ثغرة في "بذور" محافظ Coldcard تتيح سرقة بيتكوين بملايين الدولارات

استغل مهاجم ضعفاً في "البذور" (Seed Phrases) التي تولّدها بعض محافظ الأجهزة من طراز Coldcard، ما أدى إلى سحب بيتكوين تُقدَّر قيمته بعشرات الملايين من الدولارات من مئات العناوين يوم 30 يوليو. وأفاد تحليل معمّق صادر عن Galaxy Research بأن العملية الأساسية نُفّذت على دفعة واحدة ومنسّقة خلال نحو 25 دقيقة، قبل أن تربط مراجعات لاحقة ما يقرب من 1,196 عنواناً بما يصل إلى 1,083 بيتكوين، وبقيمة تقارب 70 مليون دولار، ضمن نشاط امتد لحوالي 41 دقيقة. وقد تتغير الحصيلة النهائية مع استمرار تتبّع التحويلات على سلسلة كتل بيتكوين العامة. تفاصيل الخلل: "عيب قديم" يصل إلى محافظ حول العالم المحافظ المتأثرة تعود في معظمها إلى حائزين طويلَي الأجل أنشأوا عبارات الاسترداد باستخدام أجهزة Coldcard تعمل ببرامج ثابتة (Firmware) معرّضة للخطر منذ الإصدارات المطروحة ابتداءً من مارس 2021. وColdcard هي محفظة أجهزة معزولة عن الشبكة (air-gapped) من تصنيع الشركة الكندية Coinkite، ومصممة لإبقاء مفاتيح بيتكوين (BTC) بعيدة عن الأجهزة المتصلة بالإنترنت. اللافت أن كثيراً من العناوين التي تم تفريغها كانت خاملة لسنوات. المهاجم تحرّك بسرعة، ودفع رسوم معاملات ثابتة مرتفعة، ولم يترك "مخرجات تغيير" (Change Outputs)، ما يعني تفريغ كل عنوان بالكامل. هذا النمط يرجّح عملية آلية قائمة على قائمة مفاتيح خاصة مُحضّرة مسبقاً، وليس تحركات منفصلة من المستخدمين. ولم تكن السرقة نتيجة تصيّد، أو برمجيات خبيثة على أجهزة المستخدمين، أو سرقة مادية للأجهزة، أو اختراق تقليدي عن بُعد. السبب كان خطأ في البرنامج الثابت أضعف العشوائية المستخدمة عند توليد بعض أجهزة Coldcard لعبارات البذور. هذه البذور بدت طبيعية، لكنها صادرة من نطاق تركيبات أصغر بكثير مما كان متوقعاً. فشل خفي في مولّد الأرقام العشوائية بذرة محفظة بيتكوين هي سرّ يُعرض عادة على هيئة 12 أو 24 كلمة، تُشتق منها العناوين والمفاتيح الخاصة. وعند توليد بذرة من 12 كلمة بشكل سليم، يفترض أن تحتوي على 128 بت من "الإنتروبيا"، أي عدد هائل من الاحتمالات يجعل التخمين شبه مستحيل. وكانت أجهزة Coldcard تعتمد على مولّد أرقام عشوائية عتادي داخل متحكم الجهاز، يستند إلى ضوضاء كهربائية يصعب التنبؤ بها. لكن خلال ترحيل مكتبة برمجية في 2021، كشفت Coinkite أن وظيفتين لتوليد العشوائية بواجهات متشابهة اختلط أمرهما: إحداهما تستخدم المولّد العتادي الصحيح، والأخرى مسار برمجي ضعيف مُعدّ كخيار احتياطي للألواح التي لا تتضمن عتاداً مناسباً. وبسبب إعداد تهيئة عطّل مسار MicroPython العتادي الافتراضي بعدما وفّرت Coinkite "غلافاً" عتادياً خاصاً بها، اكتفى البرنامج بالتحقق من وجود الإعداد لا من تفعيله. ولأن الإعداد كان موجوداً بقيمة صفر، اكتملت عملية البناء بنجاح، بينما انتقلت عملية توليد البذور بصمت إلى المولّد البرمجي الأضعف. بيانات المصنع والتوقيت بدل العشوائية الحقيقية اعتمد المسار الاحتياطي على معلومات يمكن توقعها، مثل معرّف الشريحة الشبيه بالرقم التسلسلي وقيم الساعة الداخلية المرتبطة بتوقيت بدء التشغيل. إذا تمكن مهاجم من