یک آسیبپذیری امنیتی جدی در سختافزار ولت لجر کشف شده که حدود 7 سال پیش وارد این دستگاه شده و تاکنون ناشناخته مانده بود. این باگ به مهاجمان اجازه میدهد با مشاهده تنها پنج امضای دیجیتال، کلید خصوصی کیف پول کاربر را در عرض چند ثانیه بازسازی کنند.
لجر یکی از پرکاربردترین کیف پولهای سختافزاری در جهان است که میلیونها کاربر از آن برای نگهداری داراییهای دیجیتال خود استفاده میکنند. اعتقاد عمومی بر این بود که کلیدهای خصوصی در این دستگاهها بهصورت کاملاً ایزوله ذخیره میشوند و هرگز در معرض خطر قرار نمیگیرند، اما این کشف نشان میدهد که این باور اشتباه بوده است.
جزئیات فنی این آسیبپذیری نشان میدهد که نقص در پیادهسازی الگوریتم امضای دیجیتال (احتمالاً ECDSA) قرار دارد؛ جایی که استفاده مجدد از مقادیر تصادفی یا ضعف در تولید آنها میتواند اطلاعات کافی برای استخراج کلید خصوصی را در اختیار مهاجم قرار دهد. این حمله که به «نشت کلید از طریق امضا» معروف است، از نظر ریاضی اثباتشده و در صورت وجود شرایط مناسب، قابل اجرا است.
این خبر برای تریدرهای ایرانی و فارسیزبان از اهمیت بالایی برخوردار است، چرا که بسیاری از این کاربران برای حفاظت از داراییهای کریپتو خود از کیف پولهای لجر استفاده میکنند. اگر این آسیبپذیری بهروزرسانی فریمور از طرف لجر منتشر نشده باشد یا کاربران دستگاه خود را بهروز نکرده باشند، احتمال در معرض خطر بودن داراییهایشان وجود دارد.
توصیه فوری به کاربران لجر این است که:
- فریمور دستگاه خود را به آخرین نسخه ارتقا دهند
- تعداد تراکنشهایی که با یک کیف پول انجام میدهند را زیر نظر داشته باشند
- در صورت امکان، کیف پول جدید بسازند و داراییها را منتقل کنند
این کشف در کنار رشد 20 برابری یورشهای فیزیکی به صاحبان کریپتو، نشاندهنده افزایش تهدیدات امنیتی علیه دارندگان دارایی دیجیتال است و اهمیت امنیت چندلایه را بیش از پیش آشکار میسازد.
این خبر ترجمه و بازنویسی گزارشی از cryptoslate با عنوان اصلی «A 7 year Ledger bug lets attackers rebuild a private key from five signatures in seconds» است. تحلیل و جمعبندی فارسی از تریدیار است.