سرقة 1,816 بيتكوين من محافظ Coldcard تكشف خللاً في توليد البذور
الحقائق الرئيسية
بدأت عمليات السحب المرتبطة بخلل في إنشاء بذور بعض محافظ Coldcard في 30 يوليو 2026، وبلغت حصيلتها المقدرة 1,816 بيتكوين من أكثر من 5,200 عنوان، وفق TRM Labs. وقدّرت الشركة قيمة العملات بنحو 116 مليون دولار وقت إعداد تقريرها المنشور في 5 أغسطس، ما يجعل الرقم حصيلة تراكمية للحادثة لا تحويلاً جديداً في 12 نوفمبر. ونقلت TRM تقدير الكمية عن Galaxy Research، فيما عرضت تقدير القيمة بالدولار كما كان وقت التقرير. وجرت عمليات السحب عبر أربع موجات، بحسب الشركة. وتمثل الواقعة خللاً في مسار توليد البذور لدى بعض الأجهزة، وليس اختراقاً للأجهزة أو سيطرة عليها عن بُعد، وفق توضيح Coinkite.
يرتبط الخلل، بحسب Coinkite، بخطأ في البناء والربط دخل مسار إنشاء البذور مع ترحيل مكتبة libNgU في مارس 2021. وأدى ذلك إلى استخدام مولد Yasmarang البرمجي بدلاً من الاعتماد حصراً على مولد العشوائية العتادي المقصود. وقالت TRM إن الأثر خفّض قوة المفتاح الفعلية في بعض الأجهزة من 128 بت المصممة إلى ما يصل إلى 40 بت. وأتاح ضعف البذور للمهاجمين إعادة توليد المفاتيح الخاصة المقابلة خارج الأجهزة، من دون الحاجة إلى الوصول المادي إليها، بحسب TRM. وأكدت Coinkite أن أجهزة Coldcard نفسها لم تُخترق ولم يتم الوصول إليها أو التحكم بها عن بُعد. لذلك ينصب الخطر على البذرة التي أُنشئت عبر مسار متأثر، لا على الجهاز لمجرد امتلاك المستخدم له.
أوضحت Coinkite أن تحديث البرنامج الثابت يصحح إنشاء البذور مستقبلاً، لكنه لا يجعل البذرة المتأثرة الموجودة آمنة. وتوصي الشركة بتثبيت الإصدار المصحح قبل إنشاء بذرة جديدة، ثم نقل الأموال إذا كانت البذرة قد أُنشئت على البرنامج المتأثر. وتعرض صفحة الحالة الرسمية الإرشادات نفسها، مؤكدة أن التحديث وحده لا يصلح البذرة القائمة. وفي 1 أكتوبر 2026، كانت الإصدارات القياسية الموصى بها 5.6.3 لأجهزة Mk4 وMk5، و1.5.3Q لأجهزة Q، بحسب الصفحة. ويعني ذلك أن تحديث الجهاز خطوة لازمة لتأمين إنشاء بذور لاحقة، لكنه لا يغني عن ترحيل الأموال من بذرة متأثرة. وتبقى هذه الخطوات، وفق Coinkite، مرتبطة بحالة البذرة والبرنامج الذي أُنشئت عليه.
وقالت TRM إن معظم أموال الضحايا تجمعت في عدد قليل من عناوين المهاجمين، ورصدت إيداع 64.9 بيتكوين في Wasabi و200 إيثيريوم في Tornado Cash بتاريخ 4 أغسطس. وأشارت الشركة إلى أن نمط المعاملات قد يدل على تورط أكثر من مهاجم، لكنها لم تنسب السرقة إلى جهة محددة وقت تقريرها. ووصفت الحادثة بأنها ثالث أكبر هجوم على العملات المشفرة في 2026 حتى تاريخ التقرير. وقدرت TRM إجمالي المسروق في حوادث العملات المشفرة بأكثر من 1.2 مليار دولار عبر 276 حادثة حتى 5 أغسطس. ويضع هذا التقدير حادثة Coldcard ضمن موجة أوسع من الخسائر التي رصدتها الشركة خلال العام. أما قيمة 116 مليون دولار الخاصة بحادثة Coldcard فتبقى تقديراً وقت إعداد التقرير، وليست تقييماً محدثاً لأسعار 12 نوفمبر.
وفي تغطية ثانوية مؤرخة 10 نوفمبر، نُسب إلى الرئيس التنفيذي لـCoinkite نوڤاك أن نموذجاً للذكاء الاصطناعي اكتشف الخلل بعد أن أخفق مراجعون بشريون في رصده. ولم يتوفر تصريح أولي مفتوح يؤكد هذه الرواية، لذا تظل منسوبة إلى تلك التغطية. وتأتي هذه الرواية على خلفية خلل برمجي يعود إلى ترحيل مارس 2021، بحسب الشرح التقني المنشور من Coinkite. ويتركز الإجراء العملي الذي أعلنته الشركة على تحديث البرنامج ثم إنشاء بذرة جديدة ونقل الأموال من أي بذرة متأثرة. كما تفرق إرشاداتها بوضوح بين إصلاح مسار التوليد للمستقبل ومعالجة البذور التي أُنشئت سابقاً. وتظل تفاصيل الإسناد إلى مهاجم بعينه غير محسومة في تقدير TRM المنشور في أغسطس.