تولیدکنندگان پیشرو کیف پول‌های سخت‌افزاری رمزارز، ترزور (Trezor) و بیت‌باکس (BitBox)، در تاریخ ۱۰ سپتامبر ۲۰۲۶ هشدارهای امنیتی فوری و هماهنگی را در خصوص موج جدیدی از ایمیل‌های فیشینگ فوق‌العاده پیچیده صادر کردند. بررسی‌ها نشان می‌دهد مهاجمان سایبری با نفوذ به ارائه‌دهنده سرویس خبرنامه و سامانه ارسال ایمیل مشترک چندین شرکت بزرگ کریپتویی، پیام‌هایی جعلی با عنوان هشدار اضطراری سخت‌افزاری ارسال کرده‌اند که هدف مستقیم آن‌ها سرقت عبارت بازیابی ۲۴ کلمه‌ای (Seed Phrase) کاربران است.
کالبدشکافی ترفند فیشینگ؛ ادعای فریبنده «نقص آنتروپی در تراشه STM32»
در این کارزار مخرب، ایمیل‌هایی با تیتر رسمی و دلهره‌آور «Critical Security Alert: STM32 Entropy Vulnerability» به صندوق ورودی کاربران ارسال شده است. هکرها در متن این ایمیل‌ها با جعل هویت تیم‌های فنی، ادعا کرده‌اند که در مدار مولد اعداد تصادفی (TRNG) میکروکنترلرهای STM32 نقصی کشف شده که عبارت بازیابی کیف پول را افشا می‌سازد. سپس از مخاطب خواسته‌اند تا فوراً روی یک پیوند کلیک کرده و با وارد کردن عبارت بازیابی خود در یک صفحه وب شبیه‌سازی‌شده، سخت‌افزار خود را به نسخه ایمن ارتقا دهد!
شرکت ساتوشی‌لبز (مالک ترزور) و شیفت کریپتو (توسعه‌دهنده سوئیسی بیت‌باکس) صریحاً اعلام کردند که تمامی این پیام‌ها کاملاً ساختگی و کلاهبرداری است. هیچ نقص امنیتی در پردازنده‌ها یا فریمور دستگاه‌ها وجود ندارد و هدف هکرها تنها تخلیه آنی دارایی‌های قربانیان از طریق گرفتن کلمات بازیابی است.
نفوذ به زنجیره تأمین شخص ثالث (Supply Chain Breach)؛ چالش همیشگی ارائه‌دهندگان خدمات
گزارش‌های تکمیلی از سوی بیت‌باکس حاکی از آن است که زیرساخت ارسال ایمیل خبرنامه (Newsletter Provider) این شرکت‌ها مورد سوءاستفاده قرار گرفته است. این رویداد، آسیب‌پذیری ناشی از اتکا به ابزارهای جانبی بازاریابی را بار دیگر برجسته ساخت.
این هشدارها در پی سلسله حوادثی در حوزه زنجیره تأمین فیزیکی رخ می‌دهد؛ در ماه اوت ۲۰۲۶، نفوذ به شرکت پستی و توزیع ShipMonk اطلاعات پستی حدود ۱۴٬۰۰۰ مشتری ترزور را در معرض دسترسی غیرمجاز قرار داد و در سپتامبر نیز پرونده‌ای مربوط به اطلاعات ۶۷٬۰۰۰ کاربر دیگر افشا شد. با این حال، کارشناسان تأکید دارند که در تمامی این موارد، کلیدهای خصوصی و دارایی‌های روی دستگاه‌ها هیچ‌گاه از لحاظ رمزنگاری به خطر نیفتاده‌اند.
| ویژگی ارتباطی | رفتار رسمی و معتبر شرکت‌های سخت‌افزاری | نشانه‌های کمپین‌های فیشینگ و کلاهبرداری |
|---|---|---|
| درخواست عبارت بازیابی (Seed Phrase) | هرگز و تحت هیچ شرایطی درخواست نمی‌شود | درخواست وارد کردن کلمات در صفحه وب، فرم یا نرم‌افزار |
| نحوه اعمال به‌روزرسانی فریمور | تنها از طریق اتصال دستگاه به نرم‌افزار رسمی دسکتاپ | ارسال لینک دانلود مستقیم یا فایل ضمیمه در ایمیل |
| تأیید عملیات‌های حساس | فشار دادن فیزیکی دکمه‌ها بر روی خود دستگاه | هدایت به وب‌سایت ثالث یا وارد کردن پین در مرورگر |
| لحن پیام | اطلاع‌رسانی فنی، بدون اولتیماتوم و ایجاد ترس کاذب | ایجاد اضطراب شدید (مثلاً «دارایی شما در ۱۲ ساعت آینده مسدود می‌شود») |
قواعد طلایی نگهداری از ولت‌های سخت‌افزاری و حفاظت از بیت‌کوین
اساس امنیت کیف پول‌های سخت‌افزاری، ایزوله‌سازی کامل کلید خصوصی از هرگونه محیط متصل به اینترنت است. کاربران برای در امان ماندن از این حملات سازمان‌یافته، باید همواره اصول زیر را رعایت نمایند:
- قانون صفر کلمات بازیابی: عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای منحصراً باید روی برگه فیزیکی یا صفحات فلزی ضدحریق یادداشت شود. تایپ کردن این کلمات در رایانه، تلفن همراه، عکس گرفتن یا آپلود در فضای ابری به منزله از بین رفتن امنیت ولت سرد است.
- بی‌اعتنایی به لینک‌های ایمیلی: هرگز بر روی پیوندهای ارسالی در ایمیل‌های مرتبط با رمزارز کلیک نکنید؛ برای هرگونه بررسی، نرم‌افزارهای رسمی مانند Trezor Suite یا BitBoxApp را به‌صورت دستی باز کنید.
- بررسی آدرس‌های گیرنده بر روی صفحه دستگاه: هنگام جابه‌جایی بیت‌کوین یا آلت‌کوین‌ها، همیشه آدرس نمایش‌داده‌شده روی نمایشگر سخت‌افزار را با آدرس مقصد مقایسه کنید.
امنیت شخصی بالاترین سنگر در نگهداری دارایی‌های غیرمتمرکز است. برای مطالعه وضعیت بازار، حجم نقدینگی و نوسانات شاخص‌ها می‌توانید صفحه قیمت لحظه‌ای ارزهای دیجیتال را در سلام بیت مشاهده نمایید.
سلب مسئولیت امنیتی: این گزارش صرفاً جنبه آموزش امنیت سایبری و هشدار عمومی برای حفاظت از دارایی‌های دیجیتال دارد و بر پایه بیانیه‌های رسمی منتشرشده نگاشته شده است.
