اختراق Coldcard: 87% من بيتكوين مسروق بقيمة تتجاوز 114 مليون دولار ما زال دون حركة

لا تزال الغالبية الكبرى من عملات بيتكوين المرتبطة باستغلال حديث لمحافظ Coldcard بلا حركة، ما يمنح محققي السلسلة نافذة نادرة لمتابعة أرصدة المهاجمين أثناء تتبع خسائر تُقدّر بأكثر من 114 مليون دولار. ما توصلت إليه الأبحاث تتبّع Galaxy Research، عبر الباحث Alex Thorn، سرقة 1,789.28 بيتكوين من 8,865 عنواناً مرتبطة باستغلال Coldcard، بما يعادل نحو 114.7 مليون دولار وقت حدوث السرقات (ونحو 138.8 مليون دولار وفق الأسعار الحالية). ومن هذا الإجمالي، ما يزال 1,561 بيتكوين (87.3%) في عناوين تجميع/احتفاظ تحت سيطرة المهاجمين من دون إنفاق. وبحسب Galaxy، فإن إدراج عناوين "متوسطة الثقة" يرفع التقدير إلى نحو 1,824 بيتكوين (قرابة 140 مليون دولار وقت السرقات). مؤشرات أساسية من تحليل Galaxy - العناوين المتضررة: 8,865 عنواناً. الخسارة الوسيطة لكل عنوان 0.00152 بيتكوين، والمتوسط 0.20184 بيتكوين. - السكون (المدة التي بقيت فيها العملات دون حركة قبل السرقة): وسيط 3.2 سنوات، ومتوسط 3.6 سنوات. - بلاغات الضحايا: 221 بلاغاً تغطي 790.72 بيتكوين (44.2% من الإجمالي المتتبَّع). وسيط الخسارة المُبلّغ عنها 1.04272 بيتكوين، والمتوسط 3.57792 بيتكوين، ووسيط السكون 3.25 سنوات. أنماط التحويل ومحاولات التمويه بدأت الأموال المسروقة في الموجات اللاحقة بالتحرك. وتشير Galaxy إلى استخدام المهاجمين معاملات CoinJoin وسلاسل "peel chains" وأساليب خلط أخرى لتعقيد التتبع. في المقابل، لم تُحرّك العملات من أول ثلاث موجات محددة حتى الآن، ما يُبقي سجلاً على السلسلة "نظيفاً" ويسهّل مراقبة أي نشاط خروج. كيف حدثت الثغرة ربطت TRM Labs السرقات بفشل في العشوائية مرتبط بالبرمجيات الثابتة (Firmware): إذ أدى خطأ في إعدادات البناء أُدخل في مارس 2021 إلى أن تعود أجهزة Coldcard المتأثرة إلى مولّد أرقام عشوائية برمجي أضعف بدلاً من الاعتماد حصراً على عشوائية العتاد (Hardware entropy). هذا الانخفاض في الإنتروبيا قد يجعل المفاتيح الخاصة قابلة للاسترجاع عبر هجمات القوة الغاشمة من دون الحاجة إلى الوصول المادي للجهاز. وتؤكد TRM Labs أن تثبيت Firmware مُصحّح لا يعالج بذرة (Seed) تم اختراقها بالفعل. على المستخدمين المتأثرين إنشاء Seed جديدة على عتاد آمن ونقل الأموال إلى عناوين جديدة. الاستجابة الجارية ودلالاتها تشارك Galaxy Research عناوين المهاجمين المؤكدة مع منصات التداول وشركات الامتثال والجهات الأمنية للمساعدة في التعرف على الأموال وربما تجميدها إذا تم تحويلها إلى خدمات مركزية. وبقاء معظم الأرصدة الأكبر دون خلط أو حركة يمنح المحققين أفضلية واضحة في التتبع، بينما يزيد نشاط الخلط في الموجات اللاحقة من صعوبة المهمة. سياق أوسع لأمن المحافظ تسلط حادثة Coldcard الضوء على خطورة العشوائية الضعيفة عند توليد Seed. وخلال هذا الصيف أيضاً: - كشف Coinspect عن "Ill Bloom" (عشوائية ضعيفة في بعض المحافظ البرمجية) مع تحرك نحو 5 ملايين دولار من محافظ مكشوفة. - استعرض Ledger Donjon هجوماً بالليزر على بطاقة Tangem يتطلب وصولاً مادياً ومعدات مختبرية مكلفة. - انتقاد علني من المحقق على السلسلة ZachXBT لمدى ملاءمة المحافظ الصلبة للعمليات الكبيرة والحساسة جداً (تقييم شخصي غير مرتبط بأدلة جديدة على اختراق). وعلى عكس الهجمات التي تتطلب حيازة الجهاز، فإن مشكلة Coldcard نتجت عن إنتروبيا توليد Seed، ما يعني قابلية استغلال عن بُعد عبر مفاتيح ضعيفة. ما الذي ينبغي على المستخدمين فعله إذا استُخدم جهاز Coldcard متأثر لإنشاء Seed، فالحل الضروري هو إنشاء Seed جديدة على عتاد آمن وتحويل كامل الرصيد إلى عناوين مشتقة من تلك Seed الجديدة؛ تحديثات Firmware وحدها لا تكفي. ويُنصح أيضاً بإبقاء Firmware مُحدَّثاً، وتفضيل مولد العشوائية العتادي حيث أمكن، والنظر في توزيع الحيازات الكبيرة على أكثر من حل آمن. ولا يزال المحققون يراقبون 1,561 بيتكوين التي لم تتحرك، بالتوازي مع رسم خريطة لعناوين إضافية وموجات هجوم أخرى. وقد تكون طبيعة هذه الأموال الساكنة عاملاً حاسماً إذا تفاعل المهاجمون لاحقاً مع خدمات مركزية.