احتفظ جوناثان غودمان بعملاته البيتكوين البالغة 18.25 على جهاز كولد كارد لم يتصل بالإنترنت أبداً، وكان موضوعاً في صندوق أمانات بنكي. بين الساعة 9:36 و9:43 مساءً في 29 يوليو، تم سحب كل محافظه — حوالي 1.6 مليون دولار كندي، اختفت في سبع دقائق.
“ربما أصعب جزء في هذا الأمر أنني فعلت كل شيء بشكل صحيح”، كتب رجل الأعمال الكندي على منصة إكس في منشور حقق 7.6 مليون مشاهدة. “لم أشارك عبارة الاسترداد السرية مع أي شخص. أجهزتي لم تتصل بالإنترنت أبداً. كل شيء كان محفوظاً في خزائن متعددة وصناديق أمانات. لا شيء من ذلك كان مهماً.”
قصة غودمان هي واحدة من عشرات القصص المنتشرة على منصة إكس ومنتدى بيتكوين على ريديت منذ ظهور ثغرة كولد كارد في 30 يوليو، وهي تشترك جميعها في نفس النغمة: الضحايا اتبعوا قواعد الحفظ الذاتي. اشتروا محفظة أجهزة من شركة موثوقة، وأنشأوا عبارات الاسترداد دون اتصال بالإنترنت، وطبعوا النسخ الاحتياطية على ألواح فولاذية، ولم يكتبوا أبداً عبارة الاسترداد على أي جهاز متصل بالإنترنت.
خلل برمجي جعل عبارات الاسترداد المولدة من أجهزة كولد كارد قابلة للتخمين جعل كل ذلك بلا فائدة — حيث تمكن المهاجمون من سحب حوالي 1,816 بيتكوين، بقيمة تصل إلى 114 مليون دولار، من أكثر من 5,200 عنوان عبر أربع موجات من عمليات السحب المنسقة.
قال غودمان إنه علم بالاختراق بعد أيام من حدوثه، وكان في كوخه الريفي، وفحص أرصدته دون توقع أي شيء. “رأيت فوراً خطوطاً حمراء لعمليات سحب — وعرفت ما حدث”، كتب. وهو يقدم بلاغاً للشرطة وتقريراً لهيئة الأوراق المالية في أونتاريو، لكنه لا يتوقع استرداد أي شيء.
سباق مع اللصوص
بسبب أن الثغرة تسمح للمهاجمين بإعادة إنتاج المفاتيح الخاصة، فإن المستخدمين المتأثرين ليسوا مجرد ضحايا لسرقة سابقة — بل هم في سباق لحظي لنقل عملاتهم قبل أن يصل إليها المهاجمون. بعضهم خسر هذا السباق بساعات.
كان تيم لامب في عطلة عائلية عندما انتشر خبر الاختراق يوم الجمعة. كان جهاز كولد كارد Mk3 ولوحة الاسترداد الخاصة به مخفيين في المنزل. “لم تصلني فكرة أن أطلب من جاري الذي لديه مفتاح المنزل أن يجد عبارة الاسترداد لي إلا مساء السبت”، كتب على منصة إكس. وبحلول صباح الأحد، عندما عثر الجار على اللوحة واستعاد لامب محفظته، كانت القراءة صفراً. كانت الـ 2 بيتكوين قد سُحبت بعد ظهر السبت.
“كان من المفترض أن تكون هذه الـ 2 بيتكوين لطفليّ ليمنحوهما بداية جيدة في الحياة. أشعر بالدمع عندما أفكر في ذلك”، كتب لامب، مضيفاً: “إذا كان هناك أي عدالة، فيجب أن تعيدوا لنا أموالنا.”
مستخدم مجهول ينشر باسم “ماريوس أوف تشين” قال إن صديقاً له لم يتمكن من الوصول إلى جهازه تعرض لسحب عملاته من جهاز Mk2 صباح الأحد، وتم دمج أمواله مع 890 إدخالاً آخر في عنوان واحد يحتوي على 64 بيتكوين.
الاستعجال أنتج نصيحة قاسية من مطور بيتكوين الأساسي لوك داشجير، الذي كتب: “هذه مأساة. إذا لم تستطع الوصول إلى جهاز كولد كارد الخاص بك، فابحث عن شخص يستطيع. حتى لو كنت لا تثق به بمدخرات حياتك، في أسوأ الأحوال على الأقل ستعرف من أخذها!”
“8 سنوات من التجميع، ضاعت”
القصص على ريديت مؤثرة جداً. “منتدى بيتكوين على ريديت محطم للقلب في هذه اللحظة. الكثير من الناس دُمروا”، كتب المستثمر المجهول “زينكس” في منشور شاهده 3.6 مليون شخص.
في منشور واسع الانتشار على r/Bitcoin بعنوان “8 سنوات من التجميع، ضاعت. أعتقد أن الوقت حان للمضي قدماً”، وصف مستخدم باسم “داك داك موس” تجميع 2 بيتكوين للهروب من عملة بلد خاضع للعقوبات تعاني من التضخم. “عمري 39 عاماً، وكنت آمل أن يكون لدي وسادة مالية جيدة قبل الخمسين. لكن اليوم، تم سحب الـ 2 بيتكوين الخاصة بي”، كتب. “اعتقدت أنني آمن لأن كولد كارد كان دائماً يُشاد به كواحد من أفضل وأكثر المحافظ أماناً.” ينتهي المنشور بتنازل: “انتهيت من البيتكوين. لست متأكداً حتى إن كنت ما زلت أؤمن بها. ربما كان عليّ نقل كل شيء إلى صندوق البيتكوين المتداول عندما أطلقوا.”
مستخدم آخر ينشر باسم “شتوف” قال إنه كان يدخر منذ 2015 وطبع عبارة الاسترداد على لوح فولاذي. “مدخرات حياتي أُخذت مني اليوم. لا أعرف ماذا أفعل، أنا تائه.”
الهروب من القواعد التقليدية
بالنسبة للمستخدمين الذين أنقذوا عملاتهم، فإن هذه الحادثة تعيد تشكيل طريقة احتفاظهم بها — وغالباً بطرق تخالف المبادئ التقليدية للحفظ الذاتي. مستخدم ينشر باسم “أيسين”، الذي كان جهاز كولد كارد Mk4 يحمل مدخرات التقاعد، وصف أنه كان خارج المدينة لحضور مؤتمر، وقام بتنزيل محفظة بلو واليت — وهي محفظة ساخنة على الهاتف — وأدخل عبارة الاسترداد المكونة من 12 كلمة، وأرسل كل شيء إلى كوين بيس بعد تجربة إرسال صغيرة. الخطوة التالية هي اختيار بين إعداد multisig، أو محفظة بيكي من بلوك، أو بيع البيتكوين لصندوق IBIT من بلاك روك. “ما زلت متردداً.”
كاليه، المطور المجهول لبروتوكول كاشو، وصف الثغرة بأنها “أسوأ من أي اختراق سابق لتبادل البيتكوين”، وكتب أن العديد من المستخدمين المتأثرين لن يسمعوا عن الحادث في الوقت المناسب للرد. “أنا حزين حقاً لكل المتضررين، خاصة أولئك الذين ربما فقدوا مدخرات حياتهم. الجزء الأسوأ أنهم فعلوا كل شيء بشكل صحيح.”
“أنا آسف وأنا محطم”
شركة كوينكايت المصنعة لكولد كارد أصدرت تحديثاً برمجياً لكل الطرازات، وأوقفت الشحنات، ودمرت المخزون المتبقي الذي يحمل البرنامج المتأثر. “أنا آسف وأنا محطم. فريقنا حزين القلب بسبب أخبار الأمس”، كتب الرئيس التنفيذي رودولفو نوفاك، المعروف بـ”إن في كيه”، في رسالة مفتوحة، حاثاً أي شخص أنشأ عبارة استرداد على جهاز كولد كارد على تحريك أمواله فوراً.
لم تتناول الرسالة السؤال المعلق فوق منشورات مثل منشور لامب: هل ستعوض كوينكايت المستخدمين الذين سُرقت عملاتهم بالفعل؟
الأسئلة الشائعة
ما هي ثغرة كولد كارد وكيف حدثت؟
ثغرة كولد كارد هي خلل برمجي في بعض أجهزة المحفظة الباردة الشهيرة، جعل عبارات الاسترداد السرية المولدة من هذه الأجهزة قابلة للتخمين من قبل المهاجمين. هذا سمح للمهاجمين بإعادة إنتاج المفاتيح الخاصة وسحب البيتكوين من محافظ الضحايا، حتى أولئك الذين اتبعوا إجراءات الأمان الموصى بها.
كيف أعرف إذا كان جهاز كولد كارد الخاص بي متأثراً؟
إذا كنت قد أنشأت عبارة استرداد سرية على أي جهاز كولد كارد، بغض النظر عن الطراز، فأنت معرض للخطر. الخيار الأكثر أماناً هو نقل أموالك فوراً إلى محفظة جديدة قبل أن يتمكن المهاجمون من الوصول إليها، وتحديث برنامج الجهاز إلى أحدث إصدار بعد نقل الأموال.
هل يمكن تعويض المستخدمين الذين فقدوا أموالهم؟
حالياً، لم تعلن شركة كوينكايت عن أي خطة تعويض للمستخدمين المتضررين. تنصح الشركة جميع المستخدمين بنقل أموالهم فوراً كإجراء وقائي. بعض الضحايا قدموا بلاغات للشرطة والهيئات التنظيمية، لكن لا يوجد ضمان باسترداد الأموال المسروقة في هذه المرحلة.
