عيب في البرنامج الثابت تم إدخاله في مارس 2021 من قبل شركة Coinkite الكندية المصنعة للمحفظات المادية، أضعف بصمت عشوائية توليد عبارات الاسترداد على أجهزة Coldcard المتأثرة. بدلاً من الاعتماد على مصدر قوي للإنتروبيا، أعاد العيب توجيه توليد العبارات إلى مولد أرقام عشوائية زائفة قائم على البرنامج. ببساطة: الأرقام "العشوائية" لم تكن عشوائية بما يكفي، مما جعل من الممكن رياضيًا للمهاجمين إعادة بناء المفاتيح الخاصة دون لمس الجهاز المادي أبدًا.
إلى أي مدى ساء الوضع
ضربت الموجة الهجومية الكبرى الأولى في 30 يوليو 2026. خلال حوالي 25 دقيقة، اختفى ما يقارب 594 بيتكوين، بقيمة حوالي 38 مليون دولار، من حوالي 500 عنوانًا. كان ذلك مجرد المقدمة.
حددت Galaxy Research على الأقل ثلاث موجات من الهجمات. بحلول أوائل أغسطس 2026، ارتفعت الخسائر الإجمالية إلى 1,816 BTC، بقيمة تتراوح بين 114 مليون و116 مليون دولار، موزعة على أكثر من 5,200 عنوانًا مخترقًا. ركزت الهجمات تقريبًا حصريًا على المحافظ ذات التوقيع الواحد، وهي الإعداد الذي يستخدمه معظم المستخدمين العاديين، دون طبقات الأمان الإضافية التي توفرها التكوينات متعددة التوقيعات.
أكد الرئيس التنفيذي لـ Coinkite وفريق الهندسة في Block على وجود العيب. تم إصدار تحديثات طارئة للبرمجيات الثابتة، مع تعليمات عاجلة للمستخدمين المتضررين لإنشاء عبارات بذور جديدة ونقل الأموال فورًا. بالنسبة للعديد من المستخدمين، جاء هذا النصح متأخرًا جدًا.
يعود الثغرة نفسها إلى 1 مارس 2021، وتؤثر على Coldcard Mk3 ونماذج رئيسية أخرى من تلك الفترة.
ما يعنيه ذلك لسمعة التخزين الذاتي
كانت المحافظ المادية تُعتبر المعيار الذهبي. تعمل دون اتصال بالإنترنت، معزولة تمامًا، ومقاومة للاستغلالات عن بُعد. لكن حادثة Coldcard تُناقض هذا السرد مباشرة، والتوقيت مهم: هذه ليست قصة عن بورصة مشبوهة أو بروتوكول DeFi مؤقت. Coinkite هي واحدة من أكثر الأسماء احترامًا في ثقافة أمان البيتكوين.
هذا يفتح الباب أمام صناديق الاستثمار المتداولة في البورصة لبيتكوين. فقد أزالت صناديق الاستثمار المتداولة في البورصة لبيتكوين الفورية العبء التشغيلي لإدارة المفاتيح للمستثمرين المؤسسيين والتجريبيين الذين يرغبون في التعرض لبيتكوين دون القلق بشأن المحافظ. ويعزز اختراق بقيمة 114 مليون دولار لجهاز موثوق حالة التبني بشكل كبير.
الجهات المؤسسية المُخزِّنة ستستفيد بشكل مباشر أكثر. الشركات التي تعمل بالفعل ضمن أطر تنظيمية، وتمتلك تأمينًا، وتنفذ حفظًا موزعًا باستخدام حسابات متعددة الأطراف أو التوقيعات المتعددة على نطاق واسع، لديها الآن نقطة بيانات جديدة لتستخدمها كحجة رئيسية في كل محادثة مبيعات.
تظل المحافظ ذات التوقيع الواحد، وهي الهدف الرئيسي في هذه الهجمات، التكوين الأكثر شيوعًا بين الحائزين الأفراد. أي انتقال ذي معنى بعيدًا عن هذا النموذج، سواء نحو صناديق الاستثمار المتداولة في البورصة، أو الترتيبات متعددة التوقيعات، أو خدمات التخزين المُدارة، سيُمثل تحولًا هيكليًا في كيفية توزيع ملكية البيتكوين.