تحديث اختراق Coldcard: ما لا يقل عن 15 جهة هاجمت ثغرة في المحفظة

قال أليكس ثورن، رئيس الأبحاث في Galaxy Digital، إن ما لا يقل عن 15 جهة مختلفة استغلت ثغرة في محفظة Coldcard للأجهزة، بعد أن كشفت بلاغات جديدة من ضحايا عن سرقات لم تكن معروفة سابقًا. وأضاف أن هذه البلاغات مكّنت فريق Galaxy Research من ربط عناوين بيتكوين إضافية بالحادثة. وفي إحدى الحالات، ساعد ضحية خسر أقل من 1 بيتكوين الباحثين على تتبع مهاجم استولى على 12 بيتكوين من 126 عنوانًا. وبخلاف اختراقات منصات التداول المركزية، لم تكن السرقة مرتبطة بمحفظة واحدة أو نقطة فشل واحدة؛ إذ انتقلت الأموال من عدد كبير من المحافظ المملوكة بشكل مستقل إلى عدة عناوين يسيطر عليها المهاجمون. ويرى الباحثون أن كثيرًا من السرقات قد تبقى غير قابلة للرصد ما لم يفصح الضحايا عن عناوين محافظهم ومعاملاتهم. وتقدّر Galaxy Research أن نحو 100 مليون دولار من بيتكوين سُرقت عبر ثلاث موجات هجوم مؤكدة. كما حدّد الباحثون موجة رابعة يُشتبه بوقوعها قد ترفع إجمالي الخسائر إلى قرابة 130 مليون دولار. وأشارت الشركة إلى أن "15 مجموعة عناوين للمهاجمين" لا تعني بالضرورة 15 شخصًا معروفًا؛ فقد تكون بعض العناوين تحت سيطرة جهة واحدة، بينما قد توجد جهات أخرى لم تُكتشف بعد. ثغرة في Coldcard أضعفت توليد عبارة الاسترداد أثّرت الثغرة في آلية توليد عبارات الاسترداد لدى بعض أجهزة Coldcard. ووفقًا للتقارير، أدّى خطأ في دمج البرنامج الثابت (Firmware) إلى اعتماد الأجهزة المتأثرة على مولّد أرقام شبه عشوائي حتمي بدلًا من مولّد أرقام عشوائي قائم على العتاد (Hardware) كما هو مقصود. هذا خفّض مستوى العشوائية الذي يحمي بعض المفاتيح الخاصة وجعل البحث عن عبارات بذور صالحة أكثر قابلية للتنفيذ. وقال فرانشيسكو، الشريك المؤسس في Castle Labs، إن محافظ Coldcard المتأثرة ربما أنشأت مفاتيح خاصة بقدر عشوائية فعّال يقارب 40 بتًا، في حين أن عبارة استرداد قياسية من 12 كلمة توفّر عادة 128 بتًا. ولا يعني ذلك أن المهاجمين استطاعوا استخراج المفاتيح مباشرة من جهاز معزول عن الشبكة (air-gapped). بدلاً من ذلك، تمكنوا من إعادة توليد عبارات استرداد محتملة ومراقبة عناوين بيتكوين المرتبطة بها بحثًا عن أرصدة. ونُصح المستخدمون الذين قد تكون محافظهم متأثرة بتحديث البرنامج الثابت، وإنشاء عبارة بذرة جديدة بالكامل، ثم نقل بيتكوين إلى عناوين تابعة للمحفظة الجديدة. كما حذّر الباحثون من أن استيراد عبارة الاسترداد المتأثرة إلى جهاز آخر لا يعالج الضعف الأساسي. هل كان الذكاء الاصطناعي قادرًا على منع استغلال Coldcard؟ أثارت الحادثة نقاشًا حول ما إذا كان اختبار الأمان المدعوم بالذكاء الاصطناعي قادرًا على اكتشاف العيب في وقت أبكر. واعتبر حسيب قريشي، الشريك الإداري في Dragonfly، أن ما يقارب "2 دولار من تقوية الأمان بالذكاء الاصطناعي" كان قد يمنع الخسائر. واستند إلى تجارب زُعم فيها أن نماذج ذكاء اصطناعي أعادت اكتشاف الثغرة خلال دقائق، من بينها اختبار قيل إن نموذج GLM 5.2 مفتوح المصدر عثر عليها في نحو 20 دقيقة دون الوصول إلى الإنترنت. في المقابل، شكك منتقدون في أن هذه التجارب تثبت إمكانية اكتشاف الثغرة قبل الإعلان عنها. وقال تاتسابات سايريجيتّيما، رئيس البيانات في Tokenomist، إن بعض الاختبارات أُجريت بعد الإفصاح عن الثغرة، وافتقرت إلى اختبارات عمياء ومنهجيات موثقة وتقييمات لمعدلات الإيجابيات الكاذبة. ورغم أن الذكاء الاصطناعي قد يخفض تكلفة اكتشاف الثغرات، فإنه لا يغني عن التدقيقات المستقلة واختبارات شاملة من طرف إلى طرف لكيفية توليد محافظ الأجهزة للمفاتيح الخاصة وحمايتها.