Topic: تحذير من محافظ بيدجر (Read 152 times)

برأيي المشكلة أصبحت مشكلة تزعزع الثقة، محافظ الأجهزة من المعروف أنها المحافظ الأكثر أمانا وأكثر من يستخدمونها يكون لديها كميات كبيرة من البيتكوين أو العملات المشفرة وأي أخبار ولو كانت غير صحيحة ستصيب هؤلاء المستخدمين بالهلع وبعضهم سيبدأ فورا بالبحث عن بديل.

لا أعرف لماذا فجأة أصبح حديث ليدجر الشغل الشاغل للجميع وعلى جميع المواقع ووسائل التواصل؟ لكن كما يقولون ليس هناك دخان بدون نار، 

و انا مثلك لا أرجح ان تكون لدى الشركة المطورة اي نوايا لسرقة المستخدمين و ان ابسط حادثة قد تحصل يمكن ان تدمر سمعة الشركة بالكامل و يدخل اصحابها في تتبعات هم اصلا في غنى عنها.
المشكلة كما ذكرت انت هي في هذه الاكتشافات المفاجئة من البرامج مغلقة المصدر closed-source و التي لا نعلم متى سنكتشف الخلل القادم فيها. من ناحية اخرى لا نستطيع الاستغناء عن الشركات الخاصة لتصنيع هكذا انواع من المنتجات بما انه لا يمكن ان تتولاها جهة لامركزية و بالتالي فالغاية الاهم للشركة هي تحقيق ارباح و صدور اخبار تمس من مصداقيتها و لو كانت على سبيل الشائعات يمكن ان تنسف الشركة بكاملها.

اضم صوتي اليك في عدم الهلع و التعامل بتأني و باكبر قدر من الرصانة لانه الى حد الان ليس هناك رصد لحالات سرقة. مهم التحضير لنقل جميع العملات الى محفظة اخرى تحمل مميزات نفسها و تكون شفافة اكثر.

حتى هده اللحظة لا اعتقد ان الشركة لديها اي نية في سرقة اموال الزبائن, كان من الممكن القيام بهدا بطريقة اخرى بدل من كل هده الدراما التي اخافت المستخدمين وانا متأكد ان محافظ ليدجر الان تتعرض للافراغ على مدار اليوم وان طلبات الزبائن الجديدة قد انخضفت بشكل ملحوظ, وحتى الان لا يوجد اي تقرير عن اي سرقة من قبل فريق المحفظة, لهدا اكرر على عدم الحاجة للهلع والتسرع في نقل الامول من المحفظة لان التسرع قد يسبب لك فقدان اموالك اما عن طريق ارسالها الى محفظة اقل امانا بكثير او ارسالها الى عنوان خاطيء او او.

يجب على المستخدمين اولا توفير مصدر جديد لنقل اموالهم, الجلوس بكل ارياحية وتجهيز المحفظة ومن ثم اخراج الاموال من ليدجر بدون تسرع وخوف ونضبات قلب متسارعة.

اعتقد انه هده احد ضرائب استخدام برامج غير مفتوحة المصدر, فابرغم من ان ليدجر اتبت عبر السنوات انها أمن محفظة ضد الاختراقات وطالما فازت  على منافستها Trezor في مجال الحماية, الا اننا نتفاجاء الان من ان كل ماقالوه بخصوص ان المفاتيح لا يمكنها ان تغادر شريحة الجهاز كان مجرد كذب.

بصراحة الموضوع خطير وأصبح له تداعيات كبيرة وحديث مجتمع كريبتو كله في الأيام الماضية.

من ضمن الأخبار التي سمعتها عن ليدجر لكنني لست متأكد من صحتها أن هناك تعاون خفي بين ليدجر وCIA ، طبعا الأخبار تكثر في مثل هذه الأحوال والناس أصبح لديها نوع من عدم الثقة وخاصة بعد حادثة ChipMixer الذي كان أحد أكثر الخدمات مصداقية وموثوقية، والآن بدأت الشكوك تحوم حول ليدجر وتكثر الاخبار المشككة.

لذلك وبكل الأحوال الاحتياط والحذر واجب في مثل هذه الأوضاع.

الأمر فعلا يدعو للهلع مادام هناك شك باحد اكثر المصادر موثوقية في هذا المجال. جملتك الاخيرة تطرح العديد من الاسئلة في ذهن اي مهتم بالشأن. يعني على الاقل استطيع ان اخبرك ان من المهم جدا التحذير بعدم تنزيل اي من التحديثات و بالتالي لا يجب الوثوق بها و لك ان تتيل التاويلات التي يمكن ان تخطر بببالنا جميعا.

