يواجه مستخدمو Coldcard الموجة الرابعة من السرقات المنظمة، والأرقام لم تعد أخطاء تقريبية. وقد أشار أليكس ثورن، رئيس البحث في Galaxy Research، إلى موجة جديدة من النشاط الخبيث سرق حوالي 388.9 BTC من 462 عنوان ضحية في فقط 14 كتلة—بين 960,778 و960,792. وأنتج الهجوم 218 معاملة نقلت البيتكوين إلى 216 وجهات لم تُرَ من قبل. وارتفع حجم المعاملات إلى حوالي 45 مرة عن المستوى الأساسي السابق، تاركًا القليل من الشك أن هذا كان عملية متعمدة ومنسقة.
جاء التحذير عبر التقرير الأصلي، والذي يلاحظ أيضًا أن بعض الأموال المسروقة تم تتبعها بالفعل إلى عناوين من الدرجة الثانية. لا تزال المعاملات المماثلة معلقة في الميمبول، مما يشير إلى أن عملية السحب لم تُكتمل بالكامل. تُظهر النشاطات المؤكدة على السلسلة تفعيلًا مُعلنًا لخيار استبدال بالرسوم (RBF)، وهي تفصيلة قد توفر مسار هروب ضيق للضحايا الذين يتصرفون بسرعة.
موجة الهجوم الأخيرة
ما يميز هذه الموجة عن السرقة الانتهازية هو السرعة والتنسيق. تم استهداف 462 عنوانًا في نافذة زمنية ضيقة، مع تحويل الأموال إلى وجهات لم تُستخدم من قبل. هذا النمط—عناوين جديدة، تجميع عالي السرعة، وحجم أعلى بكثير من المعتاد—يشير إلى برامج مُعدة مسبقًا بدلاً من فاعل يدوي. وقعت السرقة في عطلة نهاية الأسبوع، عندما قد لا يكون العديد من المستخدمين يراقبون المعاملات. لاحظت Galaxy Research أن بعض الأموال تم بالفعل نقلها إلى محافظ من الدرجة الثانية، مما يعقد جهود التتبع والتعقب ويجعل الاسترداد غير محتمل دون تدخل فوري.
يقدم علم RBF خط إنقاذ، لكنه مخصص فقط لمن يلاحظون الهجوم بينما لا تزال معاملاتهم قابلة للاستبدال. يمكن للمستخدمين الذين لديهم معاملات صادرة معلقة وغير مؤكدة لم تُبث برسوم منخفضة أن يُسرّعوا معاملة منافسة إلى عنوان آمن. إنها نافذة ضيقة، وتتطلب وعياً تقنياً. بالنسبة لمعظم الضحايا، فإن الأموال قد اختفت بالفعل.
نمط السرقة المنظمة
هذا ليس أول رحلة لمالكي Coldcard. وفقًا لـ Galaxy Research، حددت الموجات السابقة ثلاث حملات هجوم منفصلة تستهدف عناوين تم إنشاؤها بواسطة Coldcard. وخلال هذه الموجات، سحبت ما مجموعه 1,367.05 BTC من 4,585 عنوانًا—بقيمة حوالي 88.6 مليون دولار في وقت السرقات. ودفعَت الحوادث السابقة Coldcard إلى الاعتراف بثغرة في البرنامج الثابت تسمح للمهاجمين باشتقاق المفاتيح الخاصة من البذور التي تم إنشاؤها على الأجهزة المتأثرة.
أوقف مُصنّع الأجهزة الشحن ودمر جميع أجهزة COLDCARD المتبقية التي تحتوي على البرمجيات الضعيفة. ولم تتأثر منتجات Satscard وOpendime وTapsigner. أصدر Coldcard تحديثًا للبرمجيات يحمي البذور المولدة حديثًا، لكن التصحيح غير رجعي. أي بذرة تم إنشاؤها على البرمجيات الضعيفة لا تزال معرضة للخطر. نصيحة الشركة واضحة: أنشئ بذرة جديدة على البرمجيات المُصلحة وانقل جميع الأموال من البذور القديمة فورًا. تُظهر الموجة الرابعة أن العديد من المستخدمين لم يفعلوا ذلك بعد، والمهاجمون يستغلون هذه التراخي منهجيًا.
رد Coldcard وإرشادات المستخدم
قرار Coldcard بوقف الشحنات وتدمير المخزون كان خطوة جذرية ولكنها ضرورية نادرًا ما تتخذها شركات الأجهزة الأخرى علنًا. وقد أشار هذا إلى أن الثغرة ليست حالة طرفية نظرية. لكن نشر التصحيح يكشف عن الاحتكاك الكامن في التخزين الذاتي. يجب على المستخدمين إنشاء عبارة بذور جديدة، وهي عملية تفرض تغييرًا كاملاً في عناوين المحافظ وغالبًا ما تتطلب تحديث المحافظ البرمجية المتصلة، وإعدادات التوقيع المتعدد، وإجراءات النسخ الاحتياطي. هذا الانتقال ليس تافهًا، وموجات الهجوم المستمرة تعاقب أي شخص تأخر.
لمن لا يزال يحتفظ بالأموال على بذرة نشأت من البرنامج الثابت المعرض للخطر، فإن نصيحة Galaxy Research عاجلة: انقل الأموال من أجهزة Coldcard الآن، واستخدم رسومًا أعلى من المعتاد لدفع المعاملات، واستغل RBF إذا كان محفظتك تدعمه. يشير استنزاف العناوين في الموجة الرابعة إلى أن المهاجمين يراقبون بنشاط الشبكة بحثًا عن الأرصدة المتبقية.
الآثار الأوسع للاحتفاظ الذاتي
حلقة Coldcard لا تتعلق فقط بعيب في الأجهزة—بل تكشف عن مخاطر سلسلة التوريد ودورة الحياة المضمنة في التخزين الذاتي. يثق المستخدمون في البرمجيات الثابتة التي تُشحن من المُصنّع، وحتى عمليات التحقق المفتوحة المصدر يمكن تخطيها. عندما يظل عيب في توليد البذور غير ملحوظ لشهور، فإن التنظيف اللاحق يكون فوضويًا وبطيئًا. حقيقة أن أربع موجات هجوم مختلفة يمكن أن تحدث، كل منها على بعد أشهر، تشير إلى أن المهاجم صبور ولديه طريقة موثوقة لربط البذور بالعناوين، على الأرجح من استخراج مُسرب لفترة العشوائية الضعيفة.
ما يزال غير واضح ما إذا كان المهاجم يمتلك جميع عناصر قائمة البذور المخترقة أم فقط جزءًا منها، وما إذا كانت هناك ثغرات إضافية في إصدارات البرامج الثابتة الأقدم التي لم تُكشف عنها Coldcard. طبيعة الهجمات المستمرة تشير إلى أن القائمة قد تكون كبيرة، وقد تكون العناوين الـ462 في هذه الموجة مجرد أحدث مجموعة. إذا استمر المهاجم في التفتيش المنهجي، فقد ترتفع الخسائر الإجمالية أكثر. بالنسبة لسوق محافظ الأجهزة الأوسع، فإن العواقب هي تذكير بأن مراجعة البرامج الثابتة والإبلاغ الشفاف عن الثغرات ليست خيارات—بل هي جوهر وعد الأمان للمنتج.