اختراق محفظة Coldcard: سرقة 1,359 بيتكوين في أكبر عملية سطو على بيتكوين خلال 2026

ذكر تقرير BlockBeats بتاريخ 3 أغسطس أن أحدث البيانات تشير إلى سرقة 1,359 بيتكوين في حادثة اختراق محافظ الأجهزة Coldcard. وأفاد مستخدمون أيضاً بمشكلات بعد تثبيت التحديثات، منها توقف الأجهزة عند صفحات خطأ، أو الفشل في الإقلاع، أو ظهورها وكأنها تعطلت بالكامل. وبذلك تُعد الحادثة أكبر سرقة بيتكوين هذا العام. وجمعت BlockBeats تسلسلاً زمنياً للأحداث: تُظهر التحليلات أن شيفرة برمجيات Coldcard الثابتة (Firmware) المخترَقة نُشرت في مارس 2021. وظلت الثغرة موجودة في الشيفرة مفتوحة المصدر لأكثر من خمس سنوات، وأثّرت في توليد عبارات الاسترداد (Seed) على أجهزة Mk3 (وبعض أجهزة Mk2)، كما طالت طرازات Mk4 وQ وMk5 قبل إصدار الإصلاح. استمرت الهجمات واسعة النطاق التي استغلت الثغرة حتى 30 يوليو 2026. وخلال نحو 25 إلى 41 دقيقة، نفّذ المهاجمون عمليات سحب آلية استهدفت مئات إلى آلاف العناوين. في البداية، جرى الإبلاغ عن اختراق قرابة 500 محفظة أحادية التوقيع و1,324 مخرجاً غير منفَق (UTXO) بإجمالي يقارب 594.5 بيتكوين. ولاحقاً وسّعت تحليلات السلسلة نطاق التقديرات إلى نحو 1,196 عنواناً و1,082.65 بيتكوين (بقيمة تقارب 70.2 مليون دولار). وبيّنت البيانات على الشبكة أن الهجوم ركّز على العناوين الأكبر رصيداً، واستخدم رسوماً مرتفعة وثابتة، ولم ينتج مخرجات "فكة" (Change)، ما ساعد على دمج الأموال سريعاً في عدد محدود من العناوين. في ما بعد، أصدرت Coinkite، مطوّرة Coldcard، نشرة أمنية أكدت مبدئياً أن خلل توليد الـSeed يؤثر في أجهزة Mk3 (البرمجيات الثابتة 4.0.1 وما بعدها)، ودعت المستخدمين المتأثرين إلى ترحيل محافظهم بحذر، ورجّحت أن المهاجمين ربما استخدموا الذكاء الاصطناعي لمراجعة الشيفرة المفتوحة المصدر وتحديد الثغرة. وبحسب أليكس ثورن، رئيس أبحاث Galaxy، في 2 أغسطس، فإن الهجمات المرتبطة بمحفظة Coldcard ما زالت في طور التطور، مع ظهور مهاجمين أصغر ومقلّدين يستهدفون عبارات الاسترداد المتبقية لمحافظ Coldcard. وأثارت الواقعة اهتماماً واسعاً. إذ قال إريك بالتشوناس، كبير محللي صناديق ETF في بلومبرغ، إن فريق Coldcard يضم خمسة موظفين فقط، وهو عدد مفاجئ لشركة بهذا الوزن. وعلّق CZ: "في نموذج الحفظ الذاتي، حتى لو أصلح المطوّرون الثغرة فلن يتمكنوا من إصلاح المحافظ التي أُنشئت بالفعل؛ ومع الأجهزة المعزولة لا يمكن للمطوّرين التواصل مباشرة مع المستخدمين أو تنبيههم. ما لم يبادر المستخدمون بإجراءات استباقية، قد تبقى المحافظ المتأثرة مكشوفة لمخاطر الهجوم. أنا أدعم الحفظ الذاتي، لكن هذا يعني أيضاً أن المستخدم يتحمل المسؤولية الكاملة عن أمنه". ومع احتمال ارتباط الحادثة باستخدام الذكاء الاصطناعي في اختراق أجهزة تشفير، بادرت منصة الحفظ المؤسسي BitGo بخطوة قالت إنها تهدف إلى دعم سمعة القطاع. ففي 1 أغسطس، أودع الرئيس التنفيذي مايك بيلشي 100 بيتكوين في عنوان بيتكوين متاح للعامة، ودعا نموذج Claude التابع لـAnthropic لمحاولة تحويل الأموال. وتعتمد المنصة تقنية تعدد التوقيعات أو الحوسبة متعددة الأطراف (MPC) لتوزيع صلاحية التوقيع عبر مفاتيح مستقلة متعددة. وحتى 2 أغسطس، لم تصدر Anthropic رداً علنياً على التحدي. وعلى وقع التطورات، ظل بيتكوين تحت ضغط منذ يوم 31، متراجعاً من 65,000 دولار إلى 63,000 دولار.