Galaxy Research تؤكد سرقة 1,367 بيتكوين عبر هجوم على برمجيات Coldcard Mk3

كان يُفترض أن تكون المحافظ الصلبة "Hardware wallets" خزنةً للأصول، لا نقطة ضعف. لكن خللًا برمجيًا في برنامج تشغيل أجهزة Coldcard Mk3 قلب هذه القاعدة، إذ أكدت Galaxy Research أن 1,367.05 BTC، بقيمة تقارب 88.6 مليون دولار، جرى الاستيلاء عليها عبر ثلاث موجات هجوم منسقة استهدفت 4,585 عنوانًا متأثرًا. حجم الخسائر جاء أكبر بكثير من التقديرات الأولية التي أشارت إلى نحو 594 BTC من قرابة 500 عنوان. تحليل Galaxy على السلسلة ضاعف الرقم تقريبًا، ما يعكس هجومًا أوسع وأكثر منهجية مما كان مُعتقدًا. أكبر موجة وقعت في 30 يوليو 2026، وبوتيرة لافتة: المهاجمون جمعوا 1,082.65 BTC (نحو 70.2 مليون دولار) خلال 41 دقيقة فقط. وأفادت Galaxy بأن الموجتين الأولى والثانية حملتا بصمة معاملات شبه متطابقة، أبرزها رسوم ثابتة مبرمجة عند 30 sat/vB ونمط تجميع "batching" مماثل، ما يرجّح وجود مشغّل واحد أو أداة واحدة على الأقل. الموجة الثالثة خرجت عن هذا النسق، وهو ما قد يشير إلى طرف مختلف أو تغيير متعمّد في التكتيك. الأموال المسروقة لم تُحرّك إلى حد كبير حتى الآن، إذ ما زالت عملات البيتكوين مكدّسة في عدد محدود من العناوين التي يسيطر عليها المهاجمون. جذر المشكلة: عشوائية يمكن التنبؤ بها الخلل يعود إلى أن برمجيات Coldcard Mk3، بدءًا من الإصدار 4.0.1 وما بعده (أُدخلت في مارس 2021)، تسببت في أن مولد الأرقام العشوائية "RNG" ينتج مخرجات ضعيفة ويمكن التنبؤ بها. ونتيجة لذلك، لم تكن "seeds" المولدة عشوائية فعليًا، ما أتاح لمهاجم يمتلك قدرة حوسبية كافية تعداد احتمالات "seeds" دون اتصال بالإنترنت ومطابقتها مع عناوين حقيقية على البلوك تشين، ثم سحب الأموال من عناوين التوقيع الواحد "single-signature" من دون الحاجة إلى الوصول الفعلي للجهاز. ويُنسب لفريق الهندسة في Block أنه أول من كشف علنًا عن مشكلة "RNG". كما أصدرت Coinkite، الشركة المطوّرة لـ Coldcard، تنبيهًا بعد نحو 30 ساعة من بدء عمليات السحب الأولى. ولا يبدو أن أجهزة Coldcard Mk4 وQ وMk5 متأثرة بالخلل نفسه. وتوصي الإرشادات المستخدمين الذين يحتفظون بأموال على محافظ Mk3 المخترقة بإنشاء "seed" جديدة بالكامل على الطرازات الأحدث غير المتأثرة، بدلًا من الاكتفاء بتحويل الأرصدة داخل الجيل نفسه من الأجهزة. دلالات أمنية للمستثمرين وحاملي البيتكوين سلوك الرسوم في الهجوم لافت أيضًا. فمعدل 30 sat/vB الثابت المستخدم في الموجتين الأولى والثانية كان أعلى بنحو 30 إلى 75 مرة من الرسوم المتوسطة في ذلك الوقت، وفقًا لنتائج Galaxy، ما يدل على استعداد المهاجمين لدفع تكلفة مرتفعة لضمان تأكيد سريع للمعاملات. بالنسبة لحاملي البيتكوين النشطين، يبقى السؤال: هل هناك تعرّض للخطر؟ أي مستخدم يعتمد جهاز Coldcard Mk3 يعمل ببرمجيات بدءًا من الإصدار 4.0.1 ينبغي أن يتعامل مع "seed" الحالية على أنها قد تكون مكشوفة، وأن ينقل أمواله إلى محفظة جديدة مُنشأة حديثًا على جهاز غير متأثر. الخطوة العملية الأولى هي مراجعة تاريخ إصدار البرمجيات ومطابقته مع تنبيه Coinkite.