Galaxy Research تكشف سرقة 70 مليون دولار من محافظ بيتكوين باردة عبر استغلال ضعف توليد البذرة

عادةً ما ترتبط اختراقات التشفير بسرقة المفاتيح الخاصة عبر التصيّد أو البرمجيات الخبيثة أو الاستيلاء على محافظ الأجهزة. تقرير جديد من Galaxy Research يعرض سيناريو مختلفاً: مهاجم تمكن من سحب أكثر من 1,000 BTC، تُقدَّر بنحو 70 مليون دولار، من قرابة 1,200 محفظة باردة من دون لمس أي جهاز. العملية لم تعتمد على ثغرة في العتاد أو اختراق شبكة، بل استهدفت عنصراً أساسياً في إنشاء المحافظ: جودة العشوائية المستخدمة عند توليد "البذرة". تحقيق Galaxy يشير إلى أن ضعف توليد البذور أتاح للمهاجم إعادة إنشاء المفاتيح الخاصة offline. وبعد إعادة بنائها، أصبح بالإمكان تجميع الأرصدة عن بُعد بمجرد مراقبة البلوكتشين. المحافظ بقيت سليمة مادياً: لا جهاز تم اختراقه، ولا مستخدم ضغط رابطاً خبيثاً. كانت السرقة "ضربة رياضية" استغلت نقص الإنتروبيا. كيف تم الهجوم دون وصول مادي تُعد المحافظ الباردة معياراً ذهبياً للحفظ الذاتي لأنها تحفظ المفاتيح على أجهزة معزولة. هذه الفرضية تنهار إذا كانت عبارة البذرة—النسخة القابلة للقراءة البشرية لاستعادة المحفظة—قد أُنشئت عبر مولد أرقام عشوائية يمكن التنبؤ به أو منخفض الجودة. عندها يستطيع المهاجم حساب مفاتيح محتملة offline، ثم تمشيط سجل بيتكوين بحثاً عن عناوين مطابقة وسحب الأرصدة قبل الانتباه. Galaxy Research لم تكشف أسماء المحافظ المتأثرة ولا الطريقة الدقيقة التي استخدمها المهاجم لتحديد البذور الضعيفة. النتيجة الأبرز أن المهاجم قد يواصل البحث بلا حدود زمنية تقريباً عبر المسح عن محافظ أخرى تم إنشاؤها ضمن ظروف إنتروبيا معيبة مماثلة، ما يعني أن إجمالي المسحوبات قد يتجاوز 70 مليون دولار المرصودة حتى الآن. الفارق الضئيل بين الأمان والإنتروبيا توليد البذور غالباً ما يُعامل كتفصيل ثانوي لدى المستخدمين وحتى المصنعين. بعض المحافظ تعتمد على مولدات شبه عشوائية مُغذاة ببيانات من حساسات الجهاز أو توقيت إدخال المستخدم أو مصادر عشوائية مدمجة في العتاد. إذا كانت هذه المصادر قابلة للتنبؤ أو منحازة، تصبح المفاتيح الخاصة قابلة للتخمين. يستطيع المهاجمون تجهيز جداول ضخمة مسبقاً لاحتمالات مفاتيح ناتجة عن بذور ضعيفة، ثم أتمتة عملية اكتشاف العناوين وسحب الأرصدة. خلاصة البحث تؤكد أن الحفظ الذاتي قد يحمل مخاطر غير مرئية لمعظم المالكين: قد يكون الجهاز مقاوماً للعبث المادي لكنه ما زال ينتج مفاتيح غير آمنة. أمن بيتكوين لا يتجاوز قوة الإنتروبيا خلف أزواج المفاتيح. المشكلة ليست جديدة—سبق أن تسببت العشوائية الضعيفة في اختراق محافظ إيثريوم—لكن اللافت هنا هو الحجم والتركيز على التخزين البارد. تداعيات تنظيمية وصناعية مع استمرار النقاشات التشريعية حول الأصول الرقمية، قد تعيد مثل هذه النتائج تشكيل الحوار بشأن معايير حماية المستهلك للبنية التحتية للمحافظ. وفي واشنطن، يتزامن ذلك مع معركة سياسية بعنوان "Banks Are Trying to Kill the Biggest Crypto Bill in US History Four Days Before the Senate Vote"، وقد تعزز حوادث مثل سحب 70 مليون دولار المطالب بوضع متطلبات أمنية أساسية لبرمجيات المحافظ. ورغم أن قطاع التشفير يميل لمقاومة التنظيمات الإلزامية المتعلقة بالحفظ الذاتي، فإن تزايد السرقات المرتبطة بعيوب التنفيذ قد يغيّر ميزان المواقف. بالنسبة لمزوّدي المحافظ، يضع التقرير عبئاً إضافياً على الشفافية حول مصادر الإنتروبيا وتدقيقات توليد البذور. المستخدمون لا يملكون وسيلة موثوقة للتحقق من أن "العشوائية" التي ينتجها الجهاز عشوائية فعلاً. تظل المراجعات الأمنية المستقلة والتصاميم مفتوحة المصدر من أكثر وسائل الدفاع مصداقية، لكن تبني معايير أفضل يسير ببطء. ما الذي ما زال ينقص السوق امتناع Galaxy عن تسمية العلامات المتضررة يترك المستخدمين في حالة عدم يقين بشأن تعرض أجهزتهم للخطر، ويثير تساؤلات حول الإفصاح المسؤول وجدول الإصلاحات العامة. التقرير لم يوضح أيضاً ما إذا كان المهاجم استغل مصدر إنتروبيا ضعيفاً واحداً عبر محافظ من شركات مختلفة، أم أن المشكلة محصورة في طراز محدد. غياب هذه التفاصيل يجعل النصيحة بتدوير البذور أو استبدال الأجهزة صعبة الضبط. الحادثة تبرز كذلك مشكلة أعمق: حيازات بيتكوين على السلسلة التي لا تتحرك تصبح هدفاً سهلاً لهجمات حسابية كلما توافرت للمهاجمين الموارد والوقت. ومع تطور الحوسبة الكمية وقدرات كسر الشفرات بالقوة الغاشمة، سيضيق الفارق بين الأمان النظري والضعف العملي. تقرير Galaxy رسالة واضحة بأن إخفاقات الإنتروبيا تُستغل بالفعل على نطاق كبير اليوم، وليس في مستقبل بعيد.