هک لجر و ماجرای CryptoBilis؛ چه شد، چه کسانی در خطرند و چه کنیم؟

صبح جمعه ۱۷ مهر ۱۴۰۵ دزدی ناشناس در کمتر از یک ساعت بیشتر موجودی صدها کیف پول ارز دیجیتال را بیرون کشید. لجر می‌گوید همهٔ مواردی که تا امروز تأیید کرده یک وجه مشترک دارند: دستگاهشان از CryptoBilis خریده شده بود، یکی از فروشنده‌های رسمی لجر در جنوب شرق آسیا. داخل بعضی از این دستگاه‌ها تراشهٔ کوچکی جاسازی شده بود که موقع راه‌اندازی، ۲۴ کلمهٔ کیف پول را از روی صفحه می‌خواند و از راه اینترنت موبایل برای دزد می‌فرستاد. پس خود لجر هک نشده است؛ دزدها دستگاه‌ها را پیش از رسیدن به دست خریدار دست‌کاری کرده بودند. لجر هنوز رقم نهایی را اعلام نکرده، ولی محققانی که رد پول را روی بلاک‌چین گرفته‌اند، مبلغ سرقت را بین ۸۶ تا ۱۰۲ میلیون دلار از بیش از ۳۰۰ کیف پول برآورد می‌کنند.

اگر لجرتان را از CryptoBilis خریده‌اید، توصیهٔ لجر روشن است: اگر هنوز راهش نینداخته‌اید، دست نگه دارید، و اگر راه انداخته‌اید، دارایی‌تان را با ۲۴ کلمهٔ تازه به یک دستگاه سالم ببرید. اگر از فروشندهٔ دیگری در جنوب شرق آسیا یا هنگ‌کنگ خریده‌اید، بهتر است همین احتیاط را بکنید؛ لجر فعلاً فروش را در کل این منطقه متوقف کرده است.

برای خریدار ایرانی ماجرا یک لایهٔ دیگر هم دارد. لجر به ایران ارسال نمی‌کند، پس هر لجری که در ایران خریده‌اید از مسیری غیررسمی رسیده و معمولاً معلوم نیست از کدام کشور آمده و از دست چه کسانی گذشته است. این یعنی دستگاهتان لزوماً آلوده نیست، ولی خطرش را باید خودتان بسنجید. پایین‌تر قدم‌به‌قدم گفته‌ایم چطور.

ماجرا دقیقاً چه بود؟

وقتی کیف پول سخت‌افزاری را راه می‌اندازید، دستگاه ۲۴ کلمه روی صفحه‌اش نشان می‌دهد تا آن‌ها را روی کاغذ بنویسید. این کلمه‌ها همان عبارت بازیابی هستند. هر کس آن‌ها را داشته باشد، بی‌آنکه به خود دستگاه نیازی داشته باشد، می‌تواند روی هر گوشی یا کامپیوتری کیف پول شما را از نو بسازد و دارایی‌تان را جابه‌جا کند. همهٔ ارزش کیف پول سخت‌افزاری به این است که این ۲۴ کلمه جز روی صفحهٔ خودش و جلوی چشم شما، هیچ‌جای دیگری دیده نشود.

دزدها درست همین نقطه را نشانه گرفتند. لجر در بیانیهٔ ۲۳ مهر می‌گوید یک گروه تبهکار سازمان‌یافته ماه‌ها لجرهای اصل خریده، آن‌ها را باز کرده، قطعه‌ای را که خودش ساخته بود داخلشان کار گذاشته و دستگاه‌ها را از طریق فروشنده‌های جنوب شرق آسیا دوباره به بازار برگردانده است. این گروه برای جمع کردن کلمه‌ها سرور راه انداخته بود و برای خالی کردن کیف پول‌ها و پاک کردن رد پول هم برنامهٔ جداگانه داشت. به تعبیر لجر، صبور بودند، میلیون‌ها دلار خرج کردند و در یک عملیات هماهنگ، همه را یک‌جا خالی کردند.

Donjon، آزمایشگاه امنیتی لجر، روز ۲۱ مهر توضیح داد این قطعه چطور کار می‌کند (گزارش کوین‌دسک). قطعه داخل بدنهٔ دستگاه جا خوش کرده و هرچه را روی صفحه نمایش داده می‌شود، می‌خواند. همین که صفحه ۲۴ کلمه را نشان می‌دهد، ریزپردازندهٔ قطعه آن‌ها را تشخیص می‌دهد و با یک سیم‌کارت داخلی (eSIM) از راه شبکهٔ موبایل برای دزد می‌فرستد.

