ترس به خیابان‌های کربتو رسید. Coldcard "هک شده" - آیا Ledger و Trezor ایمن هستند؟

در دنیای کربتو می‌گوییم: "کلیدهای تو، سکه‌های تو نیستند". به همین دلیل ما کیف پول‌های سخت‌افزاری، آن "گاوصندوق‌های سرد" افسانه‌ای را خریداری می‌کنیم و فکر می‌کنیم که می‌توانیم با خیال راحت بخوابیم. تا اینکه ناگهان، در اوایل اوت 2026، خبری بازار را تکان می‌دهد - Coldcard، نماد امنیت، کیف پولی برای "ماکسیمالیست‌های" بیت‌کوین، قربانی "حمله هکری" شده است. چه اتفاقی افتاده است؟ آیا Ledger و Trezor نیز در خطر هستند؟ من از یک کارشناس در این باره پرسیدم.
عکس. Everett Collection / / Shutterstock

بسیاری از شما دچار وحشت شده‌اید. تلفن‌هایم داغ شده بودند. "یانوش، چه کار کنم؟ آیا Ledger من هک می‌شود؟ آیا Trezor ایمن است؟ چگونه زندگی کنم؟". آرام باشید. ما چراغ دانش را روشن می‌کنیم. برای اینکه به طور دقیق توضیح دهم چه اتفاقی افتاده و نه اینکه ترس و ناامیدی را گسترش دهم، با لوکاس میکولا، متخصص امنیت سایبری و عضو شورای کارشناسان ما تماس گرفتم. لوکاس جزئیات فنی را تحلیل کرده و در یک ایمیل مفصل به من پاسخ داد.

امروز، بر اساس اطلاعات او و آخرین گزارش‌های رسانه‌ای، ما ماجرای Coldcard را به اجزای آن تجزیه می‌کنیم.

وضعیت امروز (5 اوت 2026): زیان‌های ناشی از خطای Coldcard ممکن است به 130 میلیون دلار (بیش از 2000 BTC) از بیش از 7700 آدرس برسد. شمارش همچنان در حال افزایش است.

چه اتفاقی افتاده است؟ آناتومی "هک" که هک نبود

بیایید از مهم‌ترین نکته شروع کنیم: هیچ‌کس رمزنگاری بیت‌کوین را نشکسته است. هیچ‌کس به طور فیزیکی به دستگاه‌ها نفوذ نکرده است. مشکل بسیار زیرکانه‌تر است و به زمانی مربوط می‌شود که... کیف پولی را راه‌اندازی می‌کنید.

لوکاس میکولا در ایمیلش به من این پدیده را در دو جمله ساده توضیح داد.

• به طور خلاصه، موضوع این بود که وقتی شما کیف پولی را روی Coldcard راه‌اندازی می‌کنید، یک کلید خصوصی تصادفی تولید نمی‌شود، بلکه می‌توان حدس زد که چه کلیدهایی این کیف پول‌ها می‌توانند تولید کنند. و کسی یک اسکریپت را اجرا کرد و کیف پول‌های مشابهی را تولید کرد که مشتریان Coldcard داشتند...

این تمام چیزی است که در چند کلمه می‌توان گفت. برای توصیف دقیق‌تر حادثه، باید کمی عمیق‌تر برویم. کلید خصوصی شما (به درس 2 از سری ما مراجعه کنید) در واقع یک عدد بسیار بزرگ است. لوکاس یادآوری می‌کند که این عدد در نمایش ده‌دهی حتی 78 رقم دارد و برای مقایسه، تخمین زده می‌شود که تعداد کل اتم‌ها در زمین "فقط" 10⁵⁰ است. این مقادیر نجومی تضمین می‌کند که هیچ‌کس هرگز به طور تصادفی کلید مشابهی مانند شما تولید نخواهد کرد.

• ایده این است که اگر فقط من عدد بزرگ مخفی خود را می‌دانم، این عدد به عنوان یک رمز عبور غیرقابل پیش‌بینی و فوق‌العاده پیچیده عمل می‌کند. و این خوب است - لوکاس می‌نویسد - مشکل این است که این عدد از کجا می‌آید. وقتی کیف پول سخت‌افزاری را پیکربندی می‌کنید، دستگاه از تولیدکننده اعداد تصادفی (RNG) برای ایجاد این کلید استفاده می‌کند (که با 12 یا 24 کلمه seed نمایش داده می‌شود).

و اینجا به درام Coldcard می‌رسیم. از تحلیل تیم مهندسی و امنیت بیت‌کوین Block مشخص می‌شود که خطا در نرم‌افزار (فریم‌ور) بود که در برخی شرایط تولیدکننده تصادفی سخت‌افزاری مناسب را نادیده می‌گرفت و به یک معادل نرم‌افزاری ضعیف‌تر سوئیچ می‌کرد.

• در برنامه‌نویسی، اجزای آماده‌ای وجود دارند که تضمین می‌کنند که قرعه‌کشی همیشه تصادفی است... اما در مورد ColdCard، چنین جزئیاتی غیرفعال بود. مشخص نیست چرا - فقط در یک نقطه در کد نرم‌افزار کیف پول، به ماژول تصادفی مقدار "0" اختصاص داده شده بود که به معنای غیرفعال کردن آن است. شاید این نتیجه عدم ارتباط در تیم برنامه‌نویسی باشد، یا شاید چیز دیگری. و این در همه چیز شگفت‌انگیز است که دستگاه یک تولیدکننده تصادفی مناسب داشت، اما هرگز از آن استفاده نکرده است - لوکاس میکولا توضیح می‌دهد.

نتیجه؟ خبرنگاران "CryptoSlate" درباره "فروپاشی تصادفی" می‌نویسند. به جای تعداد غیرقابل تصور ترکیب‌ها، تعداد کیف پول‌های ممکن به قدری کاهش یافته که هکر با یک اسکریپت ساده روی کامپیوترش می‌توانست آن‌ها را یکی یکی بررسی کند تا به کیف پول‌های متعلق به مشتریان برسد. این یک حمله به دستگاه شما در کشو نبود، بلکه حمله به خود فرآیند تولد کیف پول شما بود.

کسی پشت این قضیه است و گرافیتی هکرها

در بلاک‌چین چیزی پنهان نمی‌ماند. محققان Galaxy Research آدرس‌های متعلق به مهاجم را شناسایی کرده‌اند. جالب اینجاست که این ماجرا به یک چرخش عجیب تبدیل شده است. طبق گزارش CoinDesk، کیف پول هکر که حاوی BTC دزدیده شده است، به یک تابلو اعلانات عمومی تبدیل شده است. مردم از قابلیت OP_RETURN (که اجازه می‌دهد متن کوتاهی به تراکنش بیت‌کوین اضافه شود) استفاده می‌کنند تا به هکر مبالغ ناچیزی ارسال کنند همراه با پیام‌هایی.

برخی التماس می‌کنند: "تو دزدیدی، لطفاً حداقل کمی برگردان."
دیگران مذاکرات سخت‌تری را آغاز می‌کنند: "80% از 5 BTC من را برگردان."
همچنین فرصت‌طلبانی وجود دارند که به هکر خدمات پولشویی را با 10% کمیسیون پیشنهاد می‌دهند.

جنون.

آیا شما مشتری Coldcard بودید؟ این فوری است، اقدام کنید!

شرکت Coinkite (تولیدکننده Coldcard) بیانیه فوری صادر کرده است. اگر از مدل‌های Mk2 یا Mk3 یا جدیدتر Mk4، Q، Mk5 با نرم‌افزار قدیمی استفاده کرده‌اید - شما در خطر هستید. اینجا یک دستورالعمل کلیدی است. توجه کنید، زیرا بسیاری در اینجا اشتباه می‌کنند:

• فقط به‌روزرسانی نرم‌افزار کافی نیست - Łukasz Mikuła هشدار می‌دهد - باید این کار انجام شود، اما این فقط حفره را برای آینده ترمیم می‌کند و کلیدی که ممکن است قبلاً به خطر افتاده را تغییر نمی‌دهد. بنابراین باید یک کیف پول جدید ایجاد کنید - یک seed phrase جدید تولید کنید، و نه اینکه با قدیمی به کیف پول سخت‌افزاری دیگری وارد شوید - و وجوه را به آنجا منتقل کنید.

در اینترنت یک خلاصه عالی از این وضعیت در حال گردش است: هیچ ذخیره‌سازی امنی مشکل را حل نمی‌کند اگر رمز عبور از ابتدا ضعیف باشد. حتی اگر برگه‌ای با این 12 یا 24 کلمه را در یک گاوصندوق تیتانیومی زیر زمین نگه داشته باشید، اگر این کلمات به راحتی توسط کامپیوتر قابل حدس زدن باشند، هکر می‌تواند پول‌ها را بدزدد.

آیا Ledger و Trezor هم می‌شکنند؟ چگونه زندگی کنیم؟

این سوال کلیدی است. آیا ماجرای Coldcard می‌تواند پیش‌درآمدی برای آخرالزمانی در کل صنعت کیف پول‌های سخت‌افزاری باشد؟ CoinDesk از Vincent Bouzon، کارشناس Ledger نقل قول می‌کند که سعی می‌کند آرامش را برقرار کند: "این یک شکست از یک پیاده‌سازی است، نه حکمی درباره خود نگهداری".

Bouzon اضافه می‌کند که گزینه‌های دیگر بدتر هستند - کیف پول‌های نرم‌افزاری حتی خطرناک‌تر هستند و صرافی‌ها فقط رسیدهای بدهی هستند، نه مالکیت واقعی.

و نظر کارشناس ما، Łukasz Mikuła، که من به‌طور مستقیم از او پرسیدم: "آیا Ledger و Trezor مقاوم هستند؟" این است که:

• سوال سختی است - کنجکاوی حرفه‌ای به من اجازه نمی‌دهد بگویم که چیزی "ایمن" است بدون اینکه حداقل نگاهی به کد بیندازم... به هر حال در یکی از گفتگوهای اولیه‌ام گفتم که هیچ مکان ایده‌آلی برای ذخیره‌سازی ارزهای دیجیتال وجود ندارد و هر کدام مزایا و معایب خود را دارند و من هنوز به این موضوع پایبند هستم.

Łukasz به یک مشکل بنیادی اشاره می‌کند: او نمی‌تواند کد را بررسی کند، به‌ویژه جایی که کد باز نیست، و این در جنبه‌های کلیدی مانند Ledger صدق می‌کند. او فقط می‌تواند "به‌طور خوشبینانه فرض کند" که برندهای معتبر از این درس نتیجه‌گیری خواهند کرد. اما مهم‌ترین نتیجه‌گیری Łukasz قابل تأمل است:

• من اکنون فرض نمی‌کنم که می‌توانیم انتظار موجی از حملات به کیف پول‌های سخت‌افزاری داشته باشیم، اما قطعاً مهاجمان، به‌ویژه گروه‌های سازمان‌یافته که پشتوانه فناوری خوبی دارند، نیز اکنون به این نوع راه‌حل‌ها توجه خواهند کرد، بنابراین یک وظیفه مسئولانه برای تولیدکنندگان کیف پول پیش می‌آید.

درس این ماجرا ساده و ناخوشایند است: در دنیای ارزهای دیجیتال، گفتن "کلیدهای تو نیست، سکه‌های تو نیست" معنای جدیدی پیدا می‌کند. امروز باید اضافه کرد: مهم نیست که چه کسی کلید را نگه می‌دارد، بلکه مهم است که چه کسی و چگونه آن را برای شما تولید کرده است.

تمام یادداشت‌های من از دفترچه‌ام را می‌توانید در اینجا پیدا کنید. همچنین از شما دعوت می‌کنم که به صفحه فیسبوک من سر بزنید. می‌توانید ایمیل‌هایتان را به آدرس janusz.krypto@bankier.pl ارسال کنید.