هشدار درباره دستکاری زنجیره تأمین کیفپولهای Coldcard
این هشدار تهدیدی در حال حاضر را توصیف میکند اما هیچ پژوهشگر نامبرده، دامنه یا خسارات تأیید شدهای را ارائه نمیدهد.
هشدار جدیدی در حال انتشار است درباره یک حمله ادعایی زنجیره تأمین که کاربران کیف پول سختافزاری Coldcard Bitcoin را هدف قرار داده است، با این باور که دستگاهها قبل از رسیدن به مشتریان دستکاری شدهاند. خطر این است که یک کیف پول که در زمان راهاندازی به نظر "جدید" میرسد، ممکن است هنوز هم به خطر افتاده باشد و فرضیات امنیتی خودنگهداری را تضعیف کند.
کاربران Coldcard در مظنون به دستکاری سختافزاری پیش از تحویل علامتگذاری شدند
هشدار منتشر شده در ۳ اوت، به یک حمله ادعایی زنجیره تأمین که هدف آن Coldcard است، اشاره دارد.بیتکوین کیف پول سختافزاریکاربران، این موضوع را به عنوان یک تهدید مداوم به جای یک حادثه یکباره مطرح میکنند. ادعای اصلی ساده است: بر این باورند که مهاجمان در حال دستکاری سختافزار Coldcard قبل از تحویل آن به مشتریان هستند و این کار راهی برای نفوذ به یک کاربر قبل از روشن شدن دستگاه ایجاد میکند.
مکانیسم اهمیت دارد زیرا نفوذ در زنجیره تأمین مدل اعتماد معمول کیف پول سختافزاری را معکوس میکند. یک کیف پول سختافزاری قرار است نگهدارنده باشدکلیدهای خصوصیآفلاین، کاهش قرارگیری در معرض بدافزار بر روی دستگاه متصل به اینترنت. اگر خود دستگاه در مراحل بالاتر تغییر کند، "آفلاین" به یک آرامش کاذب تبدیل میشود، زیرا کاربر اکنون به یک دستگاه بالقوه خصمانه وارد میشود که میتواند به طور ظاهری نو و تازه به نظر برسد.
این هشدار شامل جزئیات فنی در مورد اینکه "دستکاری" در عمل به چه معناست، نمیشود، چه این دستکاری شامل تداخل در بستهبندی، تعویض قطعات، تغییر در نرمافزار سیستم یا چیز دیگری باشد. همچنین مشخص نمیکند که کدام مدلهای Coldcard، دستههای تولید، فروشندگان یا مسیرهای حمل و نقل درگیر هستند. تنها تأثیر ذکر شده، خطر این است که ادعای دستکاری ممکن است امنیت را به خطر بیندازد.رمز ارزامنیت برای کاربران تحت تأثیر.
تاجران چه چیزهایی میتوانند و نمیتوانند از هشدار کنونی نتیجهگیری کنند
آنچه از این مورد میتوان نتیجهگیری کرد محدود به دسته ریسک است: نقض امنیت عملیاتی قبل از تحویل، بدترین حالت ممکن برای خودنگهداری است. اگر یک دستگاه قبل از استفاده اولیه قابل تغییر باشد، فرض خریدار مبنی بر "دستگاه جدید" دیگر یک کنترل قابل اعتماد نخواهد بود و سطح حمله از بهداشت نرمافزار به تأمین و تأیید منتقل میشود.
آنچه نمیتوان استنباط کرد، اندازه حادثه یا اینکه آیا سرقتهای تأیید شدهای به وجود آمده است یا خیر. هشدار هیچ محقق یا شرکتی در زمینه امنیت سایبری را که پشت این ادعا باشد، نام نمیبرد، هیچ نشانهای از نفوذ که خریدار بتواند بررسی کند، و هیچ تعداد قربانی یا مجموع خسارتها ارائه نمیدهد.
بدون این عناصر اولیه، معاملهگران نمیتوانند احتمال را کمی کنند، کانالهای توزیع تحت تأثیر را شناسایی کنند، یا احتیاط عمومی را از یک کمپین فعال با تأثیرات مشهود جدا کنند.
تأییدهای بعدی که میتوانند ارزیابی ریسک را تغییر دهند، مشخص و قابل آزمایش هستند. انتشار شاخصهای سطح دستگاه توسط یک پژوهشگر نامبرده یا شرکت پاسخ به حادثه، این تهدید مبهم را به یک چکلیست قابل اقدام تبدیل میکند. افشای دامنه نیز اهمیت دارد، از جمله اینکه آیا دستکاری ادعایی به جغرافیای خاص، حملکنندگان، فروشندگان مجدد یا کانالهای بازار ثانویه مرتبط است یا خیر.
پاسخ خود Coldcard نیز ورودی دیگری است که در آن غایب است. یک بیانیه رسمی که به یکپارچگی زنجیره تأمین، مراحل تأیید یا راهنمای توزیع بپردازد، روشن میکند که آیا فروشنده این موضوع را بهعنوان یک هشدار نظری یا یک حادثه با شعاع انفجاری تعریفشده در نظر گرفته است یا خیر. در غیاب آن، این هشدار عمدتاً بهعنوان یادآوری عمل میکند که امنیت کیف پولهای سختافزاری فقط دربارهعبارات بذرو شکافهای هوایی. همچنین درباره این است که دستگاه از کجا آمده و قبل از اینکه به میز شما برسد چه اتفاقی برای آن افتاده است.
خوانش من: ریسک زنجیره تأمین یک مشکل امنیت عملیاتی است، نه یک کاتالیزور قیمت—تا زمانی که خسارات ثابت شوند
آستانهای که در اینجا اهمیت دارد، شواهدی از نقض در دنیای واقعی است، نه وجود یک هشدار. حمله به زنجیره تأمین تمیزترین راه برای شکستن وعده کیف پول سختافزاری است زیرا در لحظهای که کاربران بیشترین اعتماد را دارند، یعنی در زمان راهاندازی، هدف قرار میگیرد و میتواند به آرامی از طریق توزیع گسترش یابد.
در حال حاضر، این به عنوان یک هشدار ریسک عملیاتی خوانده میشود نه یک حادثه قابل معامله، زیرا هشدار بدون جزئیاتی که معاملهگران برای اندازهگیری آن نیاز دارند، ارسال میشود: چه کسی آن را پیدا کرده، چه چیزی را باید جستجو کرد، کدام کانالها تحت تأثیر قرار گرفتهاند و آیا واقعاً وجوه دزدیده شدهاند یا خیر.
اگر آن جزئیات ارائه شود و شامل خسارات تأیید شده مرتبط با مسیرهای توزیع قابل شناسایی باشد، این داستان دیگر به عنوان بهداشت عمومی OpSec عمومی نیست و به یک محدودیت فوری در تأمین و نگهداری برای کاربران و فروشندگان Coldcard تبدیل میشود.