لقد زرت موقع ليدجر لمرات و كذلك قنوات التواصل معها و لم الاحظ انهم نشروا اي توضيح او اعلان. في حين تتواصل النقاشات هنا و هناك سواء هنا على المنتدى او على ريديت و كيورا و هذا ما يمكن ان يزيد من فزع المجموعة community.

في الحقيقة بصراحة فانا لا اصدق كثيرا و افقد الشغف في المنتجات التي يتهافت عليها الناس و التي يتم تصويرها كأنها موثوقة الف بالمائة. و واضح هنا كذب الشركة في خصوص نقاط مهمة كانت طلبت من المستخدمين الاطلاع عليها و الموافقة. مفترض ان يكون هذا محل تتبع عدلي على الاقل.

من يريد استخدام هدا التطوير هما الاشخاص الذين لايثقون في انفسهم في حفظ الseed الخاص بهم ويحتاجون لحماية اكتر في حال ضياع تلك البيانات, في حال الاشتراك في هده الخدمة هدا مايحدث:

يقوم المستخدم بالموافقة على الشروط وعمل KYC مع شركة ليدجر, يقوم البرنامج بتشفير ال seed وتقسيمه الى 3 اجزاء (داخل شريحة ليدجر وليس خارها يعني لا احد يرا كيفية التشفير), تم يقوم الجهاز بتحميل كل جزء الى 3rd party منفصل, لايمكن لاي احد من هاؤولاء الاتسفادة من تلك البيانات الا في حال جمعها مع بعضها البعض.

عندما تريد ان تستعيد ال seed عليك ان تتبت لي Ledger انك فعليا المالك باستخدام ال KYC وعندها سوف تطلب من الاطراف التلاتة ارسال تلك الاجزاء لمحفظتك الجديدة ويتم فك تشفيرها داخل الشريحة مجددا.

هنا, نظريا لا احد سوا ليدجر والمستخدم يمكنه الحصول على الاجزاء المشفرة معا, مما يعني انه عليك ان تتق في ليدجر كشركة, واعتقد انه هدا امر سيء نبسيا, الا انه ليس سيء جدا كما يصوره بعد منافسين ليدجر للحصول على مكساب تسوقية, ماتفعله Trezor من censorship هوا اسواء بكثير من وجهة نظري.

ولكن المشكلة هنا تكمن في "المبداء", وخصوصا بعد الtweet التي قالو فها انه "كان دوما من الممكن اطلاق تحديث للفيرم وير يمكنهم من الحصول على مفاتيح المحفظة الخاصة بك"

---

اما بخصوص هده الجزء


لقت اطلعت على هده المواضيع في السابق, واعتقد كاتب الموضوع لديه بعض من سوء فهم حول جملة (المفاتيح الخاصة لاتغادر شريحة الجهاز), اعتقد ان اساس سوء الفهم هوا مكان وجود البرنامج الذي يقوم بارسال البتكوين, الذي هوا فعليا موجود اصلا على الشريحة, لذلك كل البرامج المحملة على الجهاز لديها امكانية الوصول للمفاتيح الخاصة, البرامج مفتوحة المصدرة وتخضع للمراجعة, طبعا هدا لايعني انه لايوجد احتمالية ان يمر شي دون ان يلاحظه احد وتكون انت الضحية وتضيع اموالك, ولكن لا اعتقد انه يوجد حل جدري لهده المشكلة.

---

اما بخصوص هدا الجزء

ا
هنا مربط الفرس, الشركة تقول ان firmware update ضروري لتفعيل هده الخاصية, حاليا نحن نعرف ان اي ابديت يحتاج لموافقة مالك المحفظة عبر الظغط على ازرار المحفظة, اي انه "على الورق" لايمكن للشركة ان تقوم بتحديث الفيرموير من تلقاء نفسها, ولنفترض ان هدا صحيح وهوا على الاغلب صحيح, المشكلة الان, كيف نعرف ان الاصدارات السابقة لم تكن بها هده الخاصية اصلا نظرا لانه لايمكننا الاطلاع على كود الفيرم وير اصلا؟

اعتقد انه اولا, يجب على المستخدمين عدم تحميل اي تحديث, تانيا, البحث عن بدائل بدون تسرع وهلع, اعتقد ان هدا التحديث سيكون بداية النهاية لمحفظة ليدجر.

