ثغرة في Coldcard سمحت بسرقة كبيرة لبيتكوين رغم شرائح "العنصر الآمن"

لم تُكسر شرائح "العنصر الآمن" المزدوجة في محافظ Coldcard، لكن موجة السرقات التي بدأت في 30 يوليو 2026 استغلت خللاً في طبقة أدنى: برنامج توليد عبارة الاستعادة (seed) قبل تسليمها إلى العنصر الآمن للتخزين، وفق مراجعة تقنية من BIT نُشرت في 7 أغسطس 2026. وتخلص المراجعة إلى أن العنصر الآمن قد يكون محصّناً ضد الاستخراج الفيزيائي، لكنه قد ينتهي بحماية مفتاح ضعيف منذ لحظة إنشائه. كيف حدثت السرقة من دون المساس بالعنصر الآمن تُصنّع Coldcard شركة Coinkite الكندية. ووفق BIT، تعتمد الأجهزة على شريحتين مقاومتين للعبث: Microchip ATECC608 وMaxim DS28C36B، صُممتا لتحمّل محاولات استخراج على مستوى المختبر. إلا أن عبارة الاستعادة المخزّنة داخل تلك الشرائح يجب أن تُنشأ أولاً، وهنا وُجد الخلل. بحسب تقرير من Block نقلته The Hacker News في 1 أغسطس 2026، كانت إعدادات الإنتاج في Coldcard تضبط ماكرو باسم MICROPY_HW_ENABLE_RNG على القيمة صفر، لأن Coinkite تستخدم غلافاً خاصاً لمولّد العشوائية العتادي. غير أن مكتبة مساندة تُدعى libngu كانت تتحقق فقط من وجود الماكرو من عدمه، لا من كونه مُفعّلاً. النتيجة أن البرمجية ارتبطت بمولّد عشوائي احتياطي في MicroPython يُعرف باسم Yasmarang. ووصفت CoinDesk في تقريرها المنشور في 31 يوليو 2026 الخلل بالصياغة نفسها: إعداد بناء يجعل الجهاز يتجاوز مولّد العشوائية العتادي، مع تحققٍ في مكتبة مساندة يختبر وجود الإعداد لا تفعيله. وبحسب CoinDesk، ربط Block التغيير بعملية دمج (commit) مؤرخة في 1 مارس 2021. تختلف التقارير قليلاً بشأن ما كان يُغذي مولّد Yasmarang الاحتياطي. The Hacker News نقلاً عن Block قالت إنه كان يُهيّأ اعتماداً على المعرّف الفريد للجهاز وسجلات المؤقت، من دون جمع إنتروبيا جديدة لاحقاً. CoinDesk وصفت المدخلات بأنها الرقم التسلسلي للشريحة وسجلات الساعة واعتبرتها غير سرّية. أما BIT فذكرت وجود مثيلين من Yasmarang يتم دمجهما عبر XOR، مع بذرة أحدهما قائمة على ثوابت عامة مضمّنة. هذا الاختلاف يخص تفاصيل التتبع، لا النتيجة: إعادة بناء خارجية للحادثة من فرق تقنية مستقلة، وليست شرحاً عاماً من Coinkite سطراً بسطر. ما يعنيه ذلك عملياً للإنتروبيا بحسب تقدير Coinkite كما نقلته The Hacker News وBIT وcrypto.news، فإن العبارات المُنشأة تحت تأثير الخلل تمتلك نحو 40 بت من الإنتروبيا الفعّالة على Mk2 وMk3، ونحو 72 بت على Mk4 وMk5 وQ، مقارنة بهدف تصميم يبلغ 128 بت لبذرة BIP39 القياسية. وأفاد The Hacker News بأن Block رفضت تقديم رقم عملي واحد لسيناريو كسر بالقوة الغاشمة، واضعة سقوفاً مشروطة ومحذّرة من أن أعلى رقم لا يعادل أمن 73 بت تشفيرياً حقيقياً. وحتى الآن، لا توجد تقارير عامة نشرت معياراً (benchmark) لكسر تلك البذور، ولا تقرير أعاد بناء بذرة ضحية بعينها وربطها بعنوان مُفرّغ، بحسب The Hacker News. حدود دور "العنصر الآمن" توضح BIT حدّ المسؤولية بعبارة مباشرة: العنصر الآمن "لا يتحقق من أن البذرة وُلّدت بعشوائية كافية". وظيفته حماية البذرة بعد إنشائها، ولا يملك وسيلة للحكم على جودة عشوائيتها عند وصولها. وتشير BIT إلى أن تصميم Coldcard ثنائي الشرائح يرفع كلفة الهجوم الفيزيائي، إذ يتعين على المهاجم تجاوز شريحتين مستقلتين بالإضافة إلى المعالج الرئيسي، مقارنة بتصميم يعتمد عنصراً آمناً واحداً. وتذكر BIT أن Ledger وTrezor تستخدمان عنصراً آمناً واحداً لكل منهما. كما يورد مقارنة من Spark Money (من دون تاريخ نشر في النسخة التي تمت مراجعتها) أن شرائح Ledger من STMicroelectronics ومعتمدة وفق Common Criteria EAL5+ أو EAL6+ حسب الطراز، وأن Trezor Safe 3 وSafe 5 تستخدمان Infineon OPTIGA Trust M. وتضيف Spark Money أن توثيق العنصر الآمن لدى Trezor متاح، ما يسمح بتدقيق مستقل، في حين تبقى برمجيات العنصر الآمن لدى Ledger مغلقة بموجب اتفاقية عدم إفشاء مع STMicroelectronics، رغم أن برمجيات طبقة التطبيقات لدى Ledger مفتوحة إلى حد كبير. بالمقابل تنشر Coldcard شفرة برنامجها