استغلال ثغرة "Seed" في COLDCARD: المهاجم الأكبر يحتفظ بـ 1,159 بيتكوين و64 بيتكوين دخلت إلى "Mixer"

تتواصل تداعيات استغلال ثغرة في أجهزة COLDCARD على سلسلة بيتكوين. وتُظهر البيانات على السلسلة أن أكبر مهاجم معروف مرتبط بالثغرة ما زال يحتفظ بـ 1,159 BTC موزعة على سبعة عناوين، في وقت بدأ فيه طرف آخر تمرير مبالغ أصغر عبر خدمة خلط (Mixer)، ما يمنح المحققين مسارًا جديدًا للمراقبة. بيانات السلسلة وفقًا لمتابعة Galaxy Research، جرى تجميع أكبر عملية سرقة معروفة — 1,159 BTC — وتحويلها إلى سبعة عناوين خلال نحو 41 دقيقة، ولم تُسجَّل أي حركة لاحقة لهذه الأرصدة. كما لم يرصد المحققون تحويلات من هذه العناوين إلى منصات تداول أو خدمات خلط أو قنوات تصفية معتادة. هذه الأموال ليست "مجمّدة" تقنيًا، إذ لا يمكن لبروتوكول بيتكوين إيقاف معاملة لمجرد وضع عنوان على قائمة مراقبة. لكن محاولة إدخال هذه العملات إلى خدمات منظّمة أو تحويلها إلى نقد مرجّح أن تفعّل ضوابط AML/KYC. وقد قامت جهات إنفاذ القانون ومنصات التداول وشركات التحليلات بوضع نحو 600 عنوان مرتبط بالسرقة الأوسع ضمن إشارات تنبيه، ما يرفع احتمالات التدقيق عند أي إيداع على منصات ملتزمة. نشاط جديد عبر "Mixer" بشكل منفصل، تتبّع محللون تدفقًا بقيمة 64 BTC إلى معاملة مرتبطة بخدمة خلط. تم خلط قرابة 10 BTC فورًا، بينما عاد نحو 54 BTC كفائض (Change) ثم جرى تقسيمه إلى مخرجات بنحو 7 BTC لكل منها بهدف خلط إضافي. تسعى خدمات الخلط إلى طمس مصدر الأموال عبر إعادة تجميع المعاملات وإعادة تشكيلها، لكنها لا تضمن إخفاء الهوية. في هذه الحالة، فإن المخرجات الكبيرة والمتقاربة الحجم تجعل نمط الغسل أسهل للرصد، ما يسمح للمحققين بمواصلة متابعة انتقالات هذه الأموال. مهاجمون متعددون ومجموعات عناوين مختلفة تشير مؤشرات نشاط الخلط إلى أنه غير مرتبط بحزمة العناوين السبعة التي تحتفظ بـ 1,159 BTC. وكانت تقارير سابقة قد رجّحت أن عدة مهاجمين استغلوا خلل توليد "Seed" في COLDCARD، لذلك لا ينبغي افتراض أن نشاط مجموعة ما يعود إلى الجهة نفسها. وكانت Galaxy Research قد أكدت سابقًا سرقة نحو 1,596 BTC عبر ثلاث موجات هجوم من حوالي 7,300 عنوان، مع رصد 14 حادثة أصغر مرتبطة. وقد ترفع موجة رابعة مشتبه بها الإجمالي إلى قرابة 2,055 BTC، إلا أن هذه الإضافة لم تُتحقق بالكامل عبر بلاغات الضحايا. كيف حدث الاستغلال وما تبعاته تعود الثغرة إلى خطأ برمجي في البرنامج الثابت (Firmware) أضعف العشوائية أثناء توليد عبارات "Seed". تمكن المهاجمون من إعادة توليد بذور محتملة دون اتصال، ثم اشتقاق العناوين ومطابقتها مع عناوين نشطة على السلسلة، دون الحاجة للوصول إلى الجهاز أو رمز PIN، ودون أي اختراق على مستوى البروتوكول. أصدرت Coinkite إصدار Firmware مصححًا، لكن تحديث الجهاز لا يصلح بذرة تم إنشاؤها باستخدام نسخة ضعيفة. وعلى المستخدمين المتضررين إنشاء "Seed" جديدة ونقل الأموال إلى عناوين مشتقة منها لضمان الأمان. آفاق الإنفاذ واسترداد الأموال أفادت Galaxy بأنها شاركت عناوين مؤكدة للمهاجمين والضحايا مع جهات إنفاذ القانون في الولايات المتحدة ومنصات التداول ومجموعات التحقيقات السيبرانية. توسيع قائمة العناوين يعزز فرص رصد محاولات تمرير العملات عبر قنوات منظّمة، لكن احتمالات الاسترداد ما تزال غير مؤكدة. إذ يمكن للمهاجمين نقل الأموال عبر عناوين متعددة، وخدمات خلط، ومنصات لامركزية، أو ولايات قضائية خارج نطاق الولايات المتحدة قبل محاولة تصفيتها. الخلاصة لا يزال أكبر مهاجم معروف مرتبط بحادثة COLDCARD يحتفظ بـ 1,159 BTC دون تحرك منذ عملية التجميع الأولى، ما يبقي هذه العملات تحت مراقبة عامة مستمرة. في المقابل، خلق نشاط خلط حديث نفذه طرف آخر مسارًا قابلاً للتتبع تتابعه الجهات المختصة عن كثب مع تطور الأحداث.