نعم اتذكر اخي اوميغا انك تحدثت عن هذا الموضوع سابقا و كيف انه لا يمكن الدفع الا عن طريق bitpay التي تفرض إثبات الهوية على مستخدمها. مما يعني ان هويتك ستكون معلومة لديهم و سيتم ربظطها بالجهاز الذي قمت باقتنائه.
الأمر الجيد هنا، اذا افترضنا ان كل شيئ يعمل كما هو مصمم له، ان الشركة حتى أن عرفت ما هو الجهاز الذي تمتلكه من المفروض انها لا تعلم ما هي محافظك و بالتالي ليس لديهم اي فكرة عن معاملات. اظف إلى ذلك أن هناك عديد الاشخاص الذين يقومون ببيع أجهزتهم و آخرون يشترون أجهزة مستعملة، مما يعني ان مستعمل الجهاز حاليا ليس بالضرورة هو من قام باقتنائه. لذلك لا أرى أن هذا الموضوع يشمل أشكال كبير بإستثناء اضطرارك لإثبات هويتك عند الشراء من الشركة لأول مرة بشكل مباشر.

شكراً لك على هذا الموضوع الهام أخى,

حقاً تحديث غريب قام به فريق محفظة ليدجر وهو على ما اعتقد فى محفظة Ledger Nano X وإصداره 2.2.1 ففريق المحفظة بهذا التحديث زادوا مخاوف الأشخاص وخالفوا مفهوم المحافظ البادرة التى تحفظ خصوصية مستخدميها وتحفظ العبارات السرية والتى لا يتم إخراجها مطلقاً من المحفظة ولا يوجد اى صلاحية لأى اطراف خارجية مهما كانت بالوصول اليها, الامر الخطير يكمن فى تفعيل مستخدم محفظة ليدجر للبرنامج الثابت Firmware من خلال تواجد امكانية تفعيل النسخ الاحتياطى سواء قام المستخدم بتفعليه وإعطائه الصلاحية ام لا,

صراحة ما آراه ان محفظة ليدجر الآن غير مناسبة وآمنة وتحمى خصوصية المستخدمين كما عهدناها  بعد خاصية Ledger Recover والتى تجعل المستخدمون يعرضون مستنداتهم القانونية وعباراتهم السرية وأصولهم للخطر والكشف والسرقة, فالافضل البحث عن بدائل مفتوحة المصدر غيرها سواء كانت محافظ ساخنة أو باردة.

بالطبع أخي السلوك الذي تمارسه الشركة في وجه مستخدمها من خلال التقرب من كشف الهوية الحقيقية لزبائنها هذا يعني بطريقة مباشرة أنهم ينتهكون الخصوصية لقد رأينا في السابق العمل الذي حدث مع شيب مكسر بحيث تم العثور على الأطنان من ملفات تم تخزينها بدون علم المستخدم، ربما في العاجل القريب سيتم إستدعاء الشركة للمثول أمام القضاء و قد يطلب منها الكشف عن المعلومات الشخصية لكل زبائنها و بعدها التحقق معهم.
أعتقد في هذه الحالة قد تفقد الشركة ثقة المستخدم مستقبلاً خصوصاً مع تباين معلومات تؤدي الشك فيها و هذا يعرضها لخطر الإفلاس. سيكون من الجيد لو قامت الشركة تغيير سلوكها نحو الأفضل من خلال التنحي عن هذه الأعمال المشبوهة.

في الحقيقة، هذه ليس المرة الأولى التي تقوم شركة ليدجر بأعمال تناقض فكرة 'الخصوصية' و محافظ 'non-custodial'. كأمثلة فقط:

ان حاولت اقتناء أحد أجهزتها، فسوف ترى أنه لا يمكن الدفع الا عن طريق طرق معينة (بالكريبتو نعم) التي هي على صلة تامة مع مكان ليس مكان تواجدك (يعني ليس بالأمر الذي يمكنك تغييره عن طريق تغيير IP) بل عن طريق عنوان الشحن الخاص، و في بعض الطرق (Bitpay ان لم تخني الذاكرة، يجب عليك تعرييف هويتك)

و ان أردت الدفع عن طريق Crypto.com Pay (بوابة الدفع الخاصة بالمنصة) فسوف تحتاج يجب عليك ان تكون من بعض بلدان الاتحاد الاوروبي (و بعض البلدان الاخرى)