الثابت كاملة، وفق Spark Money وBIT. ورغم ذلك، لم تمنع قابلية التدقيق هذا الخطأ المؤرخ في مارس 2021 من المرور لأكثر من خمس سنوات. وتخلص المادة إلى أن توفر الشفرة لا يعني بالضرورة أنها دُققت بما يكفي لاكتشاف هذا النوع من الأخطاء: تحققٌ من تعريف الإعداد بدلاً من قيمة تفعيله. هذا حدّ لا يغلقه العنصر الآمن ولا الانفتاح البرمجي وحدهما. لماذا اختلفت أرقام الخسائر بين المصادر تورد خمسة مصادر خمسة أرقام مختلفة للحدث نفسه، ولا يعني ذلك أن أحدها خاطئ؛ بل هي لقطات زمنية بنطاقات ومواعيد قطع مختلفة. - CoinDesk (نُشر وتحديث في 31 يوليو 2026): نحو 594 BTC، قرابة 38 مليون دولار، سُحبت من حوالى 500 محفظة أحادية التوقيع، ضمن نافذة 01:31 إلى 01:56 بالتوقيت العالمي. - crypto.news (1 أغسطس 2026): الرقم نفسه 594 BTC وقيمة تقارب 38 مليون دولار، لكنها تضع العملية بين 02:14 و02:39 بالتوقيت العالمي؛ ولا يمكن حسم سبب فرق التوقيت من الأدلة المتاحة. - The Hacker News (1 أغسطس 2026): تنقل عن Galaxy Research تتبع مجموعة أوسع من 1,196 عنواناً أُفرغت خلال 41 دقيقة في 30 يوليو، بإجمالي 1,082.65 BTC، نحو 70.2 مليون دولار. - تحديث لاحق لـ The Hacker News: Galaxy Research حدّدت موجتين إضافيتين ليرتفع الإجمالي المرصود إلى 1,367.05 BTC، نحو 88.6 مليون دولار، عبر 4,585 عنواناً. - BIT (7 أغسطس 2026): رقم تراكمي حتى 3 أغسطس 2026 بنحو 1,816 BTC، أكثر من 116 مليون دولار، عبر أكثر من 5,200 عنوان، ووصفتها بأنها أكبر استغلال لمحفظة عتادية على الإطلاق. الفجوة بين الأرقام تعود أساساً إلى اختلاف النطاق وتاريخ القطع. CoinDesk وcrypto.news ركزتا على عملية السحب الأولى، بينما The Hacker News وBIT عرضتا أرقاماً تراكمية مع استمرار Galaxy Research في رسم خريطة العناوين خلال الأيام التالية. ونقل The Hacker News تحذير Galaxy Research بأن النتائج مبنية على تحليل أنماط على السلسلة (on-chain) ولم يتم تأكيد كل عنوان مُعلَّم حسابياً على أنه وُلد فعلاً من إنتروبيا Coldcard الضعيفة. كما أشارت Galaxy إلى أن النشاط كان مستمراً وقت التحديث، وأنها أبلغت المحققين بنحو 600 عنوان يُشتبه بسيطرة المهاجم عليها، ما يعني أن الإجمالي قد يتغير مجدداً. ما الذي لا تقدمه التقارير المتاحة لا يوجد رقم نهائي مستقر للخسائر في المصادر المذكورة. ينبغي التعامل مع 594 BTC و1,082.65 BTC و1,367.05 BTC و1,816 BTC كقياسات في تواريخ مختلفة وبنطاقات مختلفة، لا كإجابات نهائية متنافسة. ونقلت crypto.news عن Coinkite قولها إن مهاجماً ربما استخدم الذكاء الاصطناعي لاكتشاف الخلل، وأن مراجعتها بالذكاء الاصطناعي لذات الشفرة قبل أسابيع لم تُظهر مشكلة كبيرة، ووصفت crypto.news هذا الادعاء بأنه "محتمل لكنه غير مُثبت"، ولا يوجد تأكيد مستقل لذلك ضمن الأدلة المتاحة. كما لا توجد تقارير عامة أعادت بناء بذرة مسروقة بعينها وربطتها بعنوان مُفرّغ، بحسب The Hacker News. والنمط الذي استخدمته Galaxy Research لإسناد موجات السحب لمشغّل واحد يحدد سلوك المعاملات ولا يثبت السبب، كما نقل The Hacker News أن Galaxy رفضت التعامل مع "الموجة الثالثة" على أنها مرتبطة بالموجتين الأولى والثانية. وتختلف حدود الإصدارات المتأثرة وفق المصادر: تنبيه Coinkite يذكر أن النطاق الضعيف في Mk3 هو firmware 4.0.1 حتى 4.1.9 ولا يذكر Mk2. بينما تحليل Block، بحسب The Hacker News، يضع Mk2 وMk3 ضمن 4.0.0 حتى 4.1.9، وهو نطاق أوسع من تنبيه Coinkite، ولا يمكن الجزم أيهما المعتمد نهائياً من المواد المتاحة. ولا تتضمن الأدلة المجمعة تقريراً مماثلاً لتدقيق Block على توليد البذور لدى Ledger أو Trezor. وذكرت crypto.news في 1 أغسطس 2026 أن Block وTrezor وLedger أكدوا أن منتجاتهم غير متأثرة بهذا الخلل تحديداً؛ وهو تصريح يخص هذه الثغرة بعينها، لا تدقيقاً عاماً لعشوائية كل شركة. المصادر تستند كل الحقائق الواردة إلى تقارير CoinDesk وThe Hacker News وBlock وBIT وcrypto.news وSpark Money وGalaxy Research كما نُقلت في المواد المشار إليها، مع الإشارة إلى نقاط الاختلاف عندما ظهرت.