بيتكوين: القصة الكاملة لثغرة Coldcard، من سرقة بقيمة 38 مليون إلى خسائر تصل إلى 140 مليون

شهر من القلق لمستخدمي Coldcard. في 30 يوليو، سمحت ثغرة عمرها خمس سنوات بسرقة 594 BTC في 25 دقيقة فقط. بعد ستة وعشرين يومًا، يظهر العداد حتى 1,824 BTC مسروقة، أي حوالي 140 مليون دولار بالسعر الحالي. بين الاثنين، قصة تتكشف على مراحل، مع تصحيحات غير مكتملة وتقديرات تتصاعد قبل أن تستقر. هنا نظرة شاملة على ثغرة Coldcard، من أول تحويل مشبوه حتى الحصيلة الحالية.
النقاط الرئيسية في هذه المقالة:

• سمحت ثغرة أمنية في محافظ Coldcard بسرقة مذهلة بلغت 1,824 BTC، أي حوالي 140 مليون دولار، في غضون أسابيع.

• كشفت الثغرة، التي عمرها خمس سنوات، عن عيوب حرجة في توليد المفاتيح، مما يهدد أمان أموال المستخدمين.

خمسة وعشرون دقيقة، خمسمائة عنوان تم إفراغها {#h-vingt-cinq-minutes-cinq-cents-adresses-videes}

كل شيء يبدأ في 30 يوليو 2026. في خمسة وعشرين دقيقة فقط، حوالي 594.5 BTC (38 مليون دولار) تغادر من حوالي 500 عنوان إلى عنوان تجميع واحد. في اليوم التالي في الساعة 9:33 صباحًا بتوقيت نيويورك، تنشر Coinkite، الشركة المصنعة لمحفظة Coldcard، تحديثًا للبرمجيات.

لكن تصحيح الكود لا يصلح شيئًا للمفاتيح التي تم إنشاؤها بالفعل: فقط الانتقال إلى عبارة سرية جديدة (العبارة السرية التي تحمي الأموال) يمكن أن يحمي المالكين السابقين. كانت JDC تغطي القضية منذ اليوم التالي، مستشهدة بتشارلز غيليمت، المدير الفني لشركة Ledger، الذي كان يخشى من موجة ثانية بعد أن أصبحت الثغرة معروفة. وقد كان محقًا.

على البلوكشين، يمكن قراءة القلق على الفور. 39,600 BTC تتغير ملكيتها بمبالغ صغيرة، وهو مستوى لم يُر منذ انهيار FTX في نوفمبر 2022. المقارنة مثيرة للاهتمام، إلا أن نفسية السوق مختلفة تمامًا: حيث أدى انهيار FTX إلى حالة من الذعر والانتقال إلى الحفظ الذاتي، تدفع ثغرة Coldcard بعض المالكين للعودة إلى المنصات المركزية. بينما سعر البيتكوين، لا يتأثر.

حصيلة لا تنتهي من الارتفاع {#h-un-bilan-qui-n-en-finit-pas-de-grimper}

في 1 أغسطس، تقوم JDC بالفعل بمراجعة الأرقام للأعلى، 1,083 BTC، 70 مليون دولار، على 1,196 عنوان. Galaxy Research، وحدة التحليل على السلسلة من Galaxy Digital، توضح تفاصيل مهمة، حيث تم سحب معظم هذه الأموال قبل حوالي ثلاثين ساعة من التنبيه العام من Coinkite. لذا، ليست موجة جديدة، بل تصحيح محاسبي. حساب الأضرار الناتجة عن اختراق مباشر يشبه تقييم الأضرار الناتجة عن عاصفة قبل أن تمر.

في 2 أغسطس، تشير Coindesk إلى 4,500 عنوان متأثر وخسائر تقترب من 89 مليون دولار. في 3 أغسطس، تؤدي موجة رابعة إلى تجاوز الإجمالي 1,800 BTC، أكثر من 114 مليون دولار، بينما توقف Coinkite شحناتها. كان سعر البيتكوين حينها 62,700 دولار، بانخفاض طفيف، دون ارتباط مباشر بالقضية.

المصدر: Galaxy Research، Coindesk، TRM Labs، تجميع JDC.

ثغرة Coldcard، شرح بدون مصطلحات تقنية

لا يزال من الضروري فهم ما حدث. تعود الثغرة إلى مارس 2021، مخبأة في مكتبة برمجية تُدعى libNgU. في بعض البرامج الثابتة، كان مولد الأرقام العشوائية المادي للمحفظة، الذي من المفترض أن يضمن أن تكون البذور مستحيلة التخمين، معطلاً. بدلاً من ذلك، كان مولد برمجي يتولى الأمر، مُهيأ بقيمتين يمكن التنبؤ بهما، معرف الجهاز والساعة الداخلية عند التشغيل.

نتيجة لذلك، فإن الإنتروبيا (درجة عدم قابلية التنبؤ بمفتاح، مقاسة بالبتات) تنخفض إلى حوالي 40 بت على الطرازين Mk2 و Mk3، بدلاً من 128 بت المتوقعة. مما يجعل المفتاح قابلاً للكسر بالقوة الغاشمة في حوالي خمسة عشر يوماً فقط. لم يكن على المهاجمين سوى توليد المفاتيح المرشحة، وحساب العناوين المقابلة، وانتظار تطابق مع عنوان بيتكوين معروف على السلسلة. لم يكن هناك حاجة للاقتراب من أي جهاز.

للمقارنة، تعتمد Ledger على مولد مادي يظهر 256 بت من الإنتروبيا لبذورها المكونة من 24 كلمة. ضوضاء فعلية غير قابلة للتنبؤ، وليست صيغة قابلة للتكرار.

ذكاء اصطناعي بتكلفة 2 دولار، والدروس التي تعلمتها Ledger بالفعل

في 4 أغسطس، حاول أحد الشركاء في صندوق العملات المشفرة Dragonfly Capital تجربة. إعادة إنتاج الثغرة باستخدام ذكاء اصطناعي عام، لمعرفة ما إذا كان ذلك ممكنًا. التكلفة الإجمالية، حوالي 2 دولار من الحسابات. وجد كلود المشكلة في 8 دقائق، وGLM 5.2 في حوالي عشرين دقيقة. حدثت التجربة بعد الكشف العام عن الثغرة، مع العلم بالسياق بالفعل. لا تثبت أنها اكتشفت الثغرة في الأصل، ولا أنها خدمت اللصوص. ومع ذلك، تعتبر Coinkite و Galaxy Research الفرضية ممكنة. NVK، أحد مؤسسي Coldcard، سيذهب إلى حد القول إن مراجعة الشيفرة المدعومة بالذكاء الاصطناعي تكتشف الآن الأخطاء الكامنة بشكل أسرع من أكثر الخبراء خبرة في هذا المجال.

بعد يوم واحد، طرحت JDC السؤال المحرج: وماذا عن المنافس؟ تكمن الإجابة في مقارنة الإنتروبيا. على الطرازات Mk4 و Mk5 و Q، التي تتمتع بحظ أفضل من Mk3، تصل إلى 72 بت. بينما في Ledger، ترتفع إلى 256. الدرس ليس أن الاحتفاظ بالذات (الاحتفاظ بمفاتيحك بدلاً من إيداعها لدى طرف ثالث) سيكون حسابًا خاطئًا، بل يبقى صحيحًا. إنما التنفيذ هو الذي فشل، وليس المبدأ. من الجدير بالذكر أن حاملي المفاتيح الذين قاموا بتفعيل عبارة مرور BIP-39، وهي كلمة مرور إضافية للبذور، خرجوا سالمين من هذه القصة.

الدفاع، وليس الذعر

في 6 أغسطس، حددت Galaxy Research تقديرًا بـ 1,816 BTC مسروقة من 5,294 عنوانًا. بالتوازي، حدث غير مسبوق: 119,000 BTC نائمة، أي 200 مرة من مبلغ السرقة الأول، تتغير ملكيتها في ثلاثة أيام، تم نقلها من قبل حامليها الذين انتابهم الشك بشأن أمان معداتهم الخاصة. حوالي 10% فقط منها تنتقل إلى منصات تبادل. الباقي ينتقل إلى محافظ جديدة. إنها عملية توحيد دفاعية، وليست هروبًا جماعيًا، ولا يحتفظ سعر البيتكوين بأي أثر يذكر لذلك.

تتجاوز هذه التوترات حاملي Coldcard. محفظة نائمة منذ ديسمبر 2013، تحتوي على 500 BTC، تستيقظ في خضم العاصفة دون صلة مباشرة بالثغرة. وستُعتبر حالة الذعر بعد Coldcard لاحقًا، في وقت لاحق من الشهر، واحدة من التفسيرات لموجة أخرى من استيقاظ المحافظ النائمة منذ اثني عشر إلى خمسة عشر عامًا، وهو موضوع معروف جيدًا في عالم البيتكوين والذي أعادت أزمة Coldcard إحيائه.

التصحيح الذي لا يصلح شيئًا

في 21 أغسطس، وثقت JDC التناقض. نشرت Coinkite تصحيحًا جديدًا، هذه المرة مدعومًا بالذكاء الاصطناعي لتعقب المزيد من الشذوذات في الكود. لكن لا يمكن لأي تصحيح برمجي أن يجعل seed سريًا تم تخمينه بالفعل. التصحيح يحمي المفاتيح المستقبلية، وليس تلك التي تم إنشاؤها بالفعل على برنامج ثابت ضعيف. بالنسبة لهؤلاء المستخدمين، هناك خيار واحد فقط، وهو نقل كل شيء إلى seed جديدة. إجمالي الخسائر المعلنة في هذا التاريخ هو 114 مليون دولار.

تحول آخر، أكثر هدوءًا، ولكنه يكشف الكثير. Coinkite تتخلى عن سياستها في حذف بيانات العملاء تلقائيًا، والتي كانت تحتفظ حتى الآن فقط بالبريد الإلكتروني وبلد الإقامة. السبب المقدم هو "< < التزامات قانونية > >" مرتبطة بالقرصنة، دون تفاصيل حول طبيعة أو مدة هذا الاحتفاظ. بالنسبة لمصنع كان يبيع غياب السجلات كحجة للخصوصية، فإن هذا التحول لم يمر دون أن يلاحظه أحد. خاصة أن حاملي الجنسية الكندية يبدو أنهم من بين الأكثر تأثرًا بالحادثة.

أين أصبح الغنيمة، بعد شهر

في 24 أغسطس، قامت Galaxy Research بتحديث الملاحظات مرة أخيرة. وفقًا للأرقام التي نقلتها Cryptotimes، فإن العد "< < عالي الثقة > >" يحدد بـ 1,789.28 BTC على 8,865 عنوانًا، أي 114.7 مليون دولار بقيمة وقت السرقة، و138.8 مليون بالسعر الحالي. عند دمج الحالات الأقل تأكيدًا، سيرتفع الإجمالي إلى 1,824 BTC، حوالي 140 مليون دولار. فقط 221 بلاغًا من الضحايا تغطي 44% من الإجمالي. الباقي، وجدته Galaxy Research بمفردها من خلال البحث في السلسلة، دون أن يتقدم أي ضحية.

ثم هناك هذا الرقم، الذي يبدو تقريبًا غير متناسب بعد شهر من الارتفاع الحاد. وفقًا لـ TRM Labs، 87% من الغنيمة، أي 1,561 BTC، لا يزال نائمًا على عناوين اللصوص. تم رصد إيداع واحد ملحوظ، 64.9 BTC نحو خلط المعاملات Wasabi، و200 ETH أُرسلت إلى Tornado Cash. تختلف أنماط المعاملات من موجة إلى أخرى، مما يشير إلى وجود عدة مهاجمين مستقلين بدلاً من مجموعة منظمة. تصنيف غير مرغوب فيه، ثالث أكبر اختراق للعملات المشفرة في 2026.

بعد شهر من خمس وعشرين دقيقة من الذعر، يتجاوز الدرس المصنع الوحيد بكثير. يبيع قطاع معدات الحماية الشخصية وعدًا بسيطًا، وهو مكون يقوم تمامًا بما يعلنه، وقد انهار هذا الوعد على مدى خمس سنوات دون أن يلاحظ أحد. كانت الثغرة لها تأثير جانبي غير متوقع، حيث غذت موجة من إيقاظ محافظ البيتكوين النائمة منذ أكثر من عقد، حيث فضل حاملوها التحقق من مفاتيحهم القديمة بدلاً من ترك الشك يساورهم. يقول المثل: "لا يستفيد أحد من ما هو مكتسب بشكل سيء". بعد شهر من السرقة، لا يزال أكثر من 1500 بيتكوين مسروقة نائمة على عناوين غير معروفة، دون أن يبدو أن أي لص قد وجد وسيلة للاستفادة منها.