في 28 أكتوبر تلقّى فريق الأمن في Trezor بلاغًا عبر برنامجه للإفصاح المسؤول عن الثغرات. فقد عثر مشترٍ في إندونيسيا داخل جهاز Trezor Safe 5 الخاص به على لوحة غريبة: تقع بين اللوحة الرئيسية والشاشة، وتحمل وحدة خلوية وهوائيًا. وبحسب المشتري، تقرأ اللوحة كل ما تعرضه الشاشة، بما في ذلك النسخة الاحتياطية للمحفظة — أي عبارة الاسترداد — وترسله عبر شبكة الهاتف المحمول في كل مرة يُوصَل فيها الجهاز. اشتُريت المحفظة في أغسطس من CryptoBilis — الموزّع الرسمي لـ Trezor في جنوب شرق آسيا حتى أكتوبر — عبر متجرها على منصة Tokopedia.
والآن إلى ما تأكّد. تكتب Trezor أنها لم تتسلّم الجهاز نفسه بعد ولم تفحصه في مختبرها. لدى الشركة وصف وصور ومقابلة مصوّرة مع المشتري، وقد رأت البلاغ موثوقًا بما يكفي لتحذير العملاء دون انتظار نتائج الفحص. ولم تُبلَّغ الشركة حتى الآن بأي سرقات بين مشتري CryptoBilis. أما صاحب الاكتشاف نفسه فكان قد سحب أمواله من الجهاز قبل أن يعثر على اللوحة. الخلاصة: لوحة واحدة في محفظة واحدة، وكيف تعمل بالضبط لا يُعرف حتى الآن إلا من كلام صاحبها.
ماذا تفعل إذا اشتريت جهاز Trezor من CryptoBilis
إذا اشتريت جهاز Trezor من CryptoBilis منذ مارس 2026 — مباشرة أو على Tokopedia أو من متجر كانت تزوّده — فإن الشركة تنصح بنقل أموالك في أسرع وقت ممكن إلى محفظة جديدة بعبارة استرداد جديدة. ولا فائدة من استعادة العبارة القديمة على جهاز آخر: فإذا كانت قد تعرّضت للتلصّص، فلن تختفي نسخة اللص. والجهاز الذي لم تبدأ استخدامه بعد من الأفضل ألّا تُهيّئه أصلًا، ولا تُدخل فيه عبارة موجودة بأي حال. وتَعِد Trezor باستبدال مجاني أو قسيمة، وتطلب الاحتفاظ بالمحفظة المشتراة من CryptoBilis، بحسب Help Net Security. وتنصح الشركة بعدم وزن الجهاز أو فتحه: إذ لا توجد طريقة موثوقة لفحصه بنفسك. واستعدّ أيضًا لرسائل بريد إلكتروني ومكالمات بل ورسائل ورقية «من الدعم الفني» — فالدعم الحقيقي لـ Trezor لا يطلب عبارة الاسترداد أبدًا.
لماذا تنجح هذه الحيلة أصلًا
لم تكن هناك حاجة هنا إلى اختراق الشريحة الآمنة أو البرنامج الثابت. فالزرعة تكتفي بأن المحفظة تولّد عبارة الاسترداد بنفسها وتعرضها على شاشتها. والباقي بسيط: شراء دفعة من الأجهزة أو اعتراضها، وفتح الهيكل، ولحام وحدة بين اللوحة والشاشة تقرأ الصورة وتستطيع الاتصال بشبكة الهاتف المحمول، ثم إعادة التجميع بعناية والختم والبيع عبر أكثر القنوات رسمية. وبعدها انتظار أن ينسخ المشتري الكلمات من الشاشة على البطاقة المرفقة في العلبة ويودع المال في المحفظة. توقيع المعاملات، والشريحة، والتطبيق — كل شيء يعمل كما ينبغي. كل ما في الأمر أن الشاشة اكتسبت مشاهدًا ثانيًا. لذا فإن السؤال الأول قبل شراء أي محفظة هو: هل فيها مكان لمشاهد كهذا أصلًا؟ ففي وسيط بلا شاشة ولا بطارية ولا برنامج ثابت ولا USB لا مكان لدسّ لوحة زائدة، ولا ما يغذّيها بالطاقة.
عند الاتصال الأول تتحقّق Trezor من أصالة الجهاز بواسطة الشريحة الآمنة، وتَعِد بتأكيد أنه «أصلي وغير معدَّل». أما كيف تصرّفت اللوحة الإندونيسية أثناء هذا الفحص، فلم تكشف الشركة عنه بعد. لكن «الشريحة أصلية» و«لم يُلحَم بجوارها شيء» عبارتان مختلفتان، ولا أحد يقدّم للمشتري جوابًا عن السؤال الثاني.
