احتفظ جوناثان غودمان بـ 18.25 BTC على جهاز Coldcard لم يلامس الإنترنت قط، مغلقًا في صندوق أمان. بين الساعة 9:36 مساءً و9:43 مساءً في 29 يوليو، تم تفريغ جميع المحافظ التي كان يمتلكها — حوالي 1.6 مليون دولار كندي، اختفت في سبع دقائق.
ربما يكون أصعب جزء في هذا أنني فعلت كل شيء بشكل صحيح"، كتب رائد الأعمال الكندي على X في منشور جذب 7.6 مليون مشاهدة. "لم أشارك مصطلحاتي السرية مع أي شخص أبدًا. لم تتصل أجهزتي بالإنترنت أبدًا. تم الاحتفاظ بكل شيء في خزائن وأدراج أمان متعددة. لم يُعد أي من ذلك ذا أهمية."
حساب جودمان هو واحد من العشرات التي تملأ X و subreddit البيتكوين منذ ظهور Coldcard exploit في 30 يوليو، ويشتركون في عبارة واحدة: الضحايا اتبعوا خطة التخزين الذاتي. قاموا بشراء محفظة أجهزة من شركة موثوقة، وولّدوا المفاتيح بشكل غير متصل، ونسخوا النسخ الاحتياطية على الفولاذ، ولم يكتبوا أبدًا عبارة المفتاح على جهاز متصل.
عيب في البرنامج الثابت جعل البذور التي ينشئها Coldcard قابلة للتخمين، مما جعل كل شيء باطلاً — حيث قام المهاجمون بسرقة حوالي 1,816 BTC، ما يعادل حوالي 114 مليون دولار، من أكثر من 5,200 عنوان عبر أربع موجات من السرقات المنسقة.
قال غودمان إنه تعلم عن الاختراق بعد أيام، في كوته، وتحقق من أرصدة متوقعاً عدم وجود شيء. "رأيت على الفور خطوطاً من المعاملات الحمراء—السحب—and عرفت"، كما كتب. وهو يقدم تقريراً للشرطة وتقريراً إلى لجنة الأوراق المالية في أونتاريو، لكنه لا يتوقع استرداد أي شيء.
سباق ضد اللصوص
بما أن العيب يسمح للمهاجمين بنسخ المفاتيح الخاصة، فإن المستخدمين المتأثرين ليسوا مجرد ضحايا سرقة سابقة — بل هم في سباق فعلي لنقل العملات قبل وصول المهاجمين إليها. وخسر بعضهم هذا السباق بساعات.
كان تيم لامب في إجازة عائلية عندما انفجرت أخبار الاختراق يوم الجمعة. كانت وحدة Coldcard Mk3 وصفيحة البذور مخزنة في المنزل. "لم يخطر لي ببال أن أطلب من جاري الذي يملك مفتاح المنزل أن يبحث عن البذرة لي إلا مساء السبت،" كما كتب على X. بحلول صباح الأحد، عندما وجد الجار الصفيحة وأعاد لامب تفعيل المحفظة، ظهر الرصيد صفرًا. تم سحب 2 BTC في ظهر يوم السبت.
كان من المفترض أن يكون هذا البيتكوينان مخصصين لتقديمهما إلى طفليَّ لمنحهما بداية جيدة في الحياة. يجعلني أبكي عندما أفكر في ذلك،" كتب لامب، وأضاف: "@Coinkite، إذا كان هناك أي عدالة، فسيكون عليكم دفع أموالنا لنا مرة أخرى."
مُستخدم بيت كوين مجهول الهوية ينشر باسم ماريوس أوف تشين قال إن صديقًا لا يملك وصولًا إلى جهازه تعرض لاستنزاف محفظته Mk2 صباح الأحد، حيث تم دمج الأموال مع 890 مدخلًا آخر في عنوان واحد يحتوي على 64 بيتكوين.
أنتج الفوضى نصيحة محبطة من مطور Bitcoin Core لوك داش جر، الذي كتب: "هذا مأساة. إذا لم تستطع الوصول إلى جهاز Coldcard الخاص بك، فابحث عن شخص يمكنه ذلك. حتى لو لم تثق به بادخارك الحيوي، فإن أسوأ السيناريوهات هو على الأقل أنك ستعرف من أخذه!"
8 سنوات من التجميع، ذهبت
القصص على ريديت تُروى بصدق. "إن ريديت البيتكوين حزين للغاية في الوقت الحالي. لقد دُمّر الكثير من الناس،" كتب المستثمر المجهول زينكس في منشور شوهد 3.6 مليون مرة.
في منشور واحد على r/Bitcoin حظي بمشاركة واسعة بعنوان "8 سنوات من التراكم، ذهبت. أعتقد أن الوقت قد حان للانتقال"، وصف مستخدم يُعرف باسم DuckDuckMoss تجميعه لـ 2 BTC للهروب من عملة متضخمة في بلد خاضع للعقوبات. "أنا في 39 من عمري، وكنت أتمنى أن أمتلك مخزونًا ماليًا جيدًا قبل بلوغي 50. لكن اليوم، تم تفريغ 2 BTC الخاصة بي،" كتب. "ظننت أنني آمن لأن Cold Card كان دائمًا يُشار إليه كواحد من أفضل المحافظ وأكثرها أمانًا." ينتهي المنشور بإنكار: "أنا انتهيت من البيتكوين. حتى أنني لست متأكدًا إن كنت لا أزال أؤمن به. ربما كان ينبغي لي أن أحول كل شيء إلى صندوق استثماري للبيتكوين عندما أُطلق."
مستخدم آخر، نشر باسم Schtuff، قال إنه كان يدخر منذ عام 2015 وطَبَعَ مفتاحه على لوح فولاذي. "تم أخذ مدخراتي الحياتية مني اليوم. لا أعرف ماذا أفعل، أنا مُحْتَار."
الهروب من الخطة
للمستخدمين الذين حفظوا عملاتهم الرقمية، فإن هذه الحلقة تعيد تشكيل طريقة احتفاظهم بها — غالبًا بطرق تتعارض مع المبادئ السائدة للتخزين الذاتي. مستخدم قام بالنشر باسم ACEIN، والذي كان يحتفظ بادخاره التقاعدي في Coldcard Mk4، وصف أنه كان خارج المدينة لحضور مؤتمر، وقام بتنزيل BlueWallet — محفظة ساخنة محمولة — واستيراد الكلمة السرية المكونة من 12 كلمة، وإرسال كل شيء إلى Coinbase بعد إجراء معاملة تجريبية. الخطوة التالية هي اختيار بين إعداد متعدد التوقيعات، أو Block's Bitkey، أو بيع البيتكوين مقابل صندوق IBIT ETF الخاص بـ BlackRock. "ما زلت غير متحدد."
كالي، المطور المجهول لهوية بروتوكول Cashu للنقود الإلكترونية، وصف الاستغلال بأنه "أسوأ من أي اختراق سابق لبورصة بيتكوين"، وكتب أن العديد من المستخدمين المتضررين لن يسمعوا عن الحادث في الوقت المناسب للرد. "أنا حزين حقًا لكل من تأثر، خاصة أولئك الذين قد خسروا مدخراتهم الحياتية. أسوأ جزء هو أنهم فعلوا كل شيء بشكل صحيح."
أنا آسف وأنا مُدمَّر
أصدرت شركة Coinkite المصنعة لجهاز Coldcard تحديثًا ثابتًا للبرمجيات لكل الطرازات، وأوقفت الشحنات ودمرت المخزون المتبقي الذي يحتوي على البرمجيات المتأثرة. "أنا آسف وأنا مُدمَّر. فريقنا مُحطم بسبب أخبار الأمس،" كتب المدير التنفيذي رودولفو نوفاك، المعروف باسم NVK، في رسالة مفتوحةopen letter، وحث أي شخص قام بإنشاء مفتاح على جهاز Coldcard على نقل أمواله فورًا.
لم تُعالج الرسالة السؤال المعلق على منشورات مثل لامب: هل سيُعوّض كوينكيت المستخدمين الذين فقدوا عملاتهم بالفعل؟