أضف الى ذلك، أنه في أخر عروض ال black friday الاخيرة للشركة، فعوض اعطاء تخفييض للمستخدمين، قامت الشركة باطلاق حملة لاعطاء قيمة 30 دولار من البيتكوين لكل من يشتري جهاز من أجهزتها. المشكل هنا؟

1. يجب تعرييف هويتك
2. يجب عليك طلب 30 دولار عن طريق تطبيقهم الخاص (Ledger live)

يعني الظاهر لي هنا، هو أن الشركة تريد ربط هويات مستخدميها مع المحافظ بطريقة أو بأخرى و هو الذي أراه مخيفا ان كان صحيحا.

هذا هو التفسير المنطقي الوحيد فضلا عن العوائد من بيع الخدمة بما انها توفرها في شكل اشتراك ب10 دولار شهريا. و طبعا المستخدمون البسطاء سيثقون بما تنتجه الشركة بما انها توفر محفظات هاردوير متفق على نزاهتها. يعني في هذه الحالة فان من يتمتع بهذه الخدمة كأنه وضع امواله في محفظة على منصة مركزية مثل مواقع تداول العملات المشفرة مثلا مع خاصية الوصول الى المفاتيح الخاصة و التي بكل الاحوال تشاركها معك المنصة نفسها.

مع تتالي حالات التهكير و تطور طرق الوصول الى المفاتيح الخاصة بغاية السرقة، فالاكيد ان سوق محفظات الهاردوير ازدهر مؤخرا و المعروف ان محفظة ليدجر هي الاشهر بينهم جميعا و ستحصل على عدد مستخدمين اكثر. الى حد الان لم يتم رصد حالات تشكيات من الوظائف التي تستطيع المحفظة تأيدتها خصوصا ان الكود الخاص بها مفتوح المصدر.
أنصح الجميع باقتناء محفظة هاردوير و لضمان امان اكثر يمكن استعمالها من خلال الربط مع محفظة الكتروم و الاحتفاظ بكلمات البذرة في مكان امن و بطريقة امنة دون ان تتم مشاركتها مع اي جهة مهما كانت موثوقة حتى لو كانت الجهة المصنعة للمحفظة نفسها.

أنت على صواب يتم شراء هذه الأجهزة من أجل تخزين الأموال بشرط أن لا يمكن الوصول إلى بذور الإسترجاع كما أننا نعلم جيداً الخصوصية في هذا المجال تقتصر سوى على عدم مشاركة معلومات المحفظة مع الغير.
ربما هذه الحيلة يمكن إستخدامها من جانب الشركة مستقبلا خصوصا المحافظ النائمة لعقود من السنوات من خلال متابعة معاملات لعناوين هذه المحفظة. قد يكون هذا السيناريو تم التخطيط له من طرف الشركة.

شكرا أوميغا على التوضيح. لم اكن اتوقع ان يتم توفير خاصية بهذا الشكل لانها ستنزع جزءا من الحماية التي من المفترض ان توفرها المحفظة. يعني لماذا سياجأ مستخدم لهكذا خاصية مع محفظة مفترض ان نمتلكها كي لا يكون لاي طرف ثالث امكانية التعامل معها باي شكل. يعني ما الغاية التي يمكن ان تقدمها هذه الخاصية او الخدمة من وسيلة مفترض ان تغنيني عن هذه الخدمة التي مفترض ان استعملها حين تضيع مني كل مفاتيح الخاصة؟

الامر الثاني الغريب هو ان الشركة تتمتع بسمعة افضل من منافستها Trezor التي تتقاسم معها السوق تقريبا (هناك طبعا شركات اخرى توفر ماركات اخرى) و صدور اخبار من هذا النوع قادر على تراجع القيمة السوقية للشركة مما يعني ارتفاعا في قيمة ارباح المنافسين. و نظرا لحساسية المنتوج فانه لن يكون مستغربا ان تتسبب اخبار كهذه في انهيار كامل الشركة خصوصا اذا واصلت الشركة عدم تقديم ايضاحات تريح المستخدمين .

كل شيء وارد يمكن للشركة الوصول إلى معلومات المحفظة حسب ما تم توضيحه من الأخ أوميغا نظراً أن الشركة لا تشارك المعلومات الأساسية حول الجهاز. لهذا من الأفضل إختيار محافظ مفتوحة المصدر كما أشار إليها الأخ خالد.
من الجيد عدم الثقة في جهة تحمل بعض الصفات الغامظة و لا تشاركها مع الزبائن.

