كولدكارد يصدر تحديثًا بعد سرقة بيتكوين بـ114 مليون دولار؛ يقول إن الذكاء الاصطناعي ساعد في اكتشاف المزيد من الأخطاء
أصدرت شركة كوين كيت الكندية، الشركة المصنعة لمحفظة الأجهزة كولدكارد، تحديثًا جديدًا للبرنامج الثابت بعد أسابيع فقط من الكشف عن ثغرة أمنية سمحت للمهاجمين بسرقة أكثر من 114 مليون دولار من حاملي البيتكوين.
قالت الشركة إن عملية المراجعة الأمنية تمت بمساعدة الذكاء الاصطناعي، حيث استُخدمت نماذج متقدمة مثل كيمي وأدوات أخرى لفحص ليس فقط رمز التوليد العشوائي المعيب، بل النظام بأكمله.
وقد كشفت المراجعة عن مشاكل إضافية غير الثغرة الأصلية، تتعلق بطريقة الموافقة على المعاملات، وكيفية نقل البيانات عبر منفذ USB، وكيفية التحقق من تحديثات البرنامج الثابت.
ماذا يعني التحديث الجديد للمستخدمين؟
تثبيت التحديث الجديد لا يجعل المحفظة المخترقة سليمة مرة أخرى. أي شخص أنشأ عبارة الاسترداد (السيِد) أو المفتاح الرئيسي الذي يتحكم في عملات المحفظة على البرنامج الثابت المتأثر بين عامي 2021 ويوليو 2026، يجب عليه توليد عبارة استرداد جديدة ونقل أمواله إليها.
تعمل عبارات الاسترداد الجديدة الآن بطريقة مختلفة تمامًا. كل عبارة تتطلب من المالك إدخال العشوائية يدويًا، وذلك من خلال إحدى الطرق التالية:
- 65 ضغطة زر في فترات زمنية غير متوقعة
- 50 رمية حجر نرد سداسي الوجوه
- 128 رمية عملة معدنية
تُستخدم العشوائية المادية لأن رمي حجر النرد أو العملة ينتج نتائج لا يمكن لأي برنامج التنبؤ بها، بينما كانت الثغرة الأمنية ناتجة عن توليد الجهاز للعشوائية بنفسه بشكل غير آمن.
في العمق، استبدلت كوين كيت مولد الأرقام العشوائية الاحتياطي بالكامل، حيث تم استبدال خوارزمية قديمة تسمى “ياسمارانج” بخوارزمية مبنية على SHA-256، وهي نفس دالة التجزئة التي تستخدمها البيتكوين نفسها.
تحسينات أمنية إضافية
أصبح الجهاز الآن يتحقق من المعاملة مرة أخرى فورًا قبل توقيعها، بحيث لا يمكن لجهاز كمبيوتر مخترق عبر منفذ USB تعديل الدفع بعد موافقة المالك على شاشة الجهاز. كما تم تعطيل أوضاع التوقيع التي تترك أجزاء من المعاملة قابلة للتعديل بعد التوقيع، بشكل افتراضي.
قالت الشركة إن سلطات إنفاذ القانون لا تزال تحقق في عمليات السرقة وتعمل على تحديد المسؤولين عنها، وإن الشركة مستعدة لتقديم المساعدة في أي وقت.
تطلب كوين كيت من مالكي أجهزة Mk4 وMk5 تثبيت الإصدار 5.6.1، ومن مالكي الطراز الأحدث Q تثبيت الإصدار 1.5.1Q، من صفحة التحميلات الرسمية فقط. كما أطلقت صفحة حالة عامة تعرض الإصدارات التي تم إصلاحها وخطوات الترحيل المطلوبة.
دور الذكاء الاصطناعي في اكتشاف الثغرات
كولدكارد هي خامس شركة بيتكوين أو عملات رقمية خلال ثلاثة أسابيع تعلن علنًا أن الذكاء الاصطناعي غيّر طريقة تنفيذ العمل الأمني.
مشروع BTCPay Server، وهو برنامج مجاني يستخدمه التجار لقبول مدفوعات البيتكوين، تعرض هذا الشهر لهجوم عندما تمكن المهاجمون من استنزاف عُقد لايتنينج تابعة لمستخدميه من خلال ثغرة تم إصلاحها للتو. يقدم المشروع مكافأة تصل إلى 3 بيتكوين لإعادة الأموال، ودفع 0.42 بيتكوين للباحثين الذين اكتشفوا الثغرة، وينصح التجار بالاحتفاظ بالأموال في محافظ باردة ونقل الفائض من المحافظ الساخنة بانتظام، “خاصة خلال هذه الفترة من التغيير السريع بقيادة الذكاء الاصطناعي”.
الأسئلة الشائعة
س: هل أحتاج إلى إنشاء عبارة استرداد جديدة بعد تثبيت التحديث؟
ج: نعم، إذا كانت عبارة الاسترداد الخاصة بك أُنشئت على برنامج ثابت متأثر بين عامي 2021 و2026، فيجب عليك توليد عبارة جديدة بالكامل ونقل أموالك إليها، لأن تثبيت التحديث لا يجعل المحفظة المخترقة سليمة.
س: ما هي الطرق الجديدة لتوليد العشوائية في كولدكارد؟
ج: الجهاز الآن يتطلب عشوائية فيزيائية يدوية من المالك، وتشمل ثلاث طرق: 65 ضغطة زر بتوقيتات غير متوقعة، أو 50 رمية نرد، أو 128 رمية عملة معدنية، لأن هذه الطرق لا يمكن للبرمجيات التنبؤ بنتائجها.
س: كيف ساعد الذكاء الاصطناعي في اكتشاف هذه الثغرات؟
ج: استخدمت كوين كيت نماذج ذكاء اصطناعي متقدمة مثل كيمي لفحص النظام بأكمله، وليس فقط الكود المعيب، مما أدى إلى اكتشاف مشاكل إضافية تتعلق بالموافقة على المعاملات ونقل البيانات عبر USB والتحقق من التحديثات، وهو ما يعكس اتجاهًا متزايدًا لاستخدام الذكاء الاصطناعي في الأمن السيبراني للعملات الرقمية.
