يُفترض أن تكون المحافظ المادية هي الخزنة، وليس نقطة الضعف. لكن عيبًا جديدًا كُشف عنه في برنامج Coldcard Mk3 قد عكس هذا الافتراض، حيث تأكدت Galaxy Research أن 1,367.05 BTC، والتي تبلغ قيمتها حوالي 88.6 مليون دولار، تم سرقتها عبر ثلاث موجات هجوم منسقة استهدفت 4,585 عنوانًا متأثرًا.
حجم السرقة مُرعب. كانت التقديرات السابقة تُقدر الخسائر بحوالي 594 BTC من حوالي 500 عنوانًا. ومضاعفة تحليل غالاكسي على السلسلة هذا الرقم أكثر من مرة، وكشفت عن هجوم أوسع بكثير وأكثر منهجية مما كان مفهومًا في البداية.
ماذا حدث، وكم كانت السرعة
ضربت أكبر موجة فردية في 30 يوليو 2026، وكانت فعالة بأبشع طريقة ممكنة. قام المهاجمون بسرقة 1,082.65 BTC، ما يعادل حوالي 70.2 مليون دولار، في غضون 41 دقيقة فقط.
وجد تحليل Galaxy أن الموجتين الأوليين شاركتا في بصمات معاملات متطابقة تقريبًا، وبشكل خاص رسوم مبرمجة ثابتة قدرها 30 سات/ف بي وأنماط تجميع متطابقة. هذا المستوى من الاتساق يشير إلى مشغل واحد، أو على الأقل أداة واحدة. وقد انحرفت الموجة الثالثة عن هذا النمط، مما يشير إلى وجود فاعل مختلف أو تغيير تكتيكي متعمد.
لقد ظلت الأموال المسروقة في مكانها إلى حد كبير. لم يتم نقل الـ BTC بشكل كبير منذ السرقات، وهي موجودة في عدد قليل من العناوين الخاضعة لسيطرة المهاجمين.
السبب الجذري: العشوائية القابلة للتنبؤ
الخلل في برنامج Coldcard Mk3، الموجود في الإصدارات 4.0.1 وما بعدها، والذي تم إدخاله في مارس 2021، تسبب في إنتاج مولد الأرقام العشوائية للجهاز لمخرجات ضعيفة وقابلة للتنبؤ. لم تكن البذور التي أنشأها عشوائية فعليًا، مما يعني أن المهاجم الذي يمتلك قدرة حوسبة كافية يمكنه سرد البذور الممكنة بشكل غير متصل ومقارنتها مع عناوين حقيقية على البلوكتشين، وسرقة الأموال من العناوين ذات التوقيع الواحد دون الحاجة أبدًا إلى الوصول المادي إلى الجهاز.
يُنسب إلى فريق الهندسة في Block الفضل في كشف مشكلة RNG للجمهور لأول مرة. أصدرت Coinkite، الشركة وراء Coldcard، إشعارًا تحذيريًا بعد حوالي 30 ساعة من بدء عمليات السحب الأولى.
لا تبدو أجهزة Coldcard Mk4 و Q و Mk5 متأثرة بالعيب نفسه. يُحث المستخدمون الذين يحملون أموالًا في محافظ Mk3 مُخترَقة على إنشاء بذور جديدة تمامًا على هذه النماذج الأحدث بدلاً من نقل الأرصدة فقط داخل نفس الجيل من الأجهزة.
ما يعنيه ذلك لأمان محفظة الأجهزة والمستثمرين
كما يستحق ملاحظة سلوك الرسوم في الهجمات. كانت معدل الرسوم الثابتة البالغة 30 ساتوشي/فبي المستخدمة في الموجتين الأوليين بين 30 و75 ضعف الرسوم الوسيطة في ذلك الوقت، وفقًا لنتائج جالاكسي. كان المهاجمون على استعداد واضح لدفع إضافات لضمان تأكيد سريع.
للمستخدمين النشطين لبيتكوين، السؤال الفوري هو التعرض للخطر. أي شخص يستخدم جهاز Coldcard Mk3 يعمل بإصدار برنامج ثابت من الإصدار 4.0.1 فما فوق يجب أن يعامل بذره الحالي على أنه معرض للخطر وينقل أمواله إلى محفظة جديدة تم إنشاؤها على أجهزة غير متأثرة. التحقق من سجل إصدارات البرنامج الثابت والتقاطع مع إشعار Coinkite هو أول خطوة عملية.