مثل این است که کسی داخل گاوصندوق، روبه‌روی برگهٔ رمز، دوربین کوچکی کار گذاشته باشد: قفل گاوصندوق سالم است، ولی رمز دیگر راز نیست. لجر هم دقیقاً همین را می‌گوید: تراشهٔ امن دستگاه (Secure Element) و سیستم‌عامل آن دست نخورده‌اند و تراکنش‌ها و امضاها هم تغییری نکرده‌اند. دستگاه آلوده مثل یک لجر سالم کار می‌کرد و صاحبش هیچ نشانه‌ای نمی‌دید.

چرا کیف پول‌ها چند هفته بعد خالی شدند؟

دزد عجله‌ای نداشت. اگر هر کیف پول را همان روز اول خالی می‌کرد، چند قربانی اول ماجرا را لو می‌دادند و بقیه دیگر پولی روی دستگاهشان نمی‌گذاشتند. پس صبر کرد تا کیف پول‌ها پر شوند و بعد همه را یک‌جا خالی کرد.

بیت‌کوئری، شرکتی که داده‌های بلاک‌چین را تحلیل می‌کند، رد همهٔ کیف پول‌های خالی‌شده را گرفته است. طبق بررسی این شرکت، دزد از ۳ مهر دو آدرس برای این کار آماده کرد و تا ۱۵ مهر، روی شبکه‌های ترون و اتریوم، ۴۱ بار روش برداشتش را با مبلغ‌های چنددلاری تمرین کرد. یکی از کیف پول‌ها اولین پولش را ۲۴ شهریور گرفته بود و صبح ۱۷ مهر ۷ میلیون تتر از دست داد.

آن جمعه چه گذشت؟

ساعت‌ها به وقت ایران‌اند و از داده‌های بیت‌کوئری و بیانیه‌های لجر گرفته شده‌اند:

در این جدول نکته‌ای هست که به کار خودتان می‌آید. در شبکهٔ ترون، صاحب هر کیف پول می‌تواند کلید دیگری را هم به کیف پولش اضافه کند. دزد که ۲۴ کلمهٔ صاحبان را داشت، کلید خودش را به ۳۰ کیف پول اضافه کرد و عملاً اختیارشان را از صاحبانشان گرفت. در کیف پول‌های دیگر هم، با کلید خود صاحبان، به آدرس خودش اجازهٔ برداشت تتر داد و بعد پول را بیرون کشید. پایین‌تر می‌گوییم این دو مورد را در کیف پول خودتان کجا ببینید.

چقدر دزدیده شد و پول‌ها کجا رفت؟

لجر هنوز تعداد قربانی‌ها و رقم کل سرقت را تأیید نکرده و می‌گوید عددهایی که در اینترنت دست‌به‌دست می‌شود، از منابع دیگر است. اولین برآورد را محققی با اسم مستعار Specter داد: بیش از ۸۶ میلیون دلار. بیت‌کوئری که کیف پول‌های خالی‌شده را روی شش شبکه دنبال کرده، تا ۲۴ مهر به ۱۰۲ میلیون دلار از ۳۳۵ کیف پول رسیده است:

ارزش‌ها با قیمت صبح ۱۷ مهر حساب شده‌اند. تعداد کیف پول‌ها هم با تعداد آدم‌ها یکی نیست، چون یک نفر ممکن است چند کیف پول داشته باشد.

بیش از سه‌چهارم مبلغ سرقت، تتر روی شبکهٔ ترون بود؛ همان چیزی که خیلی از کاربران ایرانی هم روی لجرشان نگه می‌دارند.

تنها طرفی که سریع دست به کار شد، شرکت تتر بود. حدود ده دقیقه بعد از انتشار آدرس‌ها، مسدود کردن آدرس‌های دزد را شروع کرد و حدود ۱۰ میلیون دلار تتر در ۲۰ کیف پول قفل شد. دزد هم وقت را تلف نکرد و بقیهٔ تترها را از دسترس شرکت تتر بیرون برد. بخش بزرگی را به استیبل‌کوین USDD تبدیل کرد که تتر نمی‌تواند مسدودش کند و بعد از راه سرویس تبادل THORChain به اتر رساند. بقیه را هم با پل‌ها و سرویس‌های تبادل دیگر به اتر تبدیل کرد.

