اشتباه في الهجوم الرابع على Coldcard يؤدي إلى خسارة 389 BTC

وضع محفظة باردة في درج لا يعني أن المخاطر也被 قفلت في الدرج.

تم اكتشاف دورة مُعلَّمة بـ "Galaxy’s Thorn" يُشتبه أنها الهجوم الرابع من Coldcard، وأدت إلى سرقة 389 بيتكوين. الرقم كافٍ للاستفزاز، لكن ما يثير القلق أكثر ليس حجم الخسارة بحد ذاته، بل سلسلة العمليات التي يعرفها مستخدمو التخزين البارد جيدًا: شراء الجهاز، التهيئة، نسخ كلمة الاسترداد، التحقق من العناوين، والتوقيع على التحويلات. كانت تُعتبر كافية من حيث الأمان، لكنها الآن قد تُستغل عند نقطة تبدو عادية.

المعلومات المؤكدة حاليًا لا تزال محدودة: إنها هجوم "مشتبه به" يشمل 389 بيتكوين، ووصف بأنه الموجة الرابعة المرتبطة بـ Coldcard. لم يتم تكوين سلسلة كاملة وقابلة للتحقق بشكل مستقل بعد بشأن نقطة الدخول للهجوم، والجوانب المتأثرة، وتحديد المسؤولية.

لا ينبغي أن يكون هذا سببًا للتقليل من المخاطر، بل يتطلب من السوق التحلي بالاعتدال. أكثر ما تخشاه الحوادث الأمنية هو نوعان من ردود الفعل: الأول هو الإعلان الفوري عن عطل المنتج بمجرد رؤية اسم العلامة التجارية، والثاني هو اعتبار السلوك غير الطبيعي حادثًا فرديًا بسبب عدم نشر التفاصيل التقنية. إن تحميل المسؤولية بشكل خاطئ يخلق بدوره خسائر في الجولة القادمة.

ليس على المهاجم أن يخترق كل جدار دفاعي. فما أن يفقد المستخدم حكمه في حركة حاسمة، حتى تعود المفاهيم التي تبدو قوية مثل التوقيع غير المتصل، والعزلة المادية، وامتلاك المفتاح الخاص إلى واقع ملموس: من أين جاء الجهاز؟ هل تم التحقق من البرنامج الثابت بشكل صحيح؟ من طلب منك التأكيد على عنوان الاستلام الذي تراه على الشاشة؟ هل تم تلويث عملية الاستعادة؟

"الموجة الرابعة" و"389 بيتكوين" هما العلامتان الأكثر تأثيرًا في هذه الحادثة.

الدفعة الرابعة تعني أنها لم تُوصف كحالة شاذة منعزلة؛ بينما حوّلت 389 بيتكوين النزاع المجرد حول أمان المحافظ إلى تعرض ملموس لأصول. لكن هذين الوسمين غير كافيين لاستنتاج نجاح الهجوم أو عدد الضحايا، ولا يمكنهما إثبات مباشرة أن ثغرة معينة قد تأكدت.

ما يمكن قوله حاليًا هو أن كمية محددة من البيتكوين قد تورطت في موجة نشاط يُشتبه بأنه هجوم.

للمستخدمين العاديين، لا تكمن المخاطر فقط في "ما إذا كان المفتاح الخاص متصلًا بالإنترنت". فعند نقل أصل من التخزين الثابت إلى التحويل على السلسلة، عادةً ما يمر عبر مراحل الحصول على الجهاز، التهيئة، النسخ الاحتياطي، التحقق من العنوان، بناء المعاملة، تأكيد التوقيع، والبث. أي خلل في أي مرحلة من هذه المراحل—مثل الاستبدال أو التحريض أو التزوير—قد يؤدي إلى قيام المستخدم بالتوقيع على معاملة لا يفهمها حقًا، حتى لو بدا الجهاز طبيعيًا تمامًا.

هذا أيضًا المكان الأكثر شيوعًا لسوء فهم محفظة الأجهزة. فهي تقلل من احتمال تعرض المفتاح الخاص مباشرةً للبيئات المتصلة بالإنترنت، لكنها لا تستطيع التعرف تلقائيًا على الأجهزة المزيفة أو التنبيهات المزيفة أو التحديثات المزيفة، أو المعاملات التي تم استبدال عنوان الاستلام الخاص بها سرًا. يمكن للمحفظة الباردة عزل المفاتيح، لكنها لا تستطيع عزل المستخدم من ثقته العمياء بالمعلومات الخارجية.

المؤسسات تواجه مشاكل أكبر.

عادةً لا تختصر منصات التداول وخدمات التخزين والمؤسسات السوقية أمان المحافظ إلى "ما إذا كان جهاز معين موثوقًا". ما تحتاجه هو إعادة تقييم كامل لآلية التوزيع: هل قائمة البيض للسحب كافية صرامة؟ هل يتطلب تغيير العناوين موافقة متعددة الأطراف؟ هل المشاركين في التوقيع المتعدد معزولون فعليًا؟ هل يمكن تأجيل المعاملات غير الطبيعية ومراجعتها يدويًا؟

الأجهزة تشبه أقفال الأبواب، أما قواعد توزيع الأموال فهي نظام الإطفاء في المبنى كله. إن تعطل الأقفال خطير بالفعل، لكن غياب نظام الإطفاء هو ما يحول حادثًا محليًا إلى خسارة منهجية.

المحفظة المادية التي تُباع للمستخدمين لا تُقدم فقط جهازًا، بل تُقدم سيطرة ذاتية على الأصول: لا يتم تسليم المفتاح الخاص للمنصة، ولا تعتمد المعاملات على حساب مركزي، ويتم التوقيع في بيئة مستقلة.

التكلفة أيضًا مباشرة: تُعاد مسؤولية التحقق إلى المستخدم.

هل تم التلاعب بالحزمة، هل إشعار التهيئة موثوق، هل يجب إعادة إدخال معلومات الاستعادة على صفحة معينة، هل ترقية البرنامج الثابت تأتي من مصدر صحيح، هل العنوان المعروض على شاشة الجهاز يتوافق مع ما تتوقعه. هذه التفاصيل التي كانت تُعتبر في الماضي تفصيلات تتعلق بتجربة الاستخدام، تقع الآن ضمن الحدود الأمنية.

يجد المصنعون أنفسهم عالقين في توتر صعب التوفيق بينه. ففريق المنتجات يرغب في تقصير الإجراءات وتقليل التحذيرات، حيث إن العمليات المعقدة قد تُبعد المستخدمين الجدد؛ بينما يسعى فريق الأمان عادةً إلى زيادة التحقق، وفرض قيود على السلوكيات عالية المخاطر، وتعزيز مراجعة الترقيات والسلسلة التوريدية. المستخدمون يشعرون بالإزعاج، ويعتبر المهاجمون أن هذه الخطوة بالضبط هي الأكثر ملاءمة لهم.

لا توجد خيارات سهلة للمنصة والمزودين. تقييدات السحب، وفترات التبريد لتغيير العناوين، ومراجعة يدوية للتحويلات الكبيرة، قد يُنظر إليها من قبل بعض المستخدمين على أنها تدخل في سيادتهم؛ بينما إذا تم تحميل المخاطر بالكامل على الأفراد، فسيؤدي ذلك إلى تآكل الثقة بسرعة بعد وقوع الحدث. ومن منظور التنظيم، فإن الأمور أكثر قسوة: إذا اتسعت الهجمات المستمرة المشتبه بها، فستصبح أسئلة مثل كفاية وضوح إجراءات الإفصاح عن المخاطر، وترك أثر في قنوات البيع، وآليات إشعار الحوادث، أمورًا لا يمكن تجاهلها.

لا يوجد هنا سرد رومانسي مُبسّط عن "اللامركزية مقابل المركزية". ما هو على الطاولة هو من يتحمل تكلفة التحقق. المستخدمون يريدون انسيابية منخفضة، والمُصنّعون يريدون حدودًا للمسؤولية، والمنصات تريد قابلية التدقيق، والجهات التنظيمية تريد التتبع. الجميع يريد تقليل حصة المسؤولية، وغالبًا ما تنشأ مسارات الهجوم على هذه الحدود.

لا يمكن لتأرجح البيتكوين قصير الأجل أن يجيب عن أسئلة الأمان للمحافظين على العملات. الأهم هو مراقبة التفاصيل اللاحقة للأحداث، وما إذا كانت بيئة التشغيل الخاصة بك تظهر أي شذوذ.

أولاً، تحقق مما إذا كان يمكن تحديد السبب من "مشتبه به" إلى سلسلة هجوم قابلة للتحقق. أين يكمن نقطة الدخول: في الجهاز، سلسلة التوريد، عملية الاستخدام، أم مرحلة تأكيد المعاملة؟ الإجابة المختلفة تتطلب إجراءات وقائية مختلفة. تحميل جميع المخاطر بشكل عام على منتج واحد فقط سيترك المواقع الحقيقية التي تحتاج إلى إصلاح عرضة للاستغلال.

ثانيًا، راجع ما إذا كانت قواعد التشغيل قد تضطر إلى التعديل. إذا طُلب لاحقًا من المستخدمين إعادة التحقق من عناوين الاستلام، أو عزل الأجهزة القديمة والجديدة، أو تعليق بعض عمليات التهيئة أو التحديث، فقد يتجاوز نطاق الخطر عناوين أو مستخدمين فرديين. إذا كان الخطر مرتبطًا فقط بعدد قليل من السلوكيات عالية الخطورة، فيجب تحديد الحدود بسرعة لتجنب إثارة الذعر ودفع المستخدمين العاديين نحو عمليات "طارئة" أكثر خطورة.

انظر مرة أخرى إلى ما إذا كان حاملو العملات الكبيرة يتخلون عن الاعتماد على جهاز واحد فقط. لا تكمن قيمة آليات التوقيع المتعدد، والنسخ الاحتياطي المستقل، وقائمة البيضانات المسموح بها، والتأخير في المعاملات، والشراء الموزع، في جعل العملية تبدو أكثر احترافية، بل في أن أي خطأ واحد لا يتحول فورًا إلى خسارة لا رجعة فيها. يمكن أن يكون الجهاز الواحد خط دفاع مهم، لكنه لا ينبغي أن يكون الجذر الوحيد للثقة.

أخيرًا، راقب أي تفاصيل غير طبيعية في حسابك وبيئة التوقيع: عناوين غير مألوفة، مسودات معاملات غير مبررة، تنبيهات مفاجئة على الجهاز، صفحات تطلب إدخال معلومات الاسترداد مرة أخرى، أو إرشادات تدّعي أنها "ترقية عاجلة" وتُحث المستخدمين على تجاوز التحقق.

أخطر لحظة في أي حادث أمني غالبًا ليست في اليوم الذي تُكشف فيه تفاصيل الثغرة، بل في اللحظة التي يُسرع فيها المستخدمون من إجراءاتهم ويقللون من التحقق بسبب القلق.

يُشتبه في أن الموجة الرابعة من الهجمات على Coldcard تشمل 389 بيتكوين، ولا توجد حتى الآن أدلة كافية لاستنتاج سبب تقني محدد أو تحديد المسؤولية.

لقد أصبح كافيًا لإجبار المستخدم على طرح سؤال آخر: عندما يُعَلِّق المستخدم أمانه على جهاز ما أو علامة تجارية معينة، هل يتجاهل مخاطر العمليات والمعلومات والإجراءات الأطول خلف سيطرته على الأصول؟

التخزين البارد لم يُلغَ. إنه لا يزال أداة مهمة للحد من التعرض عبر الإنترنت. لكنه لم يكن أبدًا تذكرة خالية من التحقق. ما إذا كانت مصادر الأجهزة موثوقة، وما إذا كانت المعاملات مُراجعة نقطة نقطة، وما إذا كانت النسخ الاحتياطية معزولة، وما إذا كان الخطأ النقطي الواحد يمكنه ابتلاع جميع الأصول فورًا — هذه هي الخطوط الدفاعية التي يمكن للمستخدمين التحكم بها حقًا.

ما يتعين مشاهدته بعد ذلك ليس المزيد من السرديات المثيرة للذعر، بل التحديد الواضح للهجمات، والتعديلات التشغيلية الصريحة، وما إذا كانت عمليات إدارة المحافظ بدأت في جعل المصادقة المتعددة وتأخير المعاملات إجراءات افتراضية. امتلاك المفتاح الخاص هو مجرد الخطوة الأولى، أما التحكم في عملية المصادقة فهو ما يحدد من يوقع المفتاح الخاص بالنيابة عنه.