الهدف الكامل من المحفظة الباردة هو أنها باردة. غير متصلة بالإنترنت. معزولة تمامًا. غير قابلة للوصول. لقد أثبتت ثغرة في محفظات Coldcard المادية أن هذا المبدأ له نجمة.
استغل القراصنة ثغرة في البرنامج الثابت لأجهزة Coldcard الصادرة عن الشركة الكندية Coinkite، وسرقوا حوالي 1,367 BTC، بقيمة تقارب 89 مليون دولار، من 4,585 عنوانًا عبر عدة موجات من الهجمات بدأت في 30 يوليو 2026.
ماذا حدث فعليًا
يعود الثغرة إلى بنية برنامج ثابت في مارس 2021 تؤثر على إصدارات Coldcard Mk3 من 4.0.1 إلى 4.1.9 والإصدارات الأقدم.
كانت العيوب في كيفية توليد هذه الأجهزة لبذور المحافظ. بدلاً من توجيه عشوائية من خلال مولد الأرقام العشوائية المادية، دفع خطأ في العملية عبر مولد أرقام عشوائية برمجي. باللغة الإنجليزية: كانت العشوائية المستخدمة لإنشاء مفتاحك الخاص أقل عشوائية بكثير مما تم الإعلان عنه، مما جعل إعادة بناء المفاتيح دون اتصال بالجهاز الفعلي ممكنة رياضيًا.
ضرب الموجة الأولى في 30 يوليو 2026. تم سحب حوالي 594 BTC، ما يعادل 38 مليون دولار تقريبًا في ذلك الوقت، من حوالي 500 عنوانًا خاملًا في أقل من 30 دقيقة. هذا ليس هجومًا بطيئًا أو استكشافيًا. هذا مسح منسق.
دفعت الأمواج اللاحقة الخسائر الإجمالية إلى 1,367 BTC عبر 4,585 عنوانًا بحلول أوائل أغسطس 2026. ورصدت Galaxy Research الحادثة ولاحظت أن تكتيكات المهاجم تطورت مع كل موجة، وذلك بشكل خاص لتجنب التتبع أثناء استهداف الأرصدة الأصغر. كما قدرت Galaxy Research أن كل موجة تم تنفيذها على الأرجح من قبل مشغل واحد.
نمط العنوان الخامل مهم هنا. كانت المحافظ التي لم تنقل أموالها لسنوات تُفرغ، مما يشير إلى أن المهاجم كان قد حسب مسبقًا مجموعة كبيرة من المفاتيح الضعيفة وينفذ سحبًا منهجيًا بدلاً من التفاعل مع النشاط الحي.
رد Coinkite ومن يتأثر
أصدر Coinkite تحذيرًا أمنيًا وأطلق تحديثًا مُصلحًا للبرمجيات الثابتة بحلول 1 أغسطس 2026، أي بعد حوالي يومين من بدء الموجة الأولى.
نصح الشركة المستخدمين الذين تم إنشاء كلمات السر الخاصة بهم على إصدارات البرامج الثابتة المتأثرة بنقل الأموال إلى كلمات سر جديدة فورًا، ما لم يكونوا قد زادوا من عشوائية المحفظة بمصدر مستقل أو استخدموا عبارة مرور BIP-39 قوية. تعمل عبارات مرور BIP-39 ككلمة خامسة وعشرين إضافية فوق عبارة البذور القياسية المكونة من 24 كلمة، وكانت العبارة القوية ستجعل إعادة بناء المفتاح دون اتصال بالإنترنت أصعب بكثير حتى مع وجود عيب الانخفاض في العشوائية.
أكد Coinkite أن عدة منتجات أخرى في خطه، بما في ذلك TAPSIGNER وOPENDIME وSATSCARD، لم تتأثر بالاستغلال. كان نطاق التأثير محددًا بالإصدارات المذكورة من البرنامج الثابت.
ما يعنيه ذلك بالنسبة للتخزين الذاتي
هذه الحادثة تُعقّد سردية التخزين الذاتي دون إزالتها بالكامل. ما يُظهره استغلال Coldcard هو أن المحافظ المادية تحمل فئة خاصة من المخاطر، تتمثل تحديدًا في سلامة البرمجيات الثابتة وثقة سلسلة التوريد، والتي يمكن أن تكون كارثية بنفس القدر.
تشير التقارير التي تلت الهجوم إلى أن بعض المستخدمين بدأوا في نقل البيتكوين مرة أخرى إلى البورصات المركزية، ويعتبرونها أكثر أمانًا على المدى القصير.
بالنسبة للمستثمرين الذين يحتفظون ببيتكوين في التخزين البارد، فإن الأسئلة الفورية عملية: أي إصدار من البرنامج الثابت تم استخدامه لإنشاء البذرة، وما إذا كان تم تطبيق مصدر عشوائي مستقل أو عبارة مرور BIP-39، وما إذا كان الانتقال إلى بذرة جديدة على برنامج ثابت مُصلح قد تم بالفعل. لم تكن الأجهزة التي تعمل ببرنامج ثابت غير متأثر أو مدعومة بعبارات مرور قوية ضمن مجموعة الأهداف الخاصة بالمهاجم.