تا ۲۴ مهر حدود ۷٬۷۰۰ اتر به تورنادو کش رفته است؛ سرویسی که ارتباط پول ورودی و خروجی را پنهان می‌کند. بخشی از پول هم از مسیر زی‌کش (Zcash) گذشته است. بیت‌کوین‌های دزدیده‌شده هنوز تکان نخورده‌اند و به گفتهٔ بیت‌کوئری، حدود ۸۱ میلیون دلار از کل پول هنوز روی بلاک‌چین قابل ردیابی است.

این را هم در نظر داشته باشید که مسدود شدن یعنی دزد نمی‌تواند آن تترها را خرج کند، نه اینکه پول خودبه‌خود به صاحبانش برمی‌گردد. برگشتن پول، اگر اصلاً اتفاق بیفتد، کار پلیس و دادگاه است و زمان می‌برد.

چه کسانی آسیب دیدند؟

لجر می‌گوید همهٔ سرقت‌هایی که تا امروز تأیید کرده، به دستگاه‌هایی برمی‌گردد که CryptoBilis فروخته است. به گزارش کوین‌دسک، این فروشنده در اندونزی، مالزی و فیلیپین فعال است. هشدار لجر هم خطاب به کسانی است که در ۹۰ روز گذشته از این فروشنده خرید کرده‌اند.

یافته‌های بیت‌کوئری نشان می‌دهد این بازه شاید کوتاه باشد. از هر ۱۰ کیف پول قربانی، ۶ تا اولین پولشان را در همین ۹۰ روز گرفته بودند؛ ولی اگر بازه را تا خرداد عقب ببریم، این عدد به بیش از ۸ از هر ۱۰ می‌رسد. اولین واریز به کیف پول لزوماً همان روز خرید دستگاه نیست؛ با این حال نشان می‌دهد خطر ممکن است تا حدود چهار ماه عقب‌تر هم برسد. پس اگر از خرداد به بعد از این فروشنده خرید کرده‌اید، توصیهٔ لجر شامل شما هم می‌شود.

بین قربانی‌ها دارنده‌های بزرگ و کسب‌وکارها هم بودند. یک کیف پول ۷ میلیون تتر و یکی دیگر ۸۰ بیت‌کوین از دست داد. یکی از کیف پول‌های خالی‌شده هم، از روی الگوی ورود و خروج پولش، پیداست که مال یک کسب‌وکار بوده است.

گزارش‌هایی بیرون از CryptoBilis

این هفته چند گزارش دیگر هم منتشر شد که هنوز معلوم نیست به همین پرونده ربط داشته باشند:

• آلمان: یک مشتری فروشگاه MediaMarkt گفت در لجرش قطعهٔ مشکوکی پیدا کرده است. این فروشگاه‌ها فروش لجر را متوقف کردند، ولی لجر می‌گوید در این مورد سرقتی گزارش نشده و همهٔ نمونه‌هایی که تیمش از فروشگاه‌های آلمان خریده و باز کرده، سالم بوده‌اند.
• سنگاپور: مارک کارپلس، مدیرعامل سابق صرافی Mt. Gox، می‌گوید در یک Ledger Flex که در فرودگاه سنگاپور خریده، قطعهٔ جاسوسی پیدا کرده است.
• ژاپن و تایلند: محققان امنیتی از Nano Xهای دست‌کاری‌شده‌ای خبر داده‌اند که از فروشنده‌هایی در ژاپن و از فروشگاه اینترنتی Lazada در تایلند خریده شده بودند.

لجر می‌گوید تا امروز هیچ سرقتی را که به دستگاهی از جای دیگر برگردد تأیید نکرده و این گزارش‌ها را بررسی می‌کند.

از کجا بفهمید لجر شما در خطر است؟

آزمایشی وجود ندارد که با یک کلیک بگوید دستگاهتان آلوده است یا نه. ولی با این چهار بررسی می‌توانید خطر را تخمین بزنید.

۱. دستگاه را از کجا خریده‌اید؟

مهم‌ترین سؤال همین است. جدول زیر خلاصهٔ تصمیم را نشان می‌دهد:

اگر لجرتان را در ایران خریده‌اید، از فروشنده بپرسید جنس را از کجا آورده است. اگر جواب روشنی دارد و دستگاه از نمایندگی رسمی کشوری بیرون از جنوب شرق آسیا و هنگ‌کنگ آمده، خطر کمتر است. اگر نمی‌داند، یا دستگاه از کشورهایی مثل مالزی، اندونزی، فیلیپین، تایلند، سنگاپور یا هنگ‌کنگ آمده، با آن مثل ردیف دوم جدول رفتار کنید، به‌خصوص اگر دارایی زیادی رویش دارید. حسابش ساده است: جابه‌جا کردن دارایی چند ساعت وقت و هزینهٔ یک دستگاه نو را دارد، ولی اگر دستگاه آلوده باشد و دست نگه دارید، ممکن است همه‌اش را از دست بدهید.

۲. تاریخچهٔ کیف پول را در اکسپلورر ببینید

آدرس‌های کیف پولتان را در اکسپلورر هر شبکه جست‌وجو کنید. اگر برداشتی می‌بینید که کار خودتان نبوده، عبارت بازیابی‌تان لو رفته است و باید سراغ بخش «اگر دارایی‌تان دزدیده شده» بروید.

اگر تتر روی ترون دارید، در ترون‌اسکن دو چیز دیگر را هم نگاه کنید:

• دسترسی‌ها (Permissions): این بخش در صفحهٔ آدرستان نشان می‌دهد چه کلیدهایی اختیار کیف پول را دارند. در حالت عادی فقط آدرس خود شما آنجاست و هر آدرس ناآشنا یعنی کس دیگری هم کیف پول را کنترل می‌کند.
• مجوزها (Approvals): فهرست آدرس‌ها و قراردادهایی است که اجازه دارند تتر شما را جابه‌جا کنند. مجوزی که خودتان نداده‌اید، زنگ خطر است.

در اتریوم و BNB Chain، بخش Token Approvals در اتراسکن و BscScan همین کار را می‌کند. فقط یادتان باشد اگر عبارت بازیابی لو رفته باشد، لغو یک مجوز فایده‌ای ندارد، چون دزد هر وقت بخواهد می‌تواند مجوز تازه‌ای امضا کند. تنها راه، رفتن به ۲۴ کلمهٔ تازه است.

اگر هم هیچ نشانه‌ای ندیدید، این فقط یعنی کیف پولتان هنوز خالی نشده، نه اینکه ۲۴ کلمه‌تان امن است. ممکن است عبارت بازیابی کیف پول‌هایی که آن روز موجودی چندانی نداشتند، هنوز در دست دزد باشد.

۳. به Genuine Check تکیه نکنید

Genuine Check در اپلیکیشن لجر فقط بررسی می‌کند که تراشهٔ امن دستگاه اصل و ساخت لجر باشد. در این حمله کسی به تراشهٔ امن دست نزده بود، برای همین به گفتهٔ محققان امنیتی، دستگاه‌های آلوده هم از این آزمون سالم بیرون آمدند (فایننس‌فیدز). این آزمون هنوز برای شناختن لجر تقلبی لازم است، ولی دربارهٔ قطعه‌ای که به یک دستگاه اصل اضافه شده، چیزی نمی‌گوید.

۴. باز کردن دستگاه؛ فقط اگر واقعاً بلدید

محققانی که دستگاه‌های آلوده را باز کرده‌اند، چند نشانه را گزارش کرده‌اند (CyberSec Guru): اسفنج پشت صفحه برداشته شده و یک برد نازک مشکی جایش نشسته است، سیم نازکی کنار لبهٔ بالایی بدنه دیده می‌شود که آنتن بلوتوث نیست، و در نسخه‌های قدیمی‌تر باتری به‌طرز غیرعادی نازک است. همین محققان می‌گویند در جدیدترین نسخه، سلفون دور جعبه سالم بوده و روی بدنه هیچ اثری از باز شدن دیده نمی‌شده است. پس سالم بودن جعبه و ظاهر دستگاه چیزی را ثابت نمی‌کند.

باز کردن دستگاه گارانتی را باطل می‌کند و ممکن است کابل صفحه پاره شود یا باتری آسیب ببیند؛ لجر هم دربارهٔ همین خطر هشدار داده است. اگر دارایی‌تان دزدیده شده، اصلاً بازش نکنید، چون دستگاه مدرک است. برای بیشتر آدم‌ها، رفتن به ۲۴ کلمهٔ تازه هم ارزان‌تر است و هم مطمئن‌تر از باز کردن دستگاه.

اگر لازم است دارایی را جابه‌جا کنید

1. یک دستگاه سالم تهیه کنید. دستگاه باید نو و آکبند باشد و از فروشگاه رسمی لجر یا یکی از فروشنده‌های فهرست فروشنده‌های رسمی لجر خریده شود. برای خریدار ایرانی، مطمئن‌ترین راه این است که کسی در خارج از کشور دستگاه را مستقیم از فروشگاه رسمی سفارش بدهد و آکبند برایتان بیاورد. برند چندان مهم نیست؛ مهم مسیری است که دستگاه از کارخانه تا دست شما طی می‌کند.
2. ۲۴ کلمهٔ تازه بسازید. بگذارید دستگاه نو عبارت بازیابی تازه‌ای بسازد. هیچ‌وقت ۲۴ کلمهٔ قبلی را روی دستگاه نو وارد نکنید، چون دزد همان‌ها را دارد. عوض کردن دستگاه بدون عوض کردن کلمه‌ها هیچ فایده‌ای ندارد.
3. اول مبلغ کمی بفرستید. یک مبلغ آزمایشی به آدرس تازه بفرستید و وقتی رسید، بقیه را منتقل کنید. هر دارایی‌ای را که با آن ۲۴ کلمه ساخته شده جابه‌جا کنید: بیت‌کوین، تتر روی ترون، اتریوم و هر شبکهٔ دیگری که استفاده کرده‌اید. دارایی استیک‌شده را هم فراموش نکنید؛ آزاد کردنش ممکن است زمان ببرد. برای انتقال تتر روی ترون هم کمی TRX در کیف پول قدیمی نگه دارید تا کارمزد پرداخت شود.
4. آدرس‌های قدیمی را کنار بگذارید. آدرس تازه را به هر کسی که برایتان پول می‌فرستد بدهید. بیت‌کوئری نشان داده دزد هنوز کلید کیف پول‌های خالی‌شده را دارد: یک روز بعد از سرقت، ۷۰ هزار تتر به یکی از همین کیف پول‌ها رسید و ده دقیقه بعد دزد آن را هم برد.
5. دستگاه مشکوک را دور نیندازید. دیگر از آن استفاده نکنید، ولی نگهش دارید؛ شاید برای پیگیری لازم شود.

اگر کیف پول قبلی‌تان را با وارد کردن ۲۴ کلمه روی دستگاه مشکوک بازیابی کرده‌اید، آن کلمه‌ها هم از روی همان صفحه گذشته‌اند. احتیاط حکم می‌کند آن‌ها را هم لو رفته بدانید.

اگر دستگاه سالم به این زودی به دستتان نمی‌رسد، منتظر نمانید. یک کیف پول نرم‌افزاری با ۲۴ کلمهٔ تازه، روی گوشی‌ای که به آن اعتماد دارید، به اندازهٔ یک دستگاه سخت‌افزاری سالم امن نیست، ولی خیلی امن‌تر از عبارتی است که شاید در دست دزد باشد. می‌توانید بخشی از دارایی را هم موقتاً در حساب صرافی‌ای که به آن اعتماد دارید، مثل سواپ‌ولت، نگه دارید تا دستگاه سالم برسد.

اگر دارایی‌تان دزدیده شده

• گزارش بدهید. اگر به پشتیبانی رسمی لجر دسترسی دارید، ماجرا را از طریق سایت خود لجر گزارش کنید. به پلیس محل زندگی‌تان هم شکایت کنید؛ در ایران پلیس فتا به جرم‌های اینترنتی رسیدگی می‌کند.
• به دستگاه دست نزنید. نه بازش کنید و نه برای کسی بفرستید. طبق راهنمای لجر که کریپتو تایمز جمع‌بندی کرده، پیش از هر کاری با پلیس و پشتیبانی هماهنگ کنید تا شواهد داخل دستگاه از بین نرود.
• مدارک را نگه دارید. آدرس‌های کیف پول، شناسهٔ تراکنش‌های سرقت و رسید خرید دستگاه را یک‌جا ذخیره کنید.
• جلوی واریز تازه را بگیرید. به هر کسی که به آن آدرس پول می‌فرستد بگویید دیگر نفرستد.
• فریب وعدهٔ برگرداندن پول را نخورید. بعد از هر هک بزرگ، حساب‌هایی در تلگرام، اینستاگرام و ایکس پیدا می‌شوند که قول برگرداندن پول را می‌دهند و پیش‌پرداخت یا ۲۴ کلمه‌تان را می‌خواهند. لجر می‌گوید هیچ‌وقت با شما تماس نمی‌گیرد، پیام خصوصی نمی‌فرستد و ۲۴ کلمه‌تان را نمی‌خواهد. ترفندهای دیگر را در کلاهبرداری‌های رایج ارز دیجیتال گفته‌ایم.

لجر چه می‌گوید و چه چیزهایی هنوز روشن نیست؟

لجر در بیانیهٔ ۲۳ مهر می‌گوید تراشه، سیستم‌عامل و سرورهایش هیچ ضعفی نداشته‌اند و حمله بعد از خروج دستگاه‌ها از دست این شرکت، در مسیر توزیع رخ داده است. به تعبیر خود لجر، این حمله‌ای محلی به یک مسیر فروش بوده، نه به کل زنجیرهٔ تأمین. تیم‌های لجر در بازارهای مختلف، از جمله آلمان، دستگاه خریده و باز کرده‌اند و نمونه‌هایی از انبارها را هم بررسی کرده‌اند؛ همه سالم بوده‌اند. لجر با پلیس و با گروه داوطلب امنیتی SEAL 911 همکاری می‌کند تا رد پول را بگیرد و زیرساخت دزدها را از کار بیندازد.

لجر چند قانون تازه هم برای فروشنده‌های رسمی‌اش گذاشته است. دستگاه مرجوعی، حتی اگر آکبند به نظر برسد، دیگر به هیچ شکلی دوباره فروخته نمی‌شود. دستگاه‌ها دیگر در قفسه و ویترین نمی‌مانند؛ در انبار نگه داشته می‌شوند و فقط موقع خرید به دست مشتری می‌رسند. فروشنده‌ها موظف‌اند هر گزارش مشتری دربارهٔ محصول غیرعادی را فوراً به لجر بدهند. لجر قول داده جزئیات فنی بیشتر و راه‌های جلوگیری از این حمله در خود محصول را بعداً منتشر کند.

با این حال چند سؤال مهم هنوز بی‌جواب مانده است:

• چه کسی دستگاه‌ها را دست‌کاری کرده و این کار در کدام مرحلهٔ توزیع انجام شده است؟ لجر می‌گوید هنوز در حال بررسی است.
• تعداد قطعی قربانی‌ها و رقم کل سرقت چقدر است؟
• آیا گزارش‌های آلمان، سنگاپور، ژاپن و تایلند به همین پرونده ربط دارند؟
• لجر با هشدارهای قبلی چه کرد؟ به گزارش فایننس‌فیدز، جو گرند، پژوهشگر امنیت سخت‌افزار، ۱۳ اسفند ۱۴۰۴ به لجر خبر داده بود که در یک Nano X خریده‌شده از Lazada قطعهٔ جاسوسی پیدا کرده است. به گفتهٔ کارپلس، یک نفر دیگر هم حدود ده ماه پیش به لجر هشدار داده بود. لجر هنوز نگفته با این گزارش‌ها چه کرده است.
• آیا لجر خسارت قربانی‌ها را جبران می‌کند؟ در بیانیهٔ ۲۳ مهر حرفی از آن نیست.

چانگ‌پنگ ژائو، بنیان‌گذار بایننس، هم ادعا کرده دزدها خود فروشنده را خریده بودند. این ادعا تأیید نشده و CryptoBilis هم جوابی به آن نداده است.

این ماجرا چه درسی دارد؟

این بخش برداشت خود ماست. درس اول اینکه «فروشندهٔ رسمی» تضمین کامل نیست، ولی هنوز بهترین انتخاب است، چون در مسیرهای غیررسمی کنترل از این هم کمتر است. درس دوم اینکه کیف پول سخت‌افزاری فقط به اندازهٔ مسیری امن است که از کارخانه تا دست شما طی کرده. Genuine Check می‌گوید تراشه اصل است؛ نمی‌گوید چیزی به دستگاه اضافه نشده است.

این خطر مخصوص لجر هم نیست. جو گرند در دستگاه‌های Trezor که از فروشنده‌های غیررسمی خریده شده بودند هم دست‌کاری پیدا کرده و CryptoBilis فروش همهٔ کیف پول‌های سخت‌افزاری‌اش را متوقف کرده است. همین تابستان هم ایرادی در بخشی از نرم‌افزار کیف پول Coldcard که ۲۴ کلمه را می‌سازد، به برآورد محققان به سرقت ۱۰۰ تا ۱۳۰ میلیون دلار بیت‌کوین انجامید.

با همهٔ این‌ها، کیف پول سخت‌افزاری هنوز امن‌ترین جا برای پس‌انداز بزرگ و بلندمدت است، به این شرط که بدانید از کجا آمده. چک‌لیست تحویل گرفتن دستگاه را در راهنمای خرید کیف پول سخت‌افزاری در ایران نوشته‌ایم.