تضييق هذه المدخلات، يصبح نطاق البحث أصغر بكثير من نطاق 128 بت المتوقع. وقدّرت Coinkite مساحة البحث الفعلية لبذور Mk3 الضعيفة بنحو 40 بت وفق الافتراضات الحالية. ورغم أن الرقم لا يزال كبيراً، فإنه قابل للبحث بأجهزة حوسبة متخصصة، خصوصاً مع إمكانية اختبار البذور المرشّحة مقابل عناوين بيتكوين الظاهرة على سلسلة الكتل. أما الطرازات الأحدث مثل Mk4 وQ وMk5، فقد أضافت قدراً من العشوائية عبر عنصر آمن (Secure Element)، لكن جزءاً محدوداً فقط وصل إلى المولّد المتأثر، ما يترك تقديراً بنحو 72 بت من الإنتروبيا الفعلية للبذور التي أُنشئت قبل تثبيت البرنامج المصحح. وهذا أعلى من مسار Mk3 لكنه أقل من معيار 128 بت المستهدف. يوضح مختصون الفارق كمثال: استبدال تركيبة قفل عشوائية تماماً بتركيبة مشتقة من الرقم التسلسلي للقفل وتوقيت تشغيله الأول. قد تبدو عشوائية، لكن من يعرف المعادلة ويستطيع تقدير بيانات البداية قد يعيد إنتاجها. تنبيه Coinkite: أنشئ بذوراً جديدة بالكامل أصدرت Coinkite نشرات أمنية وأطلقت برامج ثابتة مصححة بعد رصد التهديد النشط. وأكدت الشركة أن على المستخدمين الذين أنشأوا بذورهم على الإصدارات المتأثرة توليد بذرة جديدة كلياً عبر نسخة مصححة، ثم نقل بيتكوين إلى عناوين تتحكم بها هذه البذرة الجديدة. تحديث الجهاز وحده لا يكفي، لأن البذرة التي أُنشئت تحت النظام المعيب تبقى ضعيفة دائماً؛ التحديث لا يمكنه إضافة عشوائية إلى كلمات موجودة مسبقاً. وأوصت الشركة بخطوات عملية: تحديث الجهاز، إنشاء بذرة جديدة، التحقق من النسخة الاحتياطية وبصمة المحفظة (Wallet Fingerprint)، التأكد من عنوان الاستلام، تنفيذ معاملة اختبارية صغيرة، ثم نقل الرصيد المتبقي. كما نصحت بالاحتفاظ بالنسخة الاحتياطية القديمة حتى تأكيد التحويل، مع التوقف عن اعتبار البذرة القديمة آمنة. وحددت الإصدارات المصححة كالتالي: Mk3 نسخة 4.2.0 أو أحدث، وMk4 وMk5 نسخة 5.6.0 أو أحدث، وQ نسخة 1.5.0Q أو أحدث، إضافة إلى نسخ Edge المقابلة. وأوضحت تقارير أن منتجات Tapsigner وOpendime وSatscard تستخدم شيفرة مختلفة ولم تتأثر. طبقات حماية أنقذت بعض المستخدمين المستخدمون الذين أضافوا ما يكفي من رميات النرد المستقلة عند توليد البذرة كانوا أكثر حماية، لأن عشوائيتهم الذاتية طغت على المدخلات البرمجية المعيبة. وقالت Coinkite إن 50 رمية خاصة لِنرد عادل توفر حماية كافية من هذه المشكلة، مع الإشارة إلى أن المزيد قد يزيد هامش الأمان. كما أن عبارة مرور قوية وفق BIP39 (Passphrase) تنشئ محفظة منفصلة لا يمكن إعادة بنائها من كلمات البذرة وحدها. ومحافظ التوقيع المتعدد (Multisignature) كانت محمية بدرجة كبيرة أو كاملة عندما لا تمثل بذرة Coldcard الضعيفة سوى جزء من ترتيب التوقيع. غير أن هذه الضمانات كانت اختيارية. ويبدو أن كثيراً من الضحايا اتبعوا إرشادات الأمان الشائعة آنذاك: شراء محفظة أجهزة موثوقة، توليد البذرة دون اتصال، حماية النسخة الاحتياطية، وعدم إدخالها في جهاز متصل بالإنترنت. اعتذار Coinkite وتحول النقاش نحو الذكاء الاصطناعي في 31 يوليو، اعتذر الرئيس التنفيذي لـCoinkite رودولفو نوفاك، المعروف باسم NVK، علناً وقال إن الشركة تتحمل المسؤولية كاملة عن فشل البرنامج الثابت. وكتب: "أنا آسف ومصدوم. فريقنا محطم بسبب أخبار الأمس". وأقر بأن الإصلاح يؤمّن البذور الجديدة، لكنه لا يستطيع معالجة البذور التي أُنشئت تحت البرمجيات المعرضة للخطر. وأوضح نوفاك أن الشركة ستنشر سرداً تقنياً كاملاً بعد التحقق من التفاصيل، وستساعد المستخدمين المتضررين في طلب بلاغات الشرطة أو مطالبات التأمين أو التحقيقات المستقلة. كما حذّر المطورين من أن أدوات الذكاء الاصطناعي باتت قادرة على تمشيط الشيفرات العامة القديمة بحثاً عن نقاط ضعف أسرع من عمليات المراجعة التقليدية. وشددت Coinkite على أنها مضطرة لافتراض أن مهاجماً استخدم الذكاء الاصطناعي لفحص البرنامج الثابت مفتوح المصدر، رغم عدم وجود دليل حاسم على كيفية اكتشاف الخلل. وأقرت أيضاً بأن مراجعة حديثة باستخدام نموذج ذكاء اصطناعي رائد لم تتمكن من رصد المشكلة. وفي المقابل، سارع مصنعون منافسون إلى التأكيد عبر وسائل التواصل أن منتجاتهم غير متأثرة. وقالت Ledger لمستخدمي X: "Ledger ليست متأثرة بالتنبيه المنشور بشأن Coldcard Mk3"، مضيفة أن أجهزتها تستخدم مولد أرقام عشوائية حقيقية (TRNG) معتمداً داخل شريحة العنصر الآمن ويولّد 256 بت من الإنتروبيا لكل عبارة استرداد من 24 كلمة. كما قالت Trezor يوم الجمعة: "مستخدمو Trezor: أموالكم بأمان"، موضحة أن المشكلة محصورة في البرنامج المخصص لدى Coldcard وطريقة توليد العشوائية في بعض أجهزتها، وأن Trezor لا تستخدم تلك الشيفرة. وأضاف حساب Trezor على X: "لطالما خلطنا عدة مصادر مستقلة للعشوائية (عتاد الجهاز + المضيف + عناصر آمنة في الطرازات الأحدث). نحن آسفون حقاً لكل من فقد بيتكوين". ما الذي يجب أن يراقبه مستخدمو Coldcard لاحقاً؟ هوية المهاجم لا تزال مجهولة، والبيتكوين المسروق قد يتحرك من عناوين التجميع في أي وقت. ويعمل المحققون على تقدير عدد البذور الضعيفة التي جرى توليدها فعلياً، وكمية البيتكوين التي لا تزال معرضة، وما إذا كان المهاجم قد حدد بالفعل محافظ عالية القيمة إضافية. لكن Coinkite قد لا تمتلك بيانات كثيرة عن ملاك الأجهزة القدماء. ونقل جيمسون لوب، المؤسس المشارك لـCasa، على X: "سيف ذو حدين: Coinkite تحذف جميع سجلات العملاء بعد 120 يوماً للحماية من تسريبات البيانات، ما يعني أنها غير قادرة على التواصل مع العملاء الذين اشتروا أجهزة Coldcard ضعيفة خلال السنوات الخمس الماضية لتحذيرهم من الثغرة". وقال مطور بيتكوين مفتوح المصدر المعروف باسم calle على X: "أنا حزين حقاً لكل من تضرر، خصوصاً من قد يكون فقد مدخرات حياته. الأسوأ أنهم فعلوا كل شيء بشكل صحيح". الحادثة ستختبر قدرة Coinkite على استعادة الثقة في Coldcard، وقد تدفع مصنّعي محافظ الأجهزة إلى تبني مراجعات مستقلة أشد صرامة لآليات توليد البذور. بالنسبة للمستخدمين، الأولوية واضحة: أي شخص أنشأ بذرة على برنامج ثابت متأثر دون إضافة عشوائية قوية عبر النرد، أو دون عبارة مرور، أو دون حماية توقيع متعدد، عليه اعتبارها مخترقة ونقل الأموال بحذر إلى محفظة جديدة ببذرة مُولدة حديثاً. وبعد هذه السرقة المدمرة، يطلق أفراد مجتمع بيتكوين تحذيرات واسعة ويدعون إلى نشر الخبر بسرعة قبل تفريغ محافظ أخرى ضعيفة.