تأكيد اختراق محافظ Coldcard: سرقة 1,719 بيتكوين وخسائر قد تتجاوز 130 مليون دولار

تتضح سريعاً أبعاد الثغرة التي استهدفت محفظة العتاد Coldcard. أكد فريق Galaxy Research بدرجة ثقة مرتفعة أن ما لا يقل عن 1,719 BTC سُرقت من حسابات مستخدمين متعددة، بقيمة تقارب 111 مليون دولار وفق الأسعار الأخيرة. التقديرات لا تُرجح أن هذا الرقم هو الحد الأقصى؛ فالتقييم الأحدث للفريق، كما ورد في التقرير الأصلي، يشير إلى أن إجمالي الخسائر مرجح أن يتخطى 130 مليون دولار مع استكمال التحقق من الحالات المعلّقة. وحدد المحققون أكثر من 25 نمطاً هجومياً مختلفاً، ويرجحون أن جهات تهديد متعددة تستغل الثغرة في الوقت نفسه. Galaxy قالت إنها تلقت بلاغات من أكثر من 250 شخصاً، ومع تأكيد جميع الحالات قد يرتفع إجمالي المسروقات إلى ما يزيد على 2,300 BTC. الأجهزة التي يُعرف حتى الآن أنها تأثرت هي: Coldcard Mk3 وMk4 وMk5 وطراز Q. ولا توجد دلائل على امتداد الخلل إلى أجهزة توقيع أو محافظ أخرى، كما لم تشر Galaxy إلى اختراق برمجيات أو Firmware خارج منظومة Coldcard. ضربة في صميم ثقافة الحفظ الذاتي الحادثة تمس جوهر مفهوم الحفظ الذاتي. فـ Coldcard تُعد على نطاق واسع من أكثر محافظ بيتكوين المادية أماناً، ومصممة خصيصاً للاستخدام في بيئات "منعزلة عن الشبكة" وبمستويات حماية عالية. اختراقها بهذا الحجم، وعلى ما يبدو عبر نافذة استغلال ممتدة زمنياً، قد يهز ثقة المستخدمين الذين يضعون جزءاً كبيراً من ثروتهم في هذا الحل. كما قد تزيد الواقعة تعقيد النقاش التشريعي في واشنطن حول حماية الحفظ الذاتي. قبل أيام فقط من تصويت حاسم في مجلس الشيوخ على تشريع بارز للعملات المشفرة—تناولناه في تغطيتنا لمحاولات البنوك إعادة صياغة مشروع القانون—يمنح اختراق بهذه الضخامة معارضي قواعد الحفظ الذاتي المرنة ورقة ضغط جديدة. رغم تسويق محافظ العتاد كخط دفاع نهائي ضد الاختراقات، فإنها تظل معرضة لهجمات سلسلة الإمداد، والتلاعب بالـFirmware، واستغلالات القنوات الجانبية الفيزيائية. في هذه الحالة لم تكشف Coinkite أو Galaxy علناً عن مسار الدخول بدقة، إلا أن تعدد الأنماط يوحي بأن الأمر ليس خطأً واحداً فقط. قد يكون خللاً في مُولد الأرقام العشوائية، أو مكوّناً تم العبث به ضمن سلسلة الإمداد، أو ثغرة في بروتوكولات اتصال الجهاز. بالنسبة للمتضررين، تزيد مرارة الخسارة لأن طبيعة بيتكوين غير القابلة للعكس تجعل استعادة الأموال شبه مستحيلة. ما التالي للضحايا وللسوق مع تجاوز عدد الضحايا المؤكدين 250، تتصاعد التداعيات القانونية والسمعية على Coinkite، الشركة المصنّعة لـ Coldcard. ولم تصدر الشركة حتى الآن تقريراً تقنياً تفصيلياً يشرح ما حدث، فيما يترقب السوق ما إذا كان من الممكن إصدار تصحيح للأجهزة الحالية أو أن الاستبدال سيكون ضرورياً. حتى الآن، يبدو أن الضرر محصور في خط منتجات Coldcard، لكن وجود مهاجمين مستقلين متعددين يعزز احتمال أن الثغرة كانت معروفة ضمن دوائر معينة قبل انكشافها للعامة. يثير ذلك احتمالاً غير مريح بأن الاستغلال كُشف وتداول بشكل خاص، ولم يتحول إلى عنوان رئيسي إلا بعد تضخم الخسائر. على مستوى المؤسسات، قد يدفع الحدث الصناديق وكبار الحائزين إلى تشديد مراجعة خيارات الأجهزة. وقد يعود الاهتمام بإعدادات التوقيع المتعدد (Multisig) وبحلول التخزين البارد لدى أمناء الحفظ. كما تعود مسألة التأمين إلى الواجهة: معظم مستخدمي الحفظ الذاتي بلا تغطية، بينما يقدم أمناء الحفظ المنظمون تأميناً ضمن الخدمة. ورغم أن رقم "130 مليون دولار فأكثر" يظل صغيراً مقارنة بالقيمة السوقية الإجمالية لبيتكوين، فإنه كافٍ لاستقطاب اهتمام الجهات الرقابية في وقت يدرس فيه المشرّعون كيفية تصنيف مزودي المحافظ والإشراف عليهم. ضبابية وأسئلة مفتوحة ما زالت نقاط عديدة غير محسومة. تقرير Galaxy لا يوضح كيف تمكن المهاجمون من تهريب المفاتيح الخاصة أو توقيع المعاملات دون وصول مادي إلى الأجهزة. من السيناريوهات المحتملة أن الثغرة سمحت لمهاجم حصل على وصول مؤقت—أثناء الشحن أو عبر موزع تم اختراقه—بتفريغ الأرصدة لاحقاً دون الحاجة إلى وصول مستمر. وجود أكثر من 25 نمطاً يشير إلى استخدام تقنيات متعددة، ولا يمكن استبعاد أن بعض الضحايا استخدموا دون علمهم تحديثات Firmware خبيثة من مصادر غير رسمية. يبقى المجتمع أمام سؤال جوهري: هل تستطيع علامة Coldcard استعادة ثقة السوق؟ أمن محافظ العتاد يعتمد على الثقة بقدر ما يعتمد على التصميم التشفيري. وعندما تُكسر هذه الثقة على نطاق آلاف العملات، تصبح العودة مساراً طويلاً. في الوقت نفسه قد يستغل مصنعون آخرون الحدث للترويج لأجهزتهم على أنها الأفضل. الدرس الأوسع واضح: الحفظ الذاتي يتطلب يقظة دائمة، ولا ينبغي التعامل مع أي جهاز على أنه درع سحري.