اختراق محافظ Coldcard يكشف خللاً في البرنامج الثابت عمره 5 سنوات وسرقة بيتكوين بأكثر من 100 مليون دولار

كان كوري كليبستن، الرئيس التنفيذي لمنصة Swan، يحضر حفل زفاف في باريس عندما بدأت الرسائل تتوالى. وقال في مقابلة: "كانت عطلة نهاية أسبوع قاسية على كثيرين ممن فقدوا بيتكوين"، مضيفاً أنه كان يرسل رسائل عند الساعة الرابعة صباحاً لمساعدة شخص على توقيت الساحل الغربي الأميركي لنقل عملاته إلى مكان آمن. بدأت الواقعة الخميس الماضي، حين شرع مهاجمون في سحب بيتكوين من آلاف محافظ Coldcard المادية عبر استغلال ثغرة في البرنامج الثابت ظلّت غير مكتشفة لمدة خمس سنوات. وأدى خلل في تحديث للبرنامج الثابت صدر في مارس 2021 لمحفظة من تصنيع Coinkite إلى ترك بعض المستخدمين بمفاتيح خاصة أقل أماناً مما ينبغي. ووفقاً لـ Galaxy Research، وبعد ثلاث موجات من الهجوم، جرى الاستيلاء على ما يقارب 1,600 بيتكوين تُقدَّر قيمتها بأكثر من 100 مليون دولار، من نحو 7,300 عنوان. وعلّقت Swan، وهي منصة أميركية تساعد الأفراد على شراء البيتكوين وحفظه وإدارته ذاتياً، عمليات السحب للعملاء المعرضين للخطر، وأرسلت تحذيرات داخل التطبيق، ووسّعت دعم الترحيل ليشمل من هم خارج قاعدة مستخدميها. وقال كليبستن: "ترك فريقنا كل شيء وبدأ بالاتصال بالعملاء، ثم فتحنا الدعم لأي شخص يحتاج المساعدة، سواء كان عميلاً لدى Swan أم لا". وبعد أسبوع، ما زال نحو 90% من العملات المسروقة دون حركة على السلسلة، وتمت مشاركة العناوين المؤكدة للمهاجمين مع جهات إنفاذ القانون الفدرالية في الولايات المتحدة، فيما أعلنت Coinkite، ومقرها تورونتو، أنها أصلحت جميع خطوط الأجهزة المتأثرة. كما فحص فريق متطوعين ممول من OpenSats أكثر من 150 مستودعاً مفتوح المصدر ولم يعثر على أدلة تشير إلى امتداد المشكلة إلى ما يتجاوز Coldcard. وأثار الاستغلال تساؤلات في الصناعة حول جدوى الحفظ الذاتي، مع دعوات لأن ينظر المستثمرون في شراء البيتكوين عبر أدوات مثل الصناديق المتداولة في البورصة بدلاً من الاحتفاظ به بأنفسهم. إلا أن كليبستن أكد أن العملاء لا يبتعدون عن الحفظ الذاتي، بل يعيدون تقييم طرق جعل الوصول إلى بيتكوينهم أكثر صعوبة. وقال: "الناس يتجهون الآن إلى Swan Vault"، في إشارة إلى منتج الشركة القائم على التوقيع المتعدد التعاوني (multisig)، حيث لا يستطيع جهاز واحد تعريض أموال المستخدم للخطر. وأضاف: "بدلاً من التخلي عن الحفظ الذاتي، كثيرون يقومون بترقيته". ووصف كليبستن حصيلة الأسبوع بـ"تفاؤل محسوب". وتابع: "من المؤلم أن الناس خسروا عملاتهم، رغم أنهم فعلوا كل شيء بشكل صحيح وفقاً لما نصح به كثير من الأسماء المعروفة في القطاع. لكن بيتكوين مضاد للهشاشة، والأدوات تزداد قوة مع مرور الوقت. قد ينتهي الأمر بأن تكون هذه الواقعة أفضل ما حدث للحفظ الذاتي".