تناول موقع Coin Edition جدلا متصاعدا حول أمان محفظة Coldcard بعد سرقة قدرت بنحو 116 مليون دولار من عملة بيتكوين BTC، وقدرت TRM Labs الخسائر بنحو 1,816 BTC استنادا إلى بيانات Galaxy Research، إذ طالت السرقات أكثر من 5,200 عنوان عبر أربع موجات بدأت في 30 يوليو.
وجاءت أكبر عملية سحب واحدة بحسب Galaxy بواقع 1,082 BTC من 1,196 محفظة جرى بثها خلال 41 دقيقة فقط، وأرجعت TRM الخلل إلى خطأ في البناء يعود إلى مارس 2021، خفض قوة البذور في الأجهزة الأقدم من 128 بت المقصودة إلى 40 بت في أدنى الحالات، ما مكن المهاجمين من إعادة بناء مفاتيح المحافظ دون وصول مادي إلى الجهاز، وفي الأثناء، احتدم النقاش بين مطورين ومسؤولين في الصناعة بشأن ما إذا كانت مراجعات الأمان السابقة قادرة على كشف هذه الثغرة.
دفاع NVK عن مراجعات الأمان في Coldcard
كما أشار الموقع إلى أن الرئيس التنفيذي لشركة Coinkite المعروف باسم NVK دافع في 9 نوفمبر عن فحوص الأمان في Coldcard، مؤكدا أن نموذج ذكاء اصطناعي جديدا هو الذي كشف الخلل الكامن وراء سرقة عملة بيتكوين BTC المقدرة بنحو 116 مليون دولار.
وقال عبر منصة X إن Coldcard خضعت لمراجعتين مدفوعتين على الأقل من أطراف خارجية قبل الاستغلال، شملت الأولى طراز Mk4 في 2022، وفحصت الثانية طراز Q في 2024.
وبحسب حديثه، أجرى Rob Ham مراجعة منفصلة باستخدام OpenAI Cybersecurity Harness حددت 85 مشكلة محتملة ودفعت إلى إدخال عدة إصلاحات، غير أنها أخفقت في رصد عيب البذور، ولم تكشف المراجعات المعلنة العيب قبل أن يستغله المهاجمون.
في المقابل، اعترض المطور Luke Dashjr على الادعاء المتعلق بما كان بوسع المراجعين البشر اكتشافه، وكان NVK، واسمه رودولفو نوفاك، قد دعا في 31 يوليو الماضي كل من أنشأ بذرة عبر Coldcard إلى نقل أمواله فورا باستخدام أفضل الممارسات المحدثة، قبل الاستمرار في قراءة الإفادة.
وتصنع Coinkite، ومقرها تورنتو، محفظة Coldcard التي بنت سمعتها على إبقاء المفاتيح الخاصة بعيدا عن الهواتف والمتصفحات وكل ما يتصل بالإنترنت، ما جعل خللا في توليد البذور ضربة مباشرة لوعد الأمان الذي قامت عليه، وتتداول عملة بيتكوين BTC قرب مستوى 64,300 دولار طوال موجات السرقة الأربع، بحسب ما نقلته مجلة Forbes الأمريكية.
انتقادات المطورين وآلية الخلل في مولد الأرقام العشوائية
وأضاف الموقع أن Dashjr قال إنه ألقى نظرة سريعة على الشيفرة البرمجية، وإنه شارك ملاحظاته بصورة خاصة مع Coinkite قبل نشرها علنا، وإن انتقاداته تركزت على مولد الأرقام العشوائية، وفي منشور بتاريخ 4 أغسطس، كتب James O'Beirne أنه بدأ مراجعة البرنامج الثابت لمحفظة Coldcard في مايو 2025، وأنه نبه Coinkite إلى قيم بدء ثابتة، وهي قيم وردت في libngu، المكتبة البرمجية التي ساعدت في توليد بذور المحافظ.
وبحسب تحليلات تقنية لاحقة، فإن استدعاء ngu.random.bytes() تحول عند الربط إلى مولد MicroPython شبه العشوائي البرمجي المعروف باسم Yasmarang بدلا من المولد العشوائي الحقيقي في الجهاز، وذلك بعدما انتقلت Coinkite إلى هذه المكتبة في مارس 2021.
كما ضبطت الشيفرة الإنتاجية العلم MICROPY_HW_ENABLE_RNG على الصفر لأن Coinkite توفر غلافها البرمجي الخاص بمولد الأرقام العشوائية العتادي، وبهذا لم تعد البذور الناتجة مستمدة من مصدر عشوائية عتادي، بل من عملية حسابية يمكن للمهاجمين تعدادها وتجربتها، وهو ما يفسر قدرتهم على إعادة بناء المفاتيح دون لمس الجهاز.
وصنفت TRM Labs الحادثة، وفق تقييمها في 5 أغسطس، بأنها أكبر استغلال لمحفظة عتادية خلال 2026 وثالث أكبر سرقة عملات رقمية في العام.
تقرير Coinkite الفني وإرشادات المستخدمين المتضررين
واختتم الموقع تقريره بالإشارة إلى أن Coinkite تعد تقريرا تقنيا مفصلا عن الحادثة، ويحذر تنبيه الشركة من أن تحديثات البرنامج الثابت تترك البذور الضعيفة عرضة للاختراق، ويوجه المستخدمين المتضررين إلى نقل أموالهم إلى محفظة ببذرة جديدة.
ويشمل ذلك أي بذرة أنشئت على أجهزة Coldcard منذ مارس 2021 وحتى صدور الإصدارات المصححة، بحسب ما أوردته تقارير تناولت تنبيه الشركة، وتستثني Coinkite من ذلك حالات توليد البذور بالنرد أو استخدام عبارة مرور قوية.
وكانت الشركة قد نشرت تنبيهها في 30 يوليو وحدثته في 1 أغسطس، كما أوقفت الشحنات بعد تأكيد الخلل وأتلفت الوحدات المتبقية لديها التي صنعت بالبرنامج الثابت المعرض للثغرة. ولم تعرض الشركة تعويضات للضحايا بحسب تقارير نشرت في أغسطس الماضي.
في المقابل، أكدت Block وTrezor وLedger أن أجهزتها تعتمد تطبيقات مستقلة لتوليد الأرقام العشوائية، ولذلك فلا تتأثر بالخلل الخاص بـColdcard، وتبقى التفاصيل الكاملة رهن التقرير التقني الذي وعدت به الشركة، فيما يستمر الجدل العام حول فعالية المراجعات الأمنية.