هجوم منظم رابع يستهدف مستخدمي Coldcard: سرقة 388.9 بيتكوين خلال 14 كتلة

يواجه مستخدمو محافظ Coldcard موجة رابعة من السرقات المنظمة، بأرقام لم تعد هامشية. فقد حذّر أليكس ثورن، رئيس الأبحاث في Galaxy Research، من نشاط خبيث جديد سحب نحو 388.9 BTC من 462 عنوانًا متضررًا خلال 14 كتلة فقط، بين 960,778 و960,792. وبحسب البيانات، نتج عن العملية 218 معاملة جمعت البيتكوين في 216 وجهة لم تُرصد سابقًا. كما قفز حجم المعاملات إلى ما يقارب 45 ضعف المستوى المعتاد قبل الحادثة، ما يعزز فرضية أن الهجوم جرى بشكل متعمد ومنهجي. التقرير الأصلي أشار أيضًا إلى تتبع جزء من الأموال المسروقة إلى عناوين "قفزة ثانية" (second-hop). ولا تزال معاملات مشابهة معلّقة في "الميمبول"، ما يعني أن عملية السحب لم تكتمل بالكامل. وتُظهر أنشطة مؤكدة على السلسلة تفعيل خيار Replace-by-Fee (RBF)، وهو تفصيل قد يفتح نافذة ضيقة للنجاة أمام من يتحرك بسرعة. تفاصيل موجة الهجوم الأحدث ما يميز هذه الموجة عن سرقات الفرص هو السرعة والتنسيق. إذ تعرضت 462 عنوانًا للاستهداف ضمن نطاق كتل ضيق، وتدفقت الأموال إلى عناوين جديدة بالكامل. هذا النمط—عناوين حديثة، تجميع سريع، وحجم يفوق الطبيعي—يوحي باستخدام سكربتات معدّة مسبقًا أكثر من كونه تنفيذًا يدويًا. وقع السحب خلال عطلة نهاية الأسبوع، وهي فترة قد يقل فيها رصد المستخدمين لحركة المحافظ. وذكرت Galaxy Research أن جزءًا من الأموال نُقل بالفعل إلى محافظ second-hop، ما يصعّب التتبع والاسترداد ما لم يحدث تدخل فوري. تفعيل RBF يمنح فرصة محدودة، لكنها تقتصر على من يلاحظ الهجوم بينما لا تزال معاملاته قابلة للاستبدال. قد يتمكن من لديهم معاملات صادرة معلّقة وغير مؤكدة—ولم تُرسل برسوم منخفضة—من تسريع معاملة منافسة إلى عنوان آمن إذا كانت محافظهم تدعم ذلك. النافذة الزمنية قصيرة وتتطلب خبرة تقنية. وفي معظم الحالات، تكون الأموال قد غادرت بالفعل. نمط سرقة منظم ومتكرر هذه ليست المرة الأولى التي يتعرض فيها مالكو Coldcard للاستهداف. ووفق Galaxy Research، كشفت موجات سابقة عن ثلاث حملات منفصلة استهدفت عناوين منشأة عبر Coldcard. وبالمحصلة، استنزفت تلك الموجات 1,367.05 BTC من 4,585 عنوانًا، بما يعادل نحو 88.6 مليون دولار وقت وقوع السرقات. ودفعت الحوادث السابقة Coldcard إلى الإقرار بوجود ثغرة في البرمجيات الثابتة (firmware) سمحت للمهاجمين باشتقاق المفاتيح الخاصة من "البذور" (seeds) التي تم إنشاؤها على أجهزة متأثرة. وأوقفت الشركة الشحنات وأتلفت جميع أجهزة COLDCARD المتبقية التي تحمل firmware الضعيف. وأكدت أن منتجات Satscard وOpendime وTapsigner لم تتأثر. أصدرت Coldcard تحديثًا يعالج المشكلة ويحمي البذور التي تُنشأ بعد التحديث، لكن الإصلاح ليس بأثر رجعي. أي seed تم إنشاؤه على firmware الضعيف يظل مخترقًا. وتوصية الشركة مباشرة: إنشاء seed جديد على firmware المُحدّث ونقل جميع الأموال فورًا بعيدًا عن البذور القديمة. الموجة الرابعة تشير إلى أن عددًا من المستخدمين لم ينفذوا هذه الخطوة بعد، وأن المهاجمين يستغلون هذا التأخير بشكل منهجي. استجابة Coldcard وإرشادات للمستخدمين قرار Coldcard بإيقاف الشحنات وإتلاف المخزون كان خطوة حادة لكنها ضرورية، وهي خطوة نادرًا ما تعلنها شركات الأجهزة الأمنية بهذا الوضوح. الرسالة كانت أن الثغرة ليست مجرد سيناريو نظري. لكن مسار التحديث كشف صعوبة "الحفظ الذاتي" (self-custody): على المستخدم إنشاء عبارة seed جديدة، ما يعني تغييرًا شاملًا في عناوين المحفظة، وغالبًا تحديث برامج المحافظ المرتبطة، وإعدادات المحافظ متعددة التوقيع (multisig)، وخطط النسخ الاحتياطي. ولمن لا تزال أموالهم على seed أُنشئ عبر firmware الضعيف، جاءت توصيات Galaxy Research بصيغة عاجلة: نقل الأموال خارج أجهزة Coldcard الآن، استخدام رسوم أعلى من المعتاد لتسريع التأكيد، والاستفادة من RBF إذا كانت المحفظة تدعمه. سحب العناوين في الموجة الرابعة يشير إلى أن المهاجمين يراقبون الشبكة بحثًا عن أرصدة متبقية. دلالات أوسع على مخاطر الحفظ الذاتي قضية Coldcard تتجاوز خللًا تقنيًا في جهاز؛ فهي تسلط الضوء على مخاطر سلسلة التوريد ودورة حياة المنتج في نموذج الحفظ الذاتي. المستخدمون يثقون في firmware القادم من المصنع، وحتى عمليات التحقق مفتوحة المصدر قد يتم تجاوزها عمليًا. وعندما يمر خلل في توليد البذور دون اكتشاف لأشهر، تصبح المعالجة لاحقًا معقدة وبطيئة. ووقوع أربع موجات هجوم منفصلة على فترات متباعدة يوحي بأن المهاجم صبور ويملك طريقة موثوقة لربط البذور بالعناوين، على الأرجح بالاعتماد على قائمة مُسرّبة من فترة ضعف العشوائية. وما يزال غير واضح ما إذا كان المهاجم يمتلك قائمة كاملة بجميع البذور المخترقة أم جزءًا منها فقط، وما إذا كانت هناك ثغرات إضافية في إصدارات firmware أقدم لم تفصح عنها Coldcard. استمرارية الهجمات تشير إلى أن القائمة قد تكون كبيرة، وأن 462 عنوانًا في هذه الموجة قد يكون مجرد دفعة جديدة. ومع استمرار السحب المنهجي، قد ترتفع الخسائر الإجمالية. وبالنسبة لسوق محافظ العتاد عمومًا، تعيد هذه التداعيات التأكيد على أن تدقيق firmware والإفصاح الشفاف عن الثغرات ليسا خيارًا؛ بل جوهر وعد الأمان الذي تُبنى عليه هذه المنتجات.