⚠️ مستخدمو Coldcard يخسرون ملايين الدولارات بسبب عيب في برنامج Firmware لعام 2021 لقد كشف أحد أخطر حوادث الأمان المتعلقة بالتخزين الذاتي لـ Bitcoin عن درس جوهري: تعتمد المحافظ المادية على أمان عملية توليد الـ seed قبل أي شيء آخر. سمح ثغرة في Coldcard مرتبطة بإصدارات برنامج Firmware الصادرة في عام 2021 للمهاجمين بتفريغ مئات المحافظ دون الحاجة إلى وصول فيزيائي أو تصيد أو برامج خبيثة. تُقدّر التقارير أن ما بين 594 BTC وأكثر من 1,082 بيتكوين: native قد سُرقت، ما يمثل خسائر محتملة تتراوح بين 38 مليون و70 مليون دولار أمريكي. انتشر الهجوم خلال نافذة زمنية قصيرة تتراوح بين 25 و40 دقيقة، مستهدفًا المحافظ التي تم توليد مفاتيحها خلال فترة تواجد برنامج Firmware المتأثر. ظلت العديد من العناوين المصابة غير نشطة لسنوات، مع احتفاظ الأموال منذ وقت إنشاء المفاتيح المخترقة. وفقًا للتحليل على السلسلة، بدا أن المهاجم ركّز أولًا على المحافظ ذات القيمة العالية، بما في ذلك واحدة تحتوي على حوالي 1.8 مليون دولار أمريكي. ثم امتدت العملية إلى عملية سحب آلية لعناوين متأثرة إضافية، مما يشير إلى تحديد مسبق للمحافظ المتأثرة. كان السبب الجذري مرتبطًا بانخفاض مستوى العشوائية أثناء توليد الـ seed على بعض طرازات Coldcard، خاصةً أجهزة Mk3 التي تستخدم إصدارات برنامج Firmware المتأثرة. بدلًا من الاعتماد بشكل صحيح على عشوائية مبنية على الأجهزة، كانت العملية تنتج مفاتيح متوقعة تسمح بإعادة بناء المفاتيح الخاصة عن بُعد. نصحت Coinkite المستخدمين المتأثرين المحتملين بنقل أموالهم إلى محافظ جديدة تم إنشاؤها باستخدام إصدار محدث من برنامج Firmware. ويعزز هذا الحادث مبدأ أمني أساسي: إذا فشلت عملية توليد الـ seed، فلا يمكن لأي حمايات قوية مثل التصميم المعزول أو الأجهزة الآمنة حماية أموال المستخدمين بالكامل.