المهاجم الذي يستخدم المفاتيح المُنشأة عبر أجهزة Coldcard يقوم الآن بتصفير محافظ تصل قيمتها إلى بضعة آلاف من الدولارات لكل ضحية.
رصدت شركة Galaxy Research موجة ثالثة من عمليات السحب في وقت مبكر من صباح الأحد، حيث تم سحب حوالي 208 عملات بيتكوين من 1,912 عنوانًا بين ظهر الجمعة وصباح السبت بتوقيت UTC.
وهذا يعني أن كل ضحية فقدت ما يزيد قليلاً على عُشر عملة بيتكوين. أما الموجة الأولى التي بدأت في 30 يوليو فقد بلغ متوسط الخسارة فيها عملة كاملة تقريبًا، حيث تم سحب 1,083 عملة بيتكوين من 1,196 عنوانًا خلال 41 دقيقة فقط.
وبلغ إجمالي الخسائر المرصودة عبر الموجات الثلاث حوالي 1,367 عملة بيتكوين، أي ما يعادل قرابة 89 مليون دولار، من 4,585 عنوانًا.
في الموجة الثالثة، يرسل المهاجم عملات كل ضحية إلى عنوان مستقل خاص بها بدلاً من العناوين المجمعة القليلة التي كانت تستخدم في الموجتين الأوليين والتي سهلت تتبع العمليات. كما يستخدم المهاجم الآن تنسيق “بيت إلى شاهد سكريبت هاش” الذي يدعم الشروط المتعددة التوقيع أو الشروط الزمنية، بدلاً من التنسيق البسيط ذو المفتاح الواحد الذي كان مستخدمًا سابقًا.
كما زاد المهاجم من كفاءته، حيث جمع في المتوسط ست ضحايا في كل عملية سحب مقارنة بالموجة الأولى التي كانت تستهدف ضحية واحدة في كل مرة. كما اقتصر المسح على مسار الاشتقاق الافتراضي فقط، وهو الفرع القياسي من شجرة المفاتيح الذي يفحصه المحفظة أولاً، بدلاً من اختبار عدة فروع لكل بذرة.
إما أن يكون هذا هو نفس المشغل الذي أعاد بناء عملياته بعد أن تم كشفه علنًا، أو أنه مشغل ثانٍ يستغل نفس المساحة الضعيفة من المفاتيح بشكل مستقل. وتقول بيانات السلسلة إنها لا تستطيع التمييز بين الاحتمالين.
قالت Galaxy Research إنها واثقة من أن كل موجة تعود إلى مشغل واحد داخليًا، لكنها لن تربط الموجات الثلاث ببعضها البعض.
يعود أصل الثغرة إلى تحديث برمجي صدر في مارس 2021، حيث تم تحويل عملية توليد البذرة إلى مولّد أرقام عشوائي برمجي يمكن التنبؤ به بدلاً من الاعتماد على المولّد العشوائي المدمج في الشريحة. هذا الأمر ترك مجموعة محدودة من المفاتيح المحتملة التي يمكن لأي شخص، بفضل الإفصاح العام وقوة الحوسبة الكافية، إعادة إنتاجها دون لمس أي جهاز.
لكن عمليات السحب لم تتوقف حتى بعد مرور ثلاثة أيام تقريبًا، وانخفاض متوسط قيمة السحوبات يشير إلى أن الجزء المربح من مساحة المفاتيح الضعيفة قد تم استنزافه بالفعل.
أسئلة شائعة
كيف تعرضت محافظ Coldcard للاختراق؟
تعود المشكلة إلى تحديث برمجي في مارس 2021 أدى إلى توليد المفاتيح بطريقة عشوائية ضعيفة يمكن التنبؤ بها، مما سمح للمهاجمين بإعادة إنتاج المفاتيح على أجهزتهم الخاصة دون الحاجة إلى الوصول الفعلي للأجهزة.
كم بلغت خسائر المستخدمين؟
بلغ إجمالي الخسائر عبر ثلاث موجات من الهجمات حوالي 1,367 عملة بيتكوين، بقيمة تقارب 89 مليون دولار، مما أثر على أكثر من 4,500 عنوان حول العالم.
هل العمليات ما زالت مستمرة؟
نعم، لم تتوقف عمليات السحب حتى الآن، لكن متوسط الخسارة لكل ضحية انخفض بشكل كبير، مما يشير إلى أن المهاجمين يستنزفون الجزء الأكثر ربحية من المفاتيح الضعيفة أولاً، ويبقى الجزء الأقل قيمة.