نعم جزاك الله خيرا أخي أوميغا على التوضيح.
نعم هذه هي النقطة الأكثر خطورة التي كنت أريد التحدث عنها، يعني ماذا لوقامت الشركة نفسها بذلك دون علم المستخدم، أو على الأقل يمكن أن يكون هناك بعض الموظفين الفاسدين الذين يمكن أن يصلوا لهذه الخدمة واستغلالها لصالحهم، أعتقد أن هذا شيء بغاية الخطورة وسيؤثر سلبا على سمعة ليدجر.

الخاصية تسمى "Ledger recover" (9.99 دولار للشهر) و الهدف منها هو مساعدتك على استرجاع البذرة الخاصة بك في حال خسارتك للجهاز  مثلا. اضف الى أن هذه الخاصية تحتاج الى KYC

مازال من المبكر القول ما اذا هذا كان مشكلا كبيرا ام لا (لكن الظاهر أن الشركة كذبت) كما هو واضح في عدة مقالات[1][2]

الشركة تقول أن هذه الخاصية يمكن تفعيلها أو ابطالها عن طريق المحفظة الخاصة بهم (Ledger live) لكن المشكل (على حد فهمي) هو ان كان من الممكن لهم القيام بهذا بموافقة المستخدم، فيمكنهم القيام بهذا من دون موافقته أيضا.

على أي، يبدو أن العديد من شركات محافظ الهاردوير قد أطلقت حملات ترويجية للاستفادة مما يحدث حاليا.

لا أعتقد أن محفظة Ledger سوف تتمكن من الصمود في المستقبل الى في حال قررو فتح مصدر ال hardware, firmware و software بشكل كامل.

[1] https://www.reddit.com/r/ledgerwallet/comments/13jhbya/comment/jkgznz6/
[2] https://www.reddit.com/r/ledgerwallet/comments/13jvlck/trust_is_gone/

لم أفهم صراحة ما الغاية من إرسال البذرة إلى أطراف أخرى؟ يعني هل تعتبر هذه ميزة وما الفائدة منها؟
أيضا إذا كان من الممكن إرسال البذرة فهذا يعتبر ثغرة خطيرة برأيي لأنه من الممكن أن يتمكن الهاكرز مثلا من إنشاء فيروسات تقوم بإرسال البذرة إليهم بطريقة ما، أو اعتراض هذه البذرة أثناء إرسالها إلى طرف آخر.

لم أستوعب صراحة ما الفائدة من هذه الميزة ولماذا يريد شخص أن يرسل بذرة محفظته الخاصة إلى أطراف أخرى.

هذا يذكرني بقصة تم كتابتها هنا في المنتدى عن شخص يقوم بفك محافظ ليدجر وزراعة برامج خبيثة فيها ثم بيعها أو توصيلها مجانا بحجة استبدال المحفظة القديمة بواحدة جديدة من الشركة مجانا، لكن في النهاية تم اكتشاف أن هذه المحافظ تم فكها وتوصيل قطعة بداخلها تحوي برنامج خبيث يقوم بإرسال البذرة إلى هذا الهاكر فور إنشائها.

حسب فهمي للخبر فإنه يتم ارسال جزء من البذرة بشكل مشفر!!
بالنسبة لي، رغم ان ما تم التصريح به لا يشمل اي خطر، لكن كون الشركة اخفت هذا الأمر في حد ذاته يعني انه لا يجب الثقة فيها.

قناعتي، المحافظ المفتوحة المصدر مثل الكروم افضل الف مرة من المحافظ الملموسة.

لقد قامت منذ ساعات شركة ليدجر (التي تنتج محافظ الهاردير) بتحديث جديد في محفظتها و المخيف في الأمر، أن التحديث يتيح لهم ارسال البذرة الخاصة بك الى أطراف أخرى في حال اختيارك لذلك.

هذا ليس مجرد تخمين، لكنه تصريح أحد مدراء الشركة:


على حد فهمي (و قد أكون مخطئأ) لكن حتى ان كانت البذرة مشفرة كما زعم المدير، هذا مازال يعني أنه يمكن للبذرة مغادرة الجهاز و هو عكس ما كانت تزعمه الشركة في الماضي.