العيوب التي تجعل هجومًا كهذا ممكنًا أصلًا
- عبارة الاسترداد يولّدها الجهاز نفسه ويعرضها على شاشته. من يرى الشاشة يرى المال.
- لا يمكن النظر إلى الداخل. فـ Trezor نفسها تعترف بأنه لا توجد طريقة موثوقة لفحص الجهاز بنفسك، وتنصح بعدم فتحه.
- في الهيكل متّسع للوحة زائدة، ومنفذ USB يغذّيها بالطاقة عند كل توصيل.
- جوهر الحماية عنصر آمن (secure element) مغلق. البرنامج الثابت لـ Trezor مفتوح، لكن ما الذي يوجد بالضبط داخل نسختك وما الذي لُحِم بها، يظلّ المشتري عاجزًا عن التحقّق منه.
- على المشتري أن يثق بكل من حمل العلبة بين يديه: المصنع والمستودع وشركة التوزيع والموزّع المعتمد والمنصة وعامل التوصيل. وصفة البائع الرسمي، كما اتّضح، لا تضمن شيئًا.
- لا وسيلة لفحص العتاد: فالميزان، بحسب Trezor نفسها، لا يثبت شيئًا. يبقى الإيمان.
ومن هنا تنشأ بضعة أسئلة أخرى تستحق أن تُطرح قبل شراء أي محفظة. هل يصل الوسيط فارغًا، بحيث تُنشئ المفتاح وتشفّره بنفسك على هاتفك — وعندها لا يعود مهمًا من حمل العلبة قبلك؟ هل يمكن قراءة ما هو مخزّن عليه بأي تطبيق NFC، وتوزيع نسخ مشفّرة على عدة شرائح رخيصة، حتى لا تضطر إلى التعبّد لقطعة عتاد واحدة؟
الهولوغرام تميمةً
يستحق الملصق الهولوغرامي إعجابًا خاصًا. ففي Safe 5 يغطّي منفذ USB، والعلبة مغلّفة بغشاء بلاستيكي، والتعليمات تطلب التأكّد من سلامة الختم، بلا تمزّقات ولا آثار غراء. تُطبع الهولوغرامات اليوم حسب الطلب وعلى دفعات، وإعادة تغليف علبة بالغشاء ليست بطولة أيضًا. والأهم أن الزرعة لا حاجة لها إلى المساس بالمنفذ أصلًا: فهي تعيش في الداخل، بين اللوحة والشاشة. يخبرك الملصق بصدق بأمر واحد فقط: أن أحدًا لم ينزعه. أما ما تحت الغطاء فلا يعرفه ولا يمكنه أن يعرفه. هذه ليست حماية، بل مهدّئ ببريق متلألئ.
ثقة في الاتجاهين
في المحصلة، ينطلق المشتري من افتراضين ينفي أحدهما الآخر. الشركة المصنّعة أذكى منه إلى حدّ أنه يمكن أن يُعهَد إليها حتى بإنشاء المفاتيح. وكل من لمس العلبة في الطريق أكثر أمانة — أو أكثر غباءً — مما يتطلّبه الاستبدال. تَعِد Trezor الآن بتشديد التدقيق في الموزّعين وتقليص عددهم. إنها خطوة صحيحة، لكنها تضيّق فقط دائرة من يجب الوثوق بهم، ولا تُلغي ضرورة الثقة نفسها.
غير أن ملاحقة CryptoBilis أشبه بقطع رؤوس الهيدرا: تُغلق متجرًا فينبت مكانه ثلاثة متاجر جديدة. المشكلة ليست في بائع سيئ، بل في منظومة تحتاج إلى بائع أمين. في مكان ما في مدينتك، على منصة محلية أو لدى وسيط «موثوق»، ربما تُباع محافظ مزوّدة بزرعات منذ زمن طويل، ولا أحد يعلم. فهذا في النهاية ليس متجر إلكترونيات ألمانيًا كبيرًا يتردّد عليه باحثو الأمن. لم يُعثر على اللوحة الإندونيسية إلا لأن مشتريًا واحدًا كان يقظًا وكتب إلى Trezor بنفسه. أما كم مشتريًا مثله لم يظهر، فلا أحد يعلم.
استعرضنا مؤخرًا Tangem وMitilena بمزاياهما وعيوبهما. إذا كنت لا تريد أن تكون رهينة لمن حمل العلبة قبلك، فاختر محافظ تُنشئ فيها المفتاح بنفسك ويصل فيها الوسيط فارغًا: عندها تصبح البطاقة المستبدَلة في الطريق عديمة القيمة — فما عليك إلا أن تكتب عليها مفتاحك المشفّر الخاص. Mitilena مثلًا.