Galaxy Research ترفع تقدير خسائر حادثة محافظ Coldcard لبيتكوين إلى 70 مليون دولار

وسّعت Galaxy Research، ذراع الأبحاث لدى Galaxy Digital، نطاق تتبّعها على السلسلة لحادثة محفظة Coldcard بعد رصد 1,196 عنوان بيتكوين متأثراً. وخلال نافذة زمنية امتدت 41 دقيقة، فقدت هذه العناوين إجمالاً 1,082.65 BTC، بما يعادل نحو 70.2 مليون دولار وقت تنفيذ المعاملات. وتشير النتائج المحدثة إلى نطاق أوسع مما قُدّر في البداية، وتساعد في توضيح ما يُرجّح أن المهاجمين نفّذوه مباشرة بعد قيام المحافظ المعرضة للخلل بتوليد عبارات الاسترداد (seeds). وغطى تتبّع Galaxy Research حركة الأموال بين 1:10 و1:51 صباحاً بتوقيت UTC يوم 30 يوليو عبر الكتل من 960,183 إلى 960,191، أي قبل قرابة 30 ساعة من أول تنبيه أمني نشرته Coldcard. أبرز النقاط - تحديد 1,196 عنواناً مرتبطاً بحادثة Coldcard وتتبع خسائر قدرها 1,082.65 BTC خلال 41 دقيقة. - النشاط وقع بين 1:10 و1:51 صباحاً بتوقيت UTC يوم 30 يوليو عبر الكتل 960,183–960,191، قبل نحو 30 ساعة من أول إشعار رسمي من Coldcard. - تقديرات سابقة من روب هاملتون، الرئيس التنفيذي لشركة AnchorWatch، كانت أقل، إذ أشارت إلى انتقال 594.48 BTC ضمن نافذة أضيق من ثلاث كتل. - Galaxy Research تقول إن المعاملات تحمل نمطاً مميزاً على السلسلة: رسوم موحدة عند 30 ساتوشي لكل بايت افتراضي وعدم وجود مخرجات "فكة" (change outputs)، مع احتمال اختلاف عمليات سحب لاحقة عن هذا النمط. توسيع خريطة الهجوم ذكرت Galaxy Research أنها ربطت تحركات البيتكوين في هذه الواقعة بدفعة نشاط محددة يوم 30 يوليو، مركّزة على عناوين مرتبطة باختراق محفظة Coldcard جرى "كنسها" خلال الفترة بين 1:10 و1:51 صباحاً بتوقيت UTC. وتم تجميع الخسائر عبر نطاق قصير من الكتل 960,183 إلى 960,191، ما يرجّح أن العملية اعتمدت على الأتمتة وبنية معاملات متكررة أكثر من كونها تحركات يدوية متفرقة. وبحسب تقييم الأسعار وقت التحويلات الخارجة، بلغت قيمة 1,082.65 BTC نحو 70.2 مليون دولار. وتكتسب المسألة أهمية إضافية من زاوية التوقيت، إذ بدأت نافذة التتبّع قبل يوم تقريباً من أول تنبيه أمني عام من Coldcard، ما يوحي بأن نقل الأموال المخترقة تم مبكراً وأن الاستجابة جاءت متأخرة عن عملية الكنس الأولى. مطابقة الأنماط لتأكيد الارتباط—ضمن حدود في تحليل لاحق، قالت Galaxy Research إن المعاملات التي جرى تحديدها تتشارك بصمة واحدة، إذ استخدمت عمليات الكنس رسوماً متطابقة عند 30 ساتوشي لكل بايت افتراضي، ولم تتضمن المعاملات مخرجات فكة. وتُعد هذه السمات مفيدة للمحققين لأنها تمنح "بصمة على السلