستبدال معاملة متوقعة بإجراء آخر قبل أن يكمل المستخدم الموافقة.
في هذا السيناريو، يمكن للجهاز أن يعرض معاملة واحدة بينما يحضّر معاملة أخرى للتوقيع. ومن النتائج المحتملة التي وصفها الباحثون استبدال معاملة محدودة بالموافقة على صلاحية أوسع للرموز.
أقرت ليدجر بوجود خلل في “بعض عمليات التوقيع الواضح”، لكن غيوميه لم ينشر وصفاً تقنياً مفصلاً أو قائمة بالإصدارات المتأثرة أو تحذيراً أمنياً يشرح متطلبات الاستغلال الكاملة.
خلاف بين ليدجر وتست ماشين حول توقيت الإفصاح
قالت “تست ماشين” إن نظام “أزيموث” وجد المشكلة أثناء فحص تلقائي وتم التحقق منها على جهاز “ليدجر فليكس”. كما ادعت الشركة أن الكود المشترك يجعل أجهزة أخرى ذات صلة، بما في ذلك “نانو إكس” و”نانو إس بلس” و”ستاكس” و”أبيكس”.
هذه التصريحات تبقى رواية الشركة لبحثها فقط. ولم يتوفر دليل إثبات كامل وعام يظهر سرقة أموال من كل جهاز مذكور وقت النشر.
اعترض غيوميه على الطريقة التي قُدم بها الإفصاح عن الثغرة. وقال إن “تست ماشين” تواصلت مع برنامج المكافآت الخاص بليدجر بعد أن كانت الشركة قد نشرت إصلاحها بالفعل. وأضاف أن الباحثين لم يناقشوا المشكلة مع فريق المكافآت قبل نشر ادعاءات تشير إلى أن المشكلة لم تُحل بعد.
وقال غيوميه: “تم إصلاحها ونشرها قبل أسبوعين”. ووصف الادعاءات بأن المشكلة ما زالت قائمة بأنها “زرع للخوف من أجل جذب الانتباه”. في المقابل، قالت “تست ماشين” إنها شاركت النتيجة مع ليدجر وتحققت منها لكنها رفضت المكافأة.
يظهر المستودع العام لتطبيق إيثريوم من ليدجر عدة تغييرات متعلقة بالأمان خلال شهر أغسطس. تشمل هذه التغييرات إصلاحات تتعلق بحالات التوقيع والتعامل مع سياق التطبيق وإنهاء الرسائل. لكن السجلات المتاحة لا تحدد بوضوح أي تغيير يتوافق مع مشكلة التوقيع الواضح المكشوفة أو تؤكد تاريخ النشر الدقيق عبر متجر تطبيقات الأجهزة.
ينبغي على المستخدمين تحديث البرامج الثابتة وتطبيق إيثريوم
يجب على مستخدمي ليدجر تحديث برنامج محفظة ليدجر والبرامج الثابتة للجهاز وتطبيق إيثريوم المثبت. تحديث واجهة سطح المكتب أو الجوال فقط قد لا يستبدل التطبيق القديم الموجود على الجهاز نفسه.
يجب على المستخدمين أيضاً التحقق من تفاصيل المعاملة مباشرة على شاشة الجهاز الآمنة. يحذر دليل ليدجر من أن “التوقيع الأعمى” يظل محفوفاً بالمخاطر لأن الجهاز لا يمكنه عرض كل إجراء في العقد الذكي بصيغة مقروءة.
كما ورد سابقاً، أطلقت إيثريوم ملخصات معاملات مقروءة للبشر عبر معيار “ERC-7730”. ساعدت ليدجر في تطوير النظام قبل أن ينتقل إلى مؤسسة إيثريوم.
هذه الحادثة الأخيرة تختلف عن ثغرة التوقيع في زيلكا التي تم الإبلاغ عنها سابقاً والتي كشفت المفاتيح الخاصة. قالت زيلكا إن الثغرة أثرت على تطبيق ليدجر الأصلي الخاص بها ولم يكن من الممكن تصحيح المفاتيح المكشوفة بالفعل.
لم تعلن ليدجر عن أي عملية تعويض أو تعليق طارئ للمعاملات أو ترحيل للأصول تتعلق بمشكلة تطبيق إيثيريوم. تأكيد الأمر بشكل أكبر يتطلب إشعاراً تقنياً يحدد الإصدارات المتأثرة والإصدار المُصلح والظروف الدقيقة اللازمة لاستغلال الخلل.
أسئلة شائعة
هل أموالي في خطر إذا كنت أستخدم تطبيق إيثريوم من ليدجر؟
إذا قمت بتحديث برامج جهاز ليدجر الثابتة وتطبيق إيثريوم إلى أحدث إصدار، فأنت محمي من هذه الثغرة. تأكد دائماً من تثبيت آخر التحديثات المتاحة.
ما هو التوقيع الواضح ولماذا هو مهم؟
التوقيع الواضح يعرض تفاصيل المعاملة بشكل مقروء على شاشة جهاز ليدجر قبل الموافقة عليها، مما يتيح لك التحقق من المبالغ والعناوين. التوقيع الأعمى يظل خطيراً لأنه لا يوضح كل التفاصيل.
هل يجب أن أتوقف عن استخدام تطبيق إيثريوم حتى تتضح الصورة؟
لا حاجة للتوقف إذا قمت بتحديث جهازك وتطبيقك. لكن يُنصح دائماً بالتحقق من تفاصيل أي معاملة مباشرة على شاشة الجهاز نفسه وعدم الاعتماد على شاشة الكمبيوتر أو الجوال فقط.
