تأكيد استغلال Coldcard وسرقة 1,719 بيتكوين مع تحذير Galaxy Research من خسائر قد تتجاوز 130 مليون دولار
اتسع نطاق اختراق محفظة الأجهزة Coldcard بشكل كبير، حيث أكدت شركة Galaxy Research أن ما لا يقل عن 1,719 عملة بيتكوين (BTC) قد سُرقت من حسابات متعددة للمستخدمين، بقيمة تقارب 111 مليون دولار بالأسعار الأخيرة. لكن هذا الرقم قد لا يكون السقف النهائي، حيث تشير التوقعات إلى أن إجمالي الخسائر قد يتجاوز 130 مليون دولار بعد التحقق من جميع الحالات المعلقة.
تم تحديد أكثر من 25 نمطًا مختلفًا من الهجمات، ويعتقد المحققون الآن أن هناك عدة جهات خبيثة تستغل هذه الثغرة بنشاط. عدد الضحايا في تزايد مستمر، حيث أكدت Galaxy تلقيها تقارير من أكثر من 250 شخصًا. إذا تم تأكيد جميع الحالات، فقد يرتفع إجمالي المسروقات إلى أكثر من 2,300 عملة بيتكوين. حتى الآن، الأجهزة المتأثرة الوحيدة هي Coldcard Mk3 وMk4 وMk5 وطراز Q. لا توجد أدلة على انتشار الخلل إلى أجهزة توقيع أو محافظ أخرى، ولم تشير Galaxy إلى وجود أي برمجيات تابعة خارج نظام Coldcard البيئي مخترقة.
كابوس الحفظ الذاتي
تضرب هذه الحادثة أساس ثقافة الحفظ الذاتي للعملات الرقمية. يُعتبر Coldcard على نطاق واسع واحدًا من أكثر محافظ البيتكوين أمانًا، حيث صُمم خصيصًا للتخزين المعزول هوائيًا بمستوى أمان فائق. حقيقة اختراقه بهذا الحجم، مع فترة استغلال تبدو طويلة، ستهز ثقة المستخدمين الذين وضعوا ثرواتهم بأكملها عليه. كما يعقد النقاش التشريعي الحساس حول حماية الحفظ الذاتي في واشنطن. قبل أيام فقط من تصويت حاسم في مجلس الشيوخ على تشريع تاريخي للعملات المشفرة، يشكل اختراق بهذا الحجم سلاحًا جديدًا قويًا في يد معارضي قواعد الحفظ الذاتي.
لطالما بيعت محافظ الأجهزة كخط الدفاع الأقصى ضد الاختراقات، لكنها تظل عرضة لهجمات سلسلة التوريد، والتلاعب بالبرمجيات الثابتة، والثغرات الجانبية الفيزيائية. في هذه الحالة، لم تكشف Coinkite أو Galaxy عن ناقل الدخول الدقيق للعلن، لكن وجود هذا العدد الكبير من الأنماط المختلفة يشير إلى أن المشكلة ليست خللًا واحدًا بسيطًا. قد يكون السبب مولّد أرقام عشوائية مضبوطًا بشكل خاطئ، أو مكوّن مخترق في سلسلة التوريد، أو ثغرة في بروتوكولات الاتصال بالجهاز. للمستخدمين الذين فقدوا أموالهم، هناك مرارة إضافية تتمثل في أن خاصية عدم قابلية التراجع في البيتكوين تجعل استعادة الأموال مستحيلة تقريبًا.
ماذا ينتظر الضحايا والسوق؟
مع تحديد أكثر من 250 ضحية حتى الآن، تتصاعد العواقب القانونية والأضرار السمعة لشركة Coinkite، الشركة المصنعة لـ Coldcard. لم تنشر الشركة بعد تقريرًا فنيًا مفصلاً عن الحادث، وينتظر السوق ليرى ما إذا كان التصحيح ممكنًا للأجهزة الحالية أم أن الاستبدال ضروري. حتى الآن، فقط منتجات Coldcard تبدو مصابة، لكن اكتشاف عدة مهاجمين مستقلين يشير إلى أن الثغرة ربما كانت معروفة على نطاق واسع في دوائر معينة قبل أن تصبح علنية. هذا يثير احتمالًا مزعجًا مفاده أن الثغرة اكتُشفت أولاً وتداولت بشكل خاص، ولم تصبح خبرًا رئيسيًا إلا بعد تفاقم الخسائر.
من منظور مؤسسي، ستدفع هذه الحادثة الصناديق وكبار الحائزين إلى فحص خيارات أجهزتهم بدقة أكبر. من المرجح أن تشهد إعدادات التوقيع المتعدد وحلول التخزين البارد عبر الأوصياء تجددًا في الاهتمام. كما تعود قضية التأمين إلى الواجهة: معظم مستخدمي الحفظ الذاتي ليس لديهم أي تغطية، بينما يقدم الأوصياء المنظمون تأمينًا ضمن خدماتهم. إن رقم 130 مليون دولار وما فوق، رغم صغره مقارنة بالقيمة السوقية الإجمالية للبيتكوين، كبير بما يكفي لجذب انتباه الجهات التنظيمية في وقت يزن فيه المشرعون كيفية تصنيف مقدمي المحافظ والإشراف عليهم.
عدم اليقين يلوح في الأفق
توجد عدة أسئلة بلا إجابة تجعل هذه القصة تتطور أكثر. تقرير Galaxy لا يوضح كيف تمكن المهاجمون من سرقة المفاتيح الخاصة أو توقيع المعاملات دون وصول فيزيائي للأجهزة. احتمال أن الثغرة سمحت للمهاجم الذي حصل على وصول مؤقت – ربما أثناء الشحن أو عبر موزع مخترق – بسحب الأموال لاحقًا دون وصول مستمر. حقيقة وجود أكثر من 25 نمطًا تشير إلى أن تقنيات متعددة استُخدمت، ولا يمكن استبعاد أن بعض الضحايا استخدموا تحديثات برمجيات ثابتة ضارة من مصادر غير رسمية دون علمهم.
يبقى على المجتمع أن يقرر ما إذا كانت علامة Coldcard التجارية قادرة على استعادة سمعتها. أمان محافظ الأجهزة يعتمد على الثقة بقدر ما يعتمد على التصميم التشفيري. بمجرد كسر تلك الثقة على نطاق آلاف العملات، فإن طريق العودة طويل. في غضون ذلك، من المرجح أن يستغل مصنعون آخرون هذه الحادثة للترويج لأجهزتهم كخيارات أفضل، والدرس الأوسع للصناعة واضح: الحفظ الذاتي يتطلب يقظة مستمرة، ولا ينبغي التعامل مع أي جهاز واحد كدرع سحري.
الأسئلة الشائعة
س1: ما هي الأجهزة المتأثرة باختراق Coldcard؟
الأجهزة المتأثرة هي Coldcard Mk3 وMk4 وMk5 وطراز Q فقط، ولا توجد دلائل حتى الآن على انتشار الثغرة إلى محافظ أجهزة أخرى أو برمجيات خارج نظام Coldcard البيئي.
س2: كم بلغت قيمة الخسائر المؤكدة من اختراق Coldcard؟
أكدت Galaxy Research سرقة ما لا يقل عن 1,719 عملة بيتكوين بقيمة تقارب 111 مليون دولار، لكن التقديرات تشير إلى أن الخسائر قد تتجاوز 130 مليون دولار مع التحقق من جميع الحالات البالغة أكثر من 250 حالة.
س3: هل يمكن للضحايا استعادة أموالهم المسروقة؟
استعادة الأموال شبه مستحيلة بسبب خاصية عدم قابلية التراجع في معاملات البيتكوين، وهذه واحدة من أصعب النتائج على الضحايا، خاصة مع عدم توفر تغطية تأمينية لمعظم مستخدمي الحفظ الذاتي.
