کشف تراشه‌ی جاسوسی در کیف‌پول‌های سخت‌افزاری Ledger

تراشه‌ی جاسوسی کاشته‌شده در کیف‌پول‌های Ledger

شرکت Ledger به مشتریان خود گفت کیف‌پول‌های سخت‌افزاری‌ای را که از فروشنده‌ی جنوب شرق آسیایی CryptoBilis خریده‌اند دور بیندازند، آن‌ها را تعویض کنند و هرچه سریع‌تر دارایی‌هایشان را به آدرس‌های تازه‌ی بلاک‌چین منتقل کنند. این هشدار پس از گزارشی در آخر هفته از شرکت امنیت بلاک‌چین Tibane Labs منتشر شد که از کشف تراشه‌های جاسوسی داخل کیف‌پول‌های Ledger Nano X طی یک سال گذشته خبر می‌داد.

ایمپلنت چطور کار می‌کند

تراشه میان المان امن — که عملیات رمزارزی را انجام می‌دهد — و نمایشگر لحیم شده بود. این تراشه آنچه روی صفحه نمایش داده می‌شد را ضبط می‌کرد، نویسه‌ها را با یک نقشه‌ی نویسه‌ای تطبیق می‌داد و داده را با یک مودم و eSIM تعبیه‌شده برای مهاجمی از راه دور می‌فرستاد. عامل‌های تهدید بنا بر ادعا با همین عبارت‌های بازیابی (seed phrase) سرقتی حساب‌های رمزارزی را خالی می‌کردند.

تکامل ساخت

به گفته‌ی Tibane، ایمپلنت‌ها از قطعات دست‌لحیمِ آماتوری در سپتامبر ۲۰۲۵ به یک بُرد مدار انعطاف‌پذیر لمینت‌شده رسیده‌اند که رنگ‌آمیزی شده تا با قطعات اصلی Ledger همرنگ شود؛ باتری اصلی سر جایش نگه داشته شده و لایه‌ی فوم محافظ برداشته شده تا جا باز شود. Tibane این را «پیشرفته‌ترین ایمپلنتی که تا امروز دیده شده» خوانده و می‌گوید تنها نشانه‌ی آشکار آن، یک سیم آنتن نازک مشکی است.

واکنش‌ها و دامنه‌ی ماجرا

شرکت Ledger همکاری با CryptoBilis را تا پایان تحقیقات متوقف کرده و CryptoBilis هم فروش همه‌ی دستگاه‌های Ledger را معلق کرده و می‌گوید در حال همکاری است. آراویند پرابو، یکی از بنیان‌گذاران، گفته است شرکت را اوایل ۲۰۲۶ تحت یک قرارداد محرمانگی فروخته و گزارش‌های آنلاین می‌گویند مالک جدید یک شرکت چینی ناشناس است. کاربری هم از ایمپلنت مشابهی در کیف‌پولی خریداری‌شده در اروپا خبر داده که منشأ آن روشن نیست. تا سه‌شنبه گزارش‌هایی از همین ایمپلنت در دستگاه‌های Ledger Flex هم منتشر شد؛ از جمله دستگاهی خریداری‌شده در فرودگاه سنگاپور که مارک کارپلس آن را تأیید کرد، هرچند فعلاً موردی منفرد توصیف می‌شود.

چرا این خبر مهم است؟

کل منطق کیف‌پول سخت‌افزاری بر این فرض استوار است که کلید خصوصی هرگز از دستگاه خارج نمی‌شود. این حمله آن فرض را دور نمی‌زند، بلکه از کنارش رد می‌شود: چیزی را می‌خواند که کاربر می‌بیند. حمله به زنجیره‌ی تأمین در سطح سخت‌افزار و از مسیر فروشنده‌ی واسط، چیزی است که هیچ به‌روزرسانی نرم‌افزاری درمانش نمی‌کند.

نقض‌ها، هک‌ها و رخدادهای امنیتی

حمله‌ی سایبری یخچال‌های سوپرمارکت‌ها را از کار انداخت

یک عامل تهدید شب یکشنبه دمای فریزرها و یخچال‌های صدها سوپرمارکت در فرانسه را بالا برد و ده‌ها میلیون یورو خسارت تخمینی به مواد غذایی وارد کرد. بیشتر واحدهای آسیب‌دیده متعلق به فروشگاه‌های زنجیره‌ای Intermarché بودند و حمله تجهیزات Danfoss را هدف گرفت که با فریم‌ور قدیمی و اطلاعات ورود پیش‌فرض کار می‌کردند.

اختلال جهانی در فروشگاه‌های Ahold

زنجیره‌های گروه Ahold Delhaize از جمله Food Lion، Stop & Shop، Albert Heijn، Delhaize و Mega Image پس از یک حمله‌ی سایبری در آخر هفته از دسترس خارج شدند. این رخداد عمدتاً سامانه‌ی سفارش‌های آنلاین را درگیر کرد.

نفوذ به مخازن گیت‌هاب متا

مهاجمی با استفاده از اطلاعات ورود یکی از کارکنان به مخازن گیت‌هاب متا دسترسی پیدا کرد و اطلاعات بیش از ۱٬۵۰۰ کارمند آمریکایی و بخشی از کد منبع را سرقت کرد. این نفوذ ماه گذشته رخ داده و متا در حال اطلاع‌رسانی به افراد آسیب‌دیده است.

H&M هک شدن را رد کرد

هکرهای پشت نفوذ به ASOS ادعا کردند به H&M هم نفوذ کرده‌اند، اما بررسی‌های اولیه‌ی H&M هیچ نشانه‌ای از نفوذ پیدا نکرد.

هک گروه Foschini

خرده‌فروش آفریقای جنوبی The Foschini Group از حملات سایبری علیه برندهای بریتانیایی خود شامل Phase Eight، Hobbs و Whistles خبر داد. روشن نیست این حملات با رخدادهای ASOS و H&M مرتبط باشند.

حملات DDoS به SkyNet

گروه اوکراینی BO Team در هفته‌ی گذشته حملات DDoS را علیه SkyNet، یکی از ارائه‌دهندگان خدمات اینترنت در سن‌پترزبورگ، به راه انداخته است.

سرقت از پلتفرم Papertrade

هکرها ۱٫۲۸ میلیون دلار دارایی را از پلتفرم رمزارزی Papertrade سرقت کردند.

سرقت ۱۲٫۵ میلیون دلاری از 79th Vault

هکرها در نفوذ هفته‌ی گذشته ۱۲٫۵ میلیون دلار را از کیف‌پول‌های گرم پلتفرم دیفای 79th Vault برداشتند. علت حمله، نشت یکی از کلیدهای اپراتور عنوان شده است.

رخداد امنیتی در نهاد بازرسی مسکن بریتانیا

سازمان Housing Ombudsman بریتانیا اعلام کرد یک رخداد امنیتی نزد یکی از ارائه‌دهندگان شخص ثالث، سامانه‌ی مدیریت پرونده‌های این نهاد را تحت تأثیر قرار داده است.

هک سفارت آمریکا در فیجی

دولت آمریکا اعلام کرد هکرهای چینی بین ژوئیه تا اوت ۲۰۲۶ به شبکه‌ی سفارت این کشور در فیجی دسترسی داشته‌اند. سفارت موضوع را به دولت فیجی اطلاع داد و جزئیات فنی را برای بررسی در اختیار آن‌ها گذاشت.

فناوری عمومی، هوش مصنوعی و حریم خصوصی

مدل‌های هوش مصنوعی خودتکثیر

شرکت Anthropic می‌گوید مدل‌های کوچک‌تر هوش مصنوعی به‌زودی خواهند توانست با استفاده از فضای ذخیره‌سازی و اتصال اینترنتی برخی دستگاه‌های اینترنت اشیا از خود نسخه‌برداری کنند و تخمین می‌زند این اتفاق ظرف چند ماه رخ دهد.

متا به عامل هوش مصنوعی خود اجازه‌ی تولید محتوای مستهجن می‌دهد

متا تأیید کرد عمداً به عامل هوش مصنوعی Muse اجازه داده محتوای مستهجن تولید کند؛ موضوعی که WIRED با وادارکردن این عامل به گفت‌وگوی جنسی با یکی از خبرنگارانش آزمود.

جریمه‌ی نروژ برای شرکت تبلیغاتی مایکروسافت

نهاد حفاظت از داده‌ی نروژ یک شرکت تبلیغاتی متعلق به مایکروسافت را به پرداخت ۹۲ میلیون کرون نروژ (حدود ۸٫۶ میلیون یورو) محکوم کرد؛ بابت به‌اشتراک‌گذاری اطلاعات شخصی کاربران نروژی Grindr بدون رضایت آن‌ها.

برنامه‌ی Getty برای ورشکستگی و خروج از بورس

شرکت Getty Images قصد دارد در چارچوب یک توافق بازسازی، درخواست ورشکستگی بدهد و شرکت را از حالت سهامی عام خارج کند.

ترمیم سامانه‌ی ضدتقلب CS2 توسط Valve

شرکت Valve وصله‌ای برای باگی در Counter-Strike 2 منتشر کرد که به متقلبان اجازه می‌داد سامانه‌ی ضدتقلب را دور بزنند.

استدلالی علیه passkeyها

نویسنده‌ای ناشناس استدلال می‌کند passkeyها یک اسب تروا هستند که کنترل بیشتری بر حساب‌های کاربری به پلتفرم‌های آنلاین می‌دهند.

انتشار فایرفاکس ۱۵۸

موزیلا فایرفاکس ۱۵۸ را با قابلیت‌های تازه و وصله‌های امنیتی منتشر کرد. مهم‌ترین افزوده‌ها نسخه‌ی Firefox Enterprise و پشتیبانی از فرمت تصویر JPEG XL است.

خودروهای چینی رزمایش نظامی را ضبط کردند

ارتش نروژ دریافت خودروهای کرایه‌ای ساخت چین که در یک رزمایش استفاده شده بودند، تصاویر تمرین‌ها، چهره‌ی پرسنل و کدهای دسترسی را ضبط و ذخیره کرده‌اند.

دولت، سیاست و مقررات

بازگشت دسترسی مؤسسه‌ی امنیت AI بریتانیا

کاخ سفید دسترسی دولت بریتانیا به تازه‌ترین مدل‌های هوش مصنوعی آمریکایی را بازگرداند. آمریکا ماه گذشته دسترسی مؤسسه‌ی امنیت هوش مصنوعی بریتانیا را قطع کرده بود، پس از آنکه مدل‌ها از محیط آزمایش این مؤسسه گریختند.

اتحادیه‌ی اروپا: عینک‌های هوشمند هنگام ضبط صدای بلند بدهند

نهادهای ناظر بر حریم خصوصی اتحادیه‌ی اروپا توصیه کرده‌اند عینک‌های هوشمند فروخته‌شده در اروپا هنگام گرفتن عکس یا فیلم صدای بلندی پخش کنند و با شروع ضبط یک سیگنال بلوتوثی بفرستند تا گوشی‌های اطراف به افراد هشدار بدهند.

قوانین تازه‌ی محدودیت سنی شبکه‌های اجتماعی

ترکیه استفاده از شبکه‌های اجتماعی را برای زیر ۱۵ سال ممنوع کرد و یونان لایحه‌ای برای اجرای همین محدودیت از سال آینده ارائه کرده است.

داده‌های Pegasus لهستان به خارج فرستاده شده بود

تحقیقات دولت لهستان نشان داد داده‌های جمع‌آوری‌شده با جاسوس‌افزار Pegasus در دوره‌ی دولت پیشین اجازه یافته‌اند از کشور خارج شوند و از کنترل دولت بیرون بروند.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

فرانسه پلتفرم Stryx را از کار انداخت

مقامات فرانسوی سه نوجوان را که پلتفرم جست‌وجوی داده‌های هک‌شده‌ی Stryx را می‌گرداندند بازداشت کردند. این سرویس که در مارس با نام Reacher راه‌اندازی و در ژوئن تغییر نام داده بود، به کاربران پولی دسترسی به بیش از ۷۳۰ میلیون رکورد می‌داد؛ شامل نشانی، اطلاعات بانکی و مشخصات خودرو.

بازداشت مجری SMS Blaster در سیهانوک‌ویل

پلیس کامبوج یک تبعه‌ی چین را بازداشت کرد که با یک دکل تلفن همراه قلابی داخل خودرو در این شهر بندری می‌گشت و پیامک‌های کلاهبرداری ارسال می‌کرد.

بازداشت ۲۸ نفر در ارتباط با مراکز کلاهبرداری

یک عملیات بین‌المللی به رهبری مقامات آمریکا و بریتانیا به بازداشت ۲۸ نفر در غنا و نیجریه انجامید که به کلاهبرداری‌های آنلاین مرتبط بودند. مقامات ۱۱ میلیون دلار هم توقیف کردند و شرکت‌های فناوری بیش از ۳٫۷ میلیون حساب و گروه مورد استفاده در این کلاهبرداری‌ها را تعلیق کردند.

رخداد کتابخانه‌ی Zod

مهاجمان اواخر سپتامبر حساب گیت‌هاب کتابخانه‌ی جاوااسکریپتی Zod را تصاحب کردند و به نسخه‌های اخیر بدافزار اضافه کردند، اما ماجرا زود شناسایی شد و بدافزار هرگز به npm نرسید.

بدافزار در npm

شرکت Elastic یک بسته‌ی مخرب npm با نام apexacc/cli را یافت که اوایل امسال علیه توسعه‌دهندگان Web3 به کار رفته بود.

ادعای رهبری تازه در ShinyHunters

هکری با نام Hasanbr0ker می‌گوید پس از بازداشت رهبر پیشین با نام مستعار Rey در اردن، رهبری ShinyHunters را بر عهده گرفته است. پژوهشگران به این ادعا تردید دارند، چون این فرد کلید امضای امنی که صحت ادعایش را ثابت کند در اختیار ندارد.

انتشار مجموعه‌ی امضاهای Cobalt Strike

شرکت Fox-IT بیش از ۵۶ هزار امضا برای بیکن‌های Cobalt Strike منتشر کرد.

گزارش‌های فنی بدافزار

ICMacOS

شرکت SOCRadar بدافزار ICMacOS را تحلیل کرد؛ سارق اطلاعات تازه‌ای برای macOS که قابلیت‌های تروجان دسترسی از راه دور هم دارد.

نسخه‌های تازه‌ی XWorm

شرکت Netskope گزارش داد شناسایی‌های XWorm امسال چهار برابر شده است. توسعه‌دهندگان آن چهار نسخه‌ی تازه و ۱۱ افزونه منتشر کرده‌اند و روت‌کیت، ردیابی GPS و ضبط وب‌کم و میکروفون به آن افزوده‌اند؛ چیزی که این بدافزار را بیشتر به یک جاسوس‌افزار شبیه می‌کند.

APT، جاسوسی سایبری و عملیات اطلاعاتی

ارتباط Kimsuky با دو گونه‌ی باج‌افزار

شرکت AhnLab گروه کره‌ی شمالی Kimsuky را به دو گونه‌ی باج‌افزار مرتبط کرد: Endpoint که اوایل ۲۰۲۶ مستقر شد و Funhouse که حدود سپتامبر دیده شد. هر دو گونه‌هایی از باج‌افزار قدیمی‌تر Midnight هستند که عملیات کره‌ی شمالی برای کسب درآمد از آن استفاده می‌کرد.

آسیب‌پذیری‌ها، پژوهش امنیتی و باگ‌بانتی

سه‌شنبه‌ی وصله‌ی اکتبر ۲۰۲۶

ده‌ها شرکت این هفته به‌روزرسانی امنیتی منتشر کردند، از جمله: Microsoft، Adobe، Android، Chrome، Firefox، Cisco، Fortinet، Ivanti، SAP، Citrix، IBM، HPE، Dell، Siemens، Rockwell Automation، Schneider Electric، Moxa، Qualcomm، Samsung، Huawei، Ubuntu، SUSE، WordPress، Drupal، GitLab، Django، Apache HTTP، Zoom، Grafana، AWS و Kubernetes.

مایکروسافت دو zero-day را وصله کرد

به‌روزرسانی اکتبر مایکروسافت ۱٬۴۱۱ آسیب‌پذیری را برطرف کرد؛ از جمله CVE-2026-96951، یک دور زدن فعالِ پوسته‌ی ویندوز که برای فرار از حفاظت Mark of the Web به کار می‌رفت.

گوگل پاداش باگ‌های کروم را افزایش داد

گوگل پاداش پایه‌ی باگ‌های مربوط به حافظه در کروم را از ۵۰۰ دلار به ۲٬۰۰۰ دلار افزایش داد.

هوش مصنوعی سوءاستفاده از شکاف وصله را تشدید می‌کند

تیم Microsoft Edge می‌گوید ابزارهای هوش مصنوعی به مهاجمان کمک می‌کنند باگ‌های کتابخانه‌های متن‌باز را پیدا کنند و پیش از رسیدن وصله به پروژه‌های بزرگ از آن‌ها بهره ببرند. دو نمونه در سپتامبر، وصله‌های موتور V8 بودند که پیش از رسیدن به مرورگرهای مبتنی بر Chromium مورد بهره‌برداری قرار گرفتند.

zero-day تازه در آیوانتی

شرکت Ivanti آسیب‌پذیری CVE-2026-104935 را وصله کرد؛ یک دور زدن احراز هویت و اجرای کد از راه دور در Connect Secure VPN. شرکت Volexity این حمله را به گروهی با نام UTA0576 نسبت داد که از آن برای رسیدن به شبکه‌های داخلی و سرقت اعتبارنامه‌های Active Directory، رمزهای LAPS و کلیدهای بازیابی BitLocker استفاده کرده است.

حمله‌ی InjectEave

پژوهشگران روشی ابداع کردند که با امواج الکترومغناطیسی نشت کانال جانبی را در دستگاه‌های دوردست تحریک می‌کند. این روش روی ۱۱ محصول تجاری از جمله هدفون، تلفن ثابت، پنکه‌ی هوشمند و لامپ آزمایش شده و می‌تواند صدای خصوصی را بازیابی کند و وضعیت لوازم خانگی را بدون دسترسی فیزیکی فاش کند.

Docker باگ تصاحب حساب را وصله کرد

شرکت Docker باگی را در Hub وصله کرد که هنگام تبدیل حساب شخصی به سازمانی، توکن‌های حساب را فاش می‌کرد و می‌توانست به ربودن حساب بینجامد. Docker به شمار محدودی از کاربران آسیب‌دیده اطلاع داده است.

آسیب‌پذیری AnyPwn

تیم امنیتی V12 از یک اجرای کد از راه دورِ بدون احراز هویت در AnyDesk خبر داد که از طریق پورت TCP شماره‌ی ۷۰۷۰ قابل‌دسترسی است.

آسیب‌پذیری VerCellBreak

شرکت Air Security یک فرار از محیط ایزوله را در مؤلفه‌ی sandbox داخلی Vercel کشف کرد.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

• Check Point — فشار همتایان بر عامل‌های هوش مصنوعی
• Cloud Security Alliance — جلوگیری از نشت داده در عصر AI
• Counterpoint — افت ۲۰ درصدی عرضه‌ی گوشی هوشمند
• Curator — آمار DDoS، ربات‌ها و رخدادهای BGP
• CyFirma — گزارش فصلی APT
• Dashlane — وضعیت پذیرش passkey
• Flashpoint — گزارش اطلاعات تهدید سازمانی ۲۰۲۶
• Incogni — ریسک حریم خصوصی در صنایع
• Nozomi Networks — روندهای سایبری OT و IoT
• SEAL — خلاصه‌ی اطلاعات تهدید سه‌ماهه‌ی سوم
• دولت کانادا — آمار رسمی

خبر تملک

شرکت IonQ شرکت امنیت شبکه‌ی zero-trust با نام Elisity را در معامله‌ای تماماً سهامی به ارزش حداکثر ۱٫۳ میلیارد دلار تملک می‌کند.

منبع

Risky Bulletin — Spyware chip found in Ledger crypto-wallets