LastPass وColdcard: دروس في الإنتروبيا، الثغرات، ومفارقة الأمان كان اختراق بيانات LastPass عام 2022 وثغرة برنامج Coldcard في يوليو 2026 من بين أكثر حالات فشل أمان العملات المشفرة أهمية في السنوات الأخيرة. على السطح، يبدو أنهما لا يشتركان في أي شيء تقريبًا. واحد نشأ في السحابة، والآخر داخل محفظة عتادية غير متصلة بالإنترنت. واحد تطور على مدى سنوات، بينما بدا أن الآخر اكتمل في أقل من ساعة. واحد أثر على عملات مشفرة متعددة، بينما ركز الآخر بشكل أساسي على البيتكوين. لكن تحت هذه الاختلافات تكمن مفارقة ملحوظة. كلا الحادثين يُظهران مفارقة أمنية عميقة: المستخدمون الذين اتبعوا أفضل الممارسات الأمنية بعناية أكبر أصبحوا الضحايا الرئيسيين. في كل حالة، اكتشف الأشخاص الذين رفضوا عمداً الراحة لصالح التحكم الذاتي الأقوى أن أضعف رابط لم يكن سلوكهم، بل التكنولوجيا التي ثقوا بها. مفارقة الأمان شارك كلا المجموعتين خصائص متشابهة بشكل ملحوظ. لم يكونوا مستثمرين مبتدئين يسعون وراء أرباح طموحة أو ضحايا حملات التصيد. كانوا مستخدمين واعين بالأمان اختاروا عمداً تحمل مسؤولية حماية أصولهم بأنفسهم بدلاً من الاعتماد على البورصات المركزية. اختار مستخدمو LastPass خزائن كلمات مرور مشفرة لحماية معلومات حساسة للغاية، بما في ذلك عبارات البذور ومفاتيح خاصة للعملات المشفرة. كان تبريرهم مفهوماً: فخزنة مشفرة محمية بكلمة مرور رئيسية قوية تبدو أكثر أماناً من النسخ الورقية المبعثرة أو الملفات غير المشفرة، كما تحمي ضد فشل الجهاز أو الخسارة المادية. أما مستخدمو Coldcard فقد اتخذوا قراراً متعمداً على نحو مماثل. فقد اشتروا إحدى أكثر المحافظ العتادية المخصصة للبيتكوين احتراماً في الصناعة لأنها صُممت للبقاء معزولة تماماً عن الإنترنت. لم تلامس المفاتيح الخاصة أبداً جهازاً متصلًا بالإنترنت، ويمكن التوقيع على المعاملات بالكامل دون اتصال بالإنترنت. استثمر كلا المجموعتين وقتاً ومالاً وجهداً لتحسين أمانهما. لكن في النهاية خسرا الأموال بسبب فشلات حدثت خارج سيطرتهما المباشرة. مفارقة التحكم الذاتي الدقيق أصبحت طبقات الأمان التي اعتمدتها المستخدمون عمداً هي سطوح الهجوم التي استغلها المهاجمون في النهاية. مشكلتا بحث مختلفتان على الرغم من أن كلا الحادثين أديا إلى سرقة عملات مشفرة، إلا أن المهاجمين واجهوا تحديات حسابية جوهرية مختلفة. في اختراق LastPass، حصل المهاجمون على نسخ احتياطية مشفرة من خزائن العملاء. أصبحت كل خزنة لغزاً تشفيرياً مستقلاً. كان على المهاجمين أولاً كسر كلمة المرور الرئيسية لمستخدم فردي، ثم تحديد ما إذا كانت الخزنة تحتوي على عبارات بذور أو مفاتيح خاصة للعملات المشفرة، وأخيراً تحديد ما إذا كانت هذه المحافظ لا تزال تحتوي على أصول. تمثل كل خزنة تحدياً حسابياً منفصلاً، مما أنتج حملة طويلة الأمد استمرت في ظهور ضحايا جدد مع كسر خزائن إضافية. ومع تحسن أجهزة GPU وتطور تقنيات كسر كلمات المرور، أصبحت الهجمات التي كانت غير عملية سابقاً أكثر قابلية للتنفيذ. أما حادثة Coldcard فقد قدمت مشكلة بحث مختلفة. بدلاً من الهجوم على كلمات مرور مختارة بشكل مستقل، ادُّعي أن المهاجمين استغلوا عيباً في البرنامج الثابت قلل من عشوائية استخدامها أثناء توليد البذور على بعض الأجهزة. إذا تم تقليل الإنتروبيا الفعالة بشكل كافٍ، أصبحت مجموعة عبارات البذور الممكنة أصغر بكثير مما كان مقصوداً. بدلاً من حل آلاف الألغاز التشفيرية غير المرتبطة، استطاع المهاجمون تعداد نظامي لمساحة المفاتيح المخفضة دون اتصال بالإنترنت، واستخلاص العناوين البيتكوينية المقابلة، وتحديد أي العناوين تحتوي على أموال. يساعد هذا التمييز في تفسير سبب ظهور عمليات السرقة الأولية لـ Coldcard بهذه الكثافة. فقد كان على مهاجمي LastPass كسر الخزائن واحدة تلو الأخرى، مما أنتج تدفقاً بطيئاً من الضحايا على مدى أشهر وسنوات...