هاكرز Coldcard يتركون 87% من البيتكوين المسروق دون تحريك بعد سرقة بقيمة 114 مليون دولار

أكثر من 87% من البيتكوين المنسوب إلى اختراق Coldcard لم يتحرك، مما ترك 1,561 BTC تحت سيطرة المهاجمين بعد أن ربط الباحثون الاستغلال بخسائر بلغت 114.7 مليون دولار.
ملخص

• تتبع Galaxy Research 1,789 BTC المسروقة من 8,865 عنوانًا إلى اختراق Coldcard.
• حوالي 1,561 BTC، أو 87.3% من الخسائر المنسوبة، لا يزال دون تحريك.
• بعض البيتكوين من الهجمات اللاحقة قد تحركت من خلال معاملات CoinJoin وسلاسل التقشير.
• شاركت Galaxy العناوين المحددة للمهاجمين مع البورصات وشركات الامتثال وإنفاذ القانون.

تتبع Galaxy Research 1,789.28 BTC المسروقة من 8,865 عنوانًا إلى استغلال Coldcard، وفقًا لمنشور يوم الاثنين من Alex Thorn، رئيس قسم الأبحاث في الشركة. كانت قيمة البيتكوين 114.7 مليون دولار عند أخذها، بينما قدر Thorn قيمتها الحالية بحوالي 138.8 مليون دولار.

📊 أرقام محدثة حول استغلال Coldcard

8865 عنوانًا فقدت 1789.28 BTC بقيمة 114.7 مليون دولار في وقت السرقة (138.8 مليون دولار اليوم)

-- الخسارة حسب العنوان
الوسيط 0.00152
المتوسط 0.20184
مدة السكون الوسيطة 3.2 سنة
مدة السكون المتوسطة 3.6 سنة

-- الخسارة حسب تقارير الضحايا (221)
الوسيط 1.04272
المتوسط 3.57792
مدة السكون... pic.twitter.com/d2R29dYyco
--- Alex Thorn (@intangiblecoins) 24 أغسطس 2026

من الإجمالي، لم يتم إنفاق 1,561 BTC، أو 87.3%، ولا يزال في عناوين جمع أو احتفاظ تحت سيطرة المهاجمين. كما أن جميع البيتكوين المرتبطة بموجات الهجوم الثلاثة الأولى قد ظلت دون تحريك، مما يمنح الباحثين سجلًا على السلسلة حول مكان احتفاظ جزء كبير من الأموال المسروقة.

بدأت بعض الأموال من الهجمات اللاحقة في التحرك. قال Thorn إن المهاجمين استخدموا معاملات CoinJoin وسلاسل التقشير وطرق أخرى مصممة لجعل حركة البيتكوين أكثر صعوبة في المتابعة عبر العناوين.

معظم البيتكوين من اختراق Coldcard لا يزال قابلاً للتتبع

تشمل أحدث أرقام Galaxy كل من تحليل مستوى العنوان والمعلومات المقدمة مباشرة من الضحايا حيث يواصل الباحثون رسم خرائط المحافظ المرتبطة بالاستغلال.

عبر 8,865 عنوانًا حددتها الشركة، كانت الخسارة الوسيطة 0.00152 BTC وكان المتوسط 0.20184 BTC، وفقًا للأرقام التي شاركها Thorn. كما أن البيتكوين المتأثر قد ظل خامدًا لفترات طويلة قبل أن يتم سرقته، مع مدة سكون وسائط قدرها 3.2 سنوات ومتوسط قدره 3.6 سنوات.

تظهر تقارير الضحايا خسائر أكبر على أساس فردي. تلقت Galaxy 221 تقريرًا تغطي 790.72 BTC، وهو ما يعادل 44.2% من إجمالي البيتكوين المنسوب إلى الاستغلال. كانت الخسارة المبلغ عنها الوسيطة 1.04272 BTC وكان المتوسط 3.57792 BTC.

أوضح Thorn بشكل منفصل أن الوسيط يعني أن نصف الضحايا الذين أبلغوا عن خسائرهم على الأقل فقدوا 1 BTC أو أكثر. وقد ظلت البيتكوين التي تغطيها تلك التقارير خامدة لمدة وسائط قدرها 3.25 سنوات قبل السرقة، بينما كانت فترة السكون المتوسطة 2.99 سنوات.
قد يعجبك أيضًا: سرقة Coldcard: قد يعرف مكتب التحقيقات الفيدرالي 1,082 BTC للمهاجم

قد لا تحسب الحصيلة المؤكدة كل خسارة مرتبطة بالحادثة. قال Thorn إن تضمين العناوين ذات الثقة المتوسطة التي لم يتم تأكيدها بعد سيزيد التقدير إلى حوالي 1,824 BTC، بقيمة تقارب 140 مليون دولار في وقت السرقة المعنية.

تغيرت التقديرات السابقة مع تحديد الباحثين لعناوين ضحايا إضافية وأنماط الهجوم. قالت TRM Labs في 5 أغسطس إن الحادث قد شمل عدة موجات بدأت في 30 يوليو وربطت السرقات بمشكلة في البرنامج الثابت التي أضعفت العشوائية المستخدمة عند توليد بعض بذور محفظة Coldcard.

وفقًا لـ TRM Labs، فإن خطأ في تكوين البناء تم تقديمه من خلال البرنامج الثابت في مارس 2021 تسبب في عودة الأجهزة المتأثرة إلى مولد أرقام عشوائية برمجية أضعف بدلاً من الاعتماد بالكامل على العشوائية الناتجة عن الأجهزة. قالت شركة الأمن إن قوة المفتاح الناتجة قد تنخفض بما يكفي لاستعادة المفاتيح الخاصة من خلال الحوسبة بالقوة الغاشمة دون الوصول الفعلي إلى المحفظة.

المهاجمون بدأوا في إخفاء بعض السرقات اللاحقة

بينما تظل أكبر الحيازات متوقفة، وجدت Galaxy سلوكيات معاملات مختلفة بين الأموال التي تم أخذها خلال الهجمات اللاحقة.

يمكن أن تجمع CoinJoin المعاملات من عدة مشاركين لجعل من الصعب ربط المدخلات الفردية بمخرجاتها النهائية. تتضمن سلاسل التقشير نقل كميات أصغر بشكل متكرر من رصيد أكبر إلى عناوين جديدة، مما يخلق مسارات معاملات أطول يمكن للمحققين تتبعها.

استمرت Galaxy في تتبع تلك الحركات بينما تشارك عناوين المهاجمين المحددة مع بورصات العملات المشفرة، وشركات الامتثال، وإنفاذ القانون. قال ثورن إن هذا الجهد قد يسمح للمنصات المركزية بتحديد وتجميد البيتكوين المسروق إذا أرسل المهاجمون الأموال في النهاية إلى خدمات يمكن فيها اعتراض الحسابات أو المعاملات.

تعتبر قلة الحركة عبر الموجات الثلاث الأولى مهمة بشكل خاص لجهود التتبع لأن البيتكوين المقابل لم يمر بعد عبر تقنيات الإخفاء التي لوحظت في الأنشطة اللاحقة. وبالتالي، يمكن للباحثين الاستمرار في مراقبة العناوين المعروفة للمعاملات الصادرة.

في وقت سابق من أغسطس، أفادت TRM Labs أيضًا بأن معظم الأموال المسروقة كانت تتجمع في عدد محدود من العناوين التي يسيطر عليها المهاجمون مع حركة قليلة في ذلك الوقت. أدت الاختلافات بين هياكل المعاملات عبر موجات الهجوم إلى قول الشركة إن عدة مهاجمين قد يكونون متورطين، على الرغم من أنها لم تنسب الاستغلال إلى أي جهة محددة.

ركزت أمان Coldcard على تخزين المفاتيح غير المتصلة بالإنترنت

أدى الحادث إلى تسليط الضوء على علامة تجارية لمحفظة الأجهزة تم بناؤها خصيصًا حول احتفاظ البيتكوين.

في مايو، أفادت crypto.news سابقًا أن Coinkite أصدرت Coldcard MK5، أول مراجعة للأجهزة لسلسلة MK الرائدة منذ وصول MK4 في عام 2022. احتفظ الجهاز بتصميم عنصر أمان مزدوج باستخدام مكونات من مصنعين للرقائق واستمر في دعم سير العمل للمعاملات المعزولة.

كما قدم MK5 شاشة أكبر من زجاج غوريلا، وأزرار مادية معاد تصميمها، ووظائف NFC محسنة. قالت Coinkite في ذلك الوقت إن الجهاز استمر في استخدام البرنامج الثابت مفتوح المصدر مع الحفاظ على تصميمه الخاص بالبيتكوين فقط.

كانت أمان المحفظة قد واجهت بالفعل اهتمامًا متزايدًا قبل ظهور خسائر Coldcard. في يوليو، كشفت Coinspect عن ضعف أسمته "Ill Bloom"، والذي ينطوي على ضعف العشوائية أثناء توليد عبارة الاسترداد عبر عدة محافظ برمجية. قالت شركة الأمان إن حوالي 5 ملايين دولار قد انتقلت من المحافظ المكشوفة بحلول أوائل يوليو، على الرغم من أن محافظ الأجهزة بدت غير متأثرة بتلك المشكلة المحددة.

يمكن أن تصبح العشوائية الضعيفة خطيرة بشكل خاص في محافظ العملات المشفرة لأن عبارات البذور تحدد في النهاية المفاتيح الخاصة التي تتحكم في الأصول. إذا كانت المدخلات العشوائية المستخدمة لإنشاء بذور تحتوي على القليل من الانتروبيا، فقد يتمكن المهاجم الذي يمتلك موارد حوسبة كافية من البحث في النطاق المنخفض من التركيبات الممكنة.

أثارت مخاطر محافظ الأجهزة تدقيقًا جديدًا

تضمنت حوادث أمان المحفظة الأخرى هذا الصيف طرق هجوم مختلفة.

في يوليو، أظهر باحثو Donjon من Ledger هجومًا بالليزر ضد بطاقة محفظة Tangem يمكن أن تعيد تعيين كلمة مرورها وتسمح في النهاية بتوقيع المعاملات. قالت Tangem إن الطريقة تتطلب حيازة فعلية للبطاقة، ومعرفة متخصصة، ومعدات مختبرية تكلف حوالي 250,000 دولار، مما يجعل الهجوم مختلفًا عن ضعف المحفظة القابل للاستغلال عن بُعد.

كما انتقد المحقق Onchain ZachXBT محافظ الأجهزة في يوليو، قائلاً إنه لا يعتبر الأجهزة الحالية مناسبة لتوقيع المعاملات الحرجة أو الاحتفاظ بكميات كبيرة من العملات المشفرة. كانت تعليقاته تمثل تقييمًا شخصيًا ولم تكن مرتبطة بأدلة على وجود اختراق جديد للأجهزة في ذلك الوقت.

تتعلق حادثة Coldcard بنقطة فشل مختلفة لأن الباحثين ربطوا السرقات بتوليد المفاتيح على الأجهزة المتأثرة. قالت TRM Labs إن تثبيت البرنامج الثابت المحدث لا يصلح مفتاحًا تم إنشاؤه في الأصل بعشوائية ضعيفة، مما يعني أن المستخدمين الذين لديهم محافظ متأثرة سيحتاجون إلى توليد مفتاح جديد على أجهزة آمنة ونقل عملاتهم البيتكوين إلى عناوين مشتقة منه.

بالنسبة للمحققين، تظل عملة البيتكوين المسروقة هي المصدر الرئيسي للأدلة. واصلت Galaxy توزيع عناوين المهاجمين المؤكدة على البورصات وشركات الامتثال وإنفاذ القانون بينما تراقب 1,561 BTC التي لم تغادر بعد محافظ التجميع والاحتفاظ التي يسيطر عليها المهاجمون. اقرأ المزيد: Monad تقترح ترقية المحفظة لمفاتيح المرور، والاسترداد، والأمان الكمي