كولدكارد تحذر مستخدمي Mk3 من ثغرة محتملة في عبارة الاسترداد بالتزامن مع سحب 38 مليون دولار من بيتكوين

دعت شركة Coinkite، المصنّعة لمحافظ الأجهزة Coldcard، مالكي طراز Coldcard Mk3 إلى نقل رصيدهم من بيتكوين كإجراء احترازي إذا كانت عبارة الاسترداد (Recovery Seed) قد أُنشئت باستخدام إصدارات محددة من البرمجيات الثابتة. يأتي التنبيه بعد رصد باحثين أمنيين تحويلًا منسقًا بلغ 594.48 BTC تُقدّر قيمته بنحو 38.2 مليون دولار، من دون وجود دليل يؤكد ارتباط حركة السلسلة بالمشكلة المحتملة في المحافظ. إصدارات البرمجيات الثابتة قيد التدقيق قالت Coinkite إن الخطر المحتمل يقتصر على عبارات الاسترداد التي تم توليدها على Coldcard Mk3 عبر إصدارات Firmware من 4.0.1 إلى 5.0.3، مؤكدة أن التحقيق لا يزال مستمرًا. وأوضحت الشركة أن الأجهزة Coldcard Mk4 وMk5 وColdcard Q غير متأثرة. كما أشارت إلى أن المحافظ التي تستخدم عبارة مرور BIP39 (Passphrase) تواجه مخاطر محدودة، ولفتت إلى أن عبارة مرور BIP39 تختلف عن رقم PIN الخاص بالجهاز. وبناءً على ذلك، طُلب من المستخدمين ترحيل أموالهم احترازيًا ريثما تكتمل التحقيقات. تحويلات بقيمة 38 مليون دولار تثير تساؤلات تزامن التحذير مع رصد باحثين على الشبكة حركة غير اعتيادية للأموال. وأفاد روب هاملتون، الرئيس التنفيذي لشركة AnchorWatch، بأن 594.48 BTC تحركت عبر 500 معاملة، وشملت التحويلات 1,324 مخرجًا غير منفَق (UTXOs) خلال نافذة من ثلاث كتل، قبل أن يتم لاحقًا تجميع نحو 562 BTC في عنوان واحد. وذكر هاملتون أن تقييمه الأولي أشار إلى ما "يبدو كأنه انتروبيا معيبة" أثناء توليد المحفظة، لكنه شدد على أن ذلك مجرد ملاحظة أولية وليست تفسيرًا مؤكدًا. لا رابط مثبت حتى الآن رغم التوقيت المتقارب، لم يؤكد المحققون أن سحب بيتكوين كان نتيجة لمشكلة Firmware في Coldcard Mk3. وقال كيفن لوائيك، الرئيس التنفيذي لشركة Wizardsardine، إن فرضيته الأرجح تتمثل في انخفاض العشوائية أثناء توليد عبارة الاسترداد. وحدد عدة أسباب محتملة، منها مشكلة في مكتبة برمجية، أو خلل في عنصر آمن (Secure Element)، أو دفعة عتادية محددة، أو عيب مرتبط بالبرمجيات الثابتة. كما طرح احتمال أن مهاجمًا بحث ضمن نطاق محدود لمسارات اشتقاق BIP84، بما قد يفسر أن العديد من المحافظ المتأثرة كانت تستخدم عناوين SegWit الأصلية. وحتى الآن، لم يصدر تقرير تقني علني يحدد مصدر الثغرة بدقة. خطوات حماية الأموال للمستخدمين أوصت Coinkite المستخدمين المتأثرين بتوليد عبارة استرداد جديدة باستخدام جهاز غير متأثر، والتحقق من النسخ الاحتياطية وعناوين الاستلام، وإجراء تحويل اختبار بمبلغ صغير أولًا، ثم نقل الرصيد المتبقي بعد التأكد من أن كل شيء يعمل بالشكل الصحيح. أما من لا يملكون سوى Coldcard Mk3، فيمكنهم تعزيز الأمان مؤقتًا بإضافة عبارة مرور BIP39 فريدة. وذكرت الشركة أن المستخدمين المتقدمين يمكنهم أيضًا توليد Seed بالاعتماد على رمي النرد فقط على Firmware 4.1.9 عبر ما لا يقل عن 99 رمية لنرد سداسي عادل، مع التحذير من أن العملية تتطلب عناية كبيرة في النسخ الاحتياطي والتحقق. التحقيق مستمر تعهدت Coinkite بنشر مراجعة تقنية مفصلة بعد انتهاء التحقيق. وحتى ذلك الحين، تقول الشركة وباحثون مستقلون إن تحذير Coldcard Mk3 وحركة سحب 38 مليون دولار من بيتكوين ينبغي التعامل معهما كحدثين منفصلين، لعدم توافر أدلة تثبت وجود سبب جذري مشترك بينهما.