Galaxy: سرقة بيتكوين بقيمة 70 مليون دولار من 1,196 محفظة Coldcard قبل إعلان ثغرة حرجة

تُسوَّق المحافظ الصلبة على أنها خط الدفاع الأقوى في عالم الأصول الرقمية: مفاتيح خاصة خارج الإنترنت وبعيدة عن الاختراقات والمنصات. إلا أن هذا الوعد حمل كلفة باهظة لبعض مستخدمي أجهزة Coldcard Mk3. وفقاً لتقرير Galaxy Research، سحب مهاجمون في 30 يوليو 2026 ما مجموعه 1,082.65 بيتكوين، تُقدَّر قيمتها بنحو 70.2 مليون دولار، من 1,196 محفظة خلال حوالى 41 دقيقة. وجاءت العملية قبل نحو 30 ساعة فقط من إعلان Coinkite، الشركة المطوّرة لـColdcard، عن ثغرة أمنية حرجة في برمجيات الجهاز. الثغرة تتمركز في مولّد الأرقام العشوائية (RNG) ضمن إصدارات برمجية Coldcard Mk3 من 4.0.1 حتى 5.0.3. أهمية المشكلة أن المحفظة عند الإعداد تُنشئ عبارة الاسترداد (recovery seed) اعتماداً على أرقام يُفترض أن تكون عشوائية. إذا لم تكن العشوائية حقيقية، تصبح عبارة الاسترداد قابلة للتنبؤ، ما يتيح للمهاجم اشتقاق المفتاح الخاص حسابياً من دون الحاجة إلى الوصول إلى الجهاز. وأشار التقرير إلى أن فريق الهندسة في Block حدّد السبب الجذري لخلل الـRNG ونشر تقريراً تفصيلياً في اليوم نفسه الذي أصدرت فيه Coinkite نشرتها الأمنية. كلا الإفصاحين تم في 30 يوليو 2026، بعد أن كانت المحافظ قد فُرّغت بالفعل. وأكدت Coinkite أن التأثير لا يشمل جميع أجهزة Coldcard، بل الأجهزة التي تعمل بالإصدارات البرمجية المتضررة، داعية المستخدمين المعنيين إلى إنشاء عبارات استرداد جديدة كلياً فوراً ونقل الأصول. ما يلفت الانتباه هو سرعة التنفيذ: 41 دقيقة لتصفية 1,196 محفظة وبقيمة تتجاوز 70 مليون دولار من البيتكوين لا تبدو عملية يدوية، بل تتطلب أتمتة، واستطلاعاً مسبقاً، وقائمة جاهزة بعناوين معرّضة للخطر. وأظهرت بيانات السلسلة (onchain) أن المحافظ المصدر كانت خاملة لفترات طويلة قبل الهجوم، ما يرجّح أن الضحايا كانوا من حاملي الأجل الطويل الذين أعدّوا أجهزتهم قبل سنوات ولم يحرّكوا أرصدتهم منذ ذلك الحين اعتماداً على أمان العتاد. وبعد بدء السحب، جرى تجميع الأموال المسروقة سريعاً في عدد أقل من العناوين. ولفتت أبحاث Galaxy إلى أن عنواناً واحداً تلقّى نحو 594 بيتكوين من العملية. توقيت الحادثة يطرح تساؤلات صعبة: تفريغ المحافظ وقع قبل الإفصاح العلني بنحو 30 ساعة، ما يفتح باب النقاش حول من كان على علم بالثغرة ومتى. ويظل احتمال أن المهاجم اكتشف خلل الـRNG بشكل مستقل وتحرك قبل نشر نتائج Coinkite أو Block قائماً. ولم تتهم Coinkite أو Galaxy أي جهة بخلل في إجراءات الإفصاح، كما لم تشر نشرة Coinkite إلى علم مسبق لدى المهاجم، وركّزت على مطالبة المستخدمين بالتحرك الفوري، وإنشاء عبارات استرداد جديدة، والتحقق من إصدار البرمجيات على أجهزتهم. بالنسبة لمستخدمي المحافظ الصلبة، الرسالة المباشرة أن تحديثات البرمجيات ليست شكلية. خلل الـRNG يُعد من أخطر الثغرات لأنه يضرب أساس توليد المفاتيح. ويُنصح مستخدمو أي محفظة صلبة بمعرفة إصدار البرمجيات لديهم ومتابعة نشرات الأمان الصادرة عن الشركة المصنّعة. كما أن سرعة وحجم سحب 70.2 مليون دولار تعكس مستوى عالياً من الاحتراف: خبرة تقنية لاستغلال ثغرة RNG، وبنية تحتية لأتمتة السحب عبر ما يقارب 1,200 محفظة في وقت متزامن، وانضباط تشغيلي للتحرك ضمن نافذة ضيقة قبل الإفصاح العلني.