ثغرة استغلال بذرة COLDCARD: 1,159 BTC محفوظة، وتم إرسال 64 BTC إلى خليط

استمرار استغلال كبير لجهاز COLDCARD على السلسلة: لا يزال أكبر مهاجم واحد مرتبط بهذه الثغرة يحتفظ بـ 1,159 BTC عبر سبعة عناوين، بينما بدأ مهاجم منفصل في توجيه مبالغ أصغر عبر خلطة — مما يوفر مسارًا جديدًا للمحققين لمتابعته. ما يحدث على السلسلة: - يُظهر مراقبة Galaxy Research على السلسلة أن أكبر سرقة معروفة — 1,159 BTC — تم نقلها إلى سبعة عناوين خلال حوالي 41 دقيقة، ولم تُنقل هذه الأرصدة منذ ذلك الحين. لم يلاحظ المحققون أي تحويلات من هذه العناوين إلى البورصات أو الخلطات أو خدمات السحب النموذجية. - تقنيًا، الأموال غير مجمدة — فلا يمكن للبروتوكول إيقاف معاملات البيتكوين فقط لأن العنوان تم تحديده كمشبوه — لكن نقل هذه العملات إلى عملات ورقية أو خدمات خاضعة للتنظيم سيُحفّز على الأرجح ضوابط مكافحة غسل الأموال/معرفة العميل (AML/KYC). وقد حددت قوات إنفاذ القانون والبورصات وشركات التحليل حوالي 600 عنوان مرتبط بالسرقة الأوسع، مما يزيد من خطر أن أي إيداع على منصة متوافقة سيجذب المراقبة. نشاط جديد للخلط: - قام المحللون بتعقب تدفق قدره 64 BTC إلى معاملة مرتبطة بخلطة. تم خلط حوالي 10 BTC فورًا، بينما عاد حوالي 54 BTC كفرق وتم تقسيمه إلى مخرجات بقيمة 7 BTC تقريبًا لكل منها لخلط إضافي. - تحاول الخلطات إخفاء أصل الأموال من خلال إعادة دمج وتشكيل المعاملات، لكنها لا تضمن الخصوصية المطلقة. في هذه الحالة، تجعل المخرجات الكبيرة والموحدة نمط الغسيل أسهل في المتابعة، مما يعني أن المحققين يمكنهم الاستمرار في مراقبة هذه الخطوات. مهاجمون متعددون، مجموعات متعددة: - يبدو أن نشاط الخلطة غير مرتبط بالمجموعة المكونة من سبعة عناوين التي تحتفظ بـ 1,159 BTC. أشارت تقارير سابقة إلى أن مهاجمين متعددين قد استغلوا نفس عيب توليد الكلمة السرية لجهاز COLDCARD، لذا لا ينبغي افتراض أن النشاط من مجموعة واحدة يأتي من نفس المهاجم. - أكدت Galaxy Research سابقًا أن حوالي 1,596 BTC سُرقت في ثلاث موجات هجوم من حوالي 7,300 عنوان، وتحديد 14 حادثًا صغيرًا مرتبطة بها. وقد ترفع الموجة الرابعة المشتبه بها إجمالي السرقة إلى حوالي 2,055 BTC، رغم أن هذا الإضافة لم تُؤكد بالكامل عبر تقارير الضحايا. كيف عمل الاستغلال وما نتج عنه: - نشأت الثغرة من خطأ في البرنامج الثابت أضعف عشوائية توليد العبارات السرية. استطاع المهاجمون إعادة إنتاج العبارات السرية المحتملة دون اتصال بالإنترنت، واستخلاص العناوين، ومطابقتها مع العناوين النشطة على السلسلة — دون الحاجة إلى الوصول إلى الجهاز أو كلمات المرور أو أي اختراق على مستوى البروتوكول. - أصدرت Coinkite برنامجًا ثابتًا مصححًا، لكن تحديث الجهاز لا يصلح كلمة سرية تم إنشاؤها باستخدام إصدار ضعيف. يجب على المستخدمين المتأثرين توليد كلمة سرية جديدة ونقل الأموال إلى عناوين مشتقة منها ليكونوا آمنين. جهود الإنفاذ وإمكانية الاسترداد: - شاركت Galaxy عناوين المهاجمين والضحايا المؤكدة مع قوات إنفاذ القانون الأمريكية والبورصات ومجموعات التحقيق السيبراني. هذه القائمة الأوسع للعناوين تزيد من احتمالية اكتشاف محاولات توجيه العملات عبر قنوات خاضعة للتنظيم. - ومع ذلك، فإن الاسترداد غير مؤكد. يمكن للمهاجمين توجيه الأموال عبر عدة عناوين وخلطات ومنصات لامركزية أو ولايات قضائية خارج نطاق الولايات المتحدة قبل محاولة تحويلها إلى نقد. الخلاصة: يحتفظ أكبر مهاجم معروف مرتبط بجهاز COLDCARD حاليًا بـ 1,159 BTC لم تُنقل منذ عملية السحب الأولية، مما يترك هذه العملات عرضة للمراقبة العامة المستمرة. في الوقت نفسه، أنشأ نشاط الخلطة الأخير من طرف آخر مسارًا يمكن تتبعه، وسيكون المحققون يراقبونه عن كثب مع تطور الوضع.