في هجوم إلكتروني استهدف محافظ العملات الرقمية، تم سحب ما يقرب من 594 بيتكوين، بقيمة تصل إلى 38 مليون دولار أمريكي، من حوالي 500 محفظة رقمية منفصلة في غضون 25 دقيقة فقط، وذلك نتيجة ثغرة خطيرة في طريقة توليد المفاتيح السرية بمحافظ كولدكارد (Coldcard) الشهيرة.
تفاصيل الهجوم: كيف تمت السرقة؟
تم تنفيذ عملية الاختراق بين الساعة 01:31 و01:56 فجر يوم الجمعة بتوقيت UTC، حيث قام المهاجمون بنقل المبلغ على شكل 1,324 قطعة صغيرة من البيتكوين عبر 500 معاملة خلال نافذة زمنية قصيرة لا تتجاوز ثلاثة بلوكات، ثم تم تجميع 562 بيتكوين في عنوان واحد لم يتحرك منذ ذلك الحين.
وقد استهدفت العملية فقط المحافظ ذات التوقيع الواحد التي كانت تحتوي على أكثر من 0.15 بيتكوين في كل محفظة، وكان معظم هذه المحافظ خاملاً منذ سنوات، حيث تعود عملاتها إلى الفترة ما بين عامي 2021 و2026، وهو ما يتطابق تقريباً تماماً مع عمر الثغرة البرمجية.
ما هي محفظة كولدكارد؟
كولدكارد هي محفظة أجهزة (Hardware Wallet) تصنعها شركة كوينكايت (Coinkite) الكندية، وهي جهاز صغير مستقل يحفظ مفاتيح البيتكوين بعيداً عن الإنترنت والأجهزة المتصلة بالشبكة. وتشمل الأجيال المتعاقبة من هذا المنتج: Mk2 وMk3 وMk4 وQ وMk5، والتي تم إصدارها على مدى عدة سنوات بنفس الطريقة التي تطلق بها شركات الهواتف أجيالاً مرقمة من أجهزتها.
وتجدر الإشارة إلى أن درجة التعرض للخطر تعتمد على البرنامج الثابت (Firmware) الذي كان يعمل به الجهاز عند إنشاء المحفظة لأول مرة، وليس على تاريخ شراء الجهاز نفسه.
مشكلة التشفير: من العشوائية إلى القابلية للتخمين
من المفترض أن يتم توليد العبارة السرية للمحفظة (Seed Phrase) بشكل عشوائي من مجموعة ضخمة من الاحتمالات، بحيث يستحيل تخمينها. ولكن في هذه الحالة، لم يحدث ذلك. فقد اكتشف فريقا هندسة وأمن البيتكوين في شركة بلوك (Block) أن إعداداً معيناً في البناء البرمجي كان يطلب من الجهاز تخطي مولّد الأرقام العشوائية الخاص بالعتاد، وكان هناك فحص في مكتبة مساندة يتحقق فقط من وجود هذا الإعداد وليس من كونه مفعلاً فعلياً.
ونتيجة لذلك، كانت عملية توليد المفاتيح تستخدم بديلاً برمجياً بسيطاً يعتمد على الرقم التسلسلي لرقاقة الجهاز وسجلات الساعة الداخلية، وكل هذه المعلومات ليست سرية إطلاقاً. فالرقم التسلسلي عبارة عن بيانات مصنعية ثابتة، وقيم الساعة عبارة عن حالة توقيت يمكن للمهاجم تضييق نطاقها أو قياسها على جهاز خاص به.
متى بدأت المشكلة؟ ومن المتأثر بها؟
قامت شركة بلوك بتتبع التغيير البرمجي إلى تعديل مؤرخ في 1 مارس 2021، تم شحنه في الإصدار 4.0.0 من البرنامج الثابت في ذلك الشهر. وبناءً على ذلك، حذّرت شركة كوينكايت المستخدمين الذين قاموا بإنشاء عبارة سرية على أجهزة Mk3 التي تعمل بالإصدار 4.0.1 أو أحدث، وأكدت أن أجهزة “Mk4 وQ وMk5 غير متأثرة بناءً على تحليلنا الأولي”.
وأفادت شركة بلوك بأنها كشفت النتائج التي توصلت إليها لشركة كوينكايت، التي اعترفت بالمشكلة. وتصف كلتا الشركتين تحليلاتهما بأنها أولية، حيث قامت بلوك بالنشر دون إجراء اختبارات كاملة للتأكد من قابلية الاستغلال، لأن الاستغلال كان قد بدأ بالفعل في الواقع.
هل تتأثر محافظ أخرى غير عبارات البذرة؟
يمتد التعرض للخطر إلى ما هو أبعد من العبارات السرية للمحافظ، إذ أن نفس المولّد العشوائي أنتج أيضاً المفاتيح الخاصة لمحافظ كولدكارد الورقية، حيث يصبح المخرج نفسه هو المفتاح مباشرة دون أي اشتقاق إضافي، بالإضافة إلى أقنعة تقطيع العبارات السرية، ومفاتيح استنساخ الأجهزة، وتحويلات نقل المفاتيح عن بُعد (Key Teleport).
الأسئلة الشائعة
س1: كيف يمكنني معرفة ما إذا كانت محفظة كولدكارد الخاصة بي متأثرة بهذه الثغرة؟
إذا كنت تمتلك جهاز Mk3 وسبق لك إنشاء عبارة سرية جديدة عليه في وقت كان يعمل فيه بالإصدار 4.0.1 أو إصدار أحدث، فأنت معرض للخطر ويجب عليك نقل أموالك فوراً إلى محفظة جديدة آمنة. أما أجهزة Mk4 وQ وMk5 فهي غير متأثرة حسب التحليلات الأولية، وكذلك أجهزة Mk3 التي كانت تعمل بإصدارات أقدم من 4.0.1.
س2: ماذا أفعل إذا كان جهازي متأثراً؟
انقل أي بيتكوين متبقي من محفظتك المتأثرة إلى عنوان جديد آمن على الفور. قم بتوليد عبارة سرية جديدة بعد تحديث البرنامج الثابت لجهازك إلى أحدث إصدار، وتأكد من أنها تولدت بالطريقة الصحيحة. لا تستخدم أي عنوان أو مفتاح تم إنشاؤه خلال الفترة المتأثرة.
س3: هل هذه الثغرة تعني أن جميع محافظ كولدكارد غير آمنة؟
لا، فالثغرة محددة في نسخ معينة من البرنامج الثابت على أجيال معينة من الأجهزة فقط. كولدكارد تظل واحدة من أكثر محافظ الأجهزة أماناً في السوق، لكن هذه الحادثة تذكرنا بأهمية متابعة تحديثات البرامج وحملات الأمان التحذيرية من الشركات المصنعة، والاحتفاظ بالعملات في محافظ محدثة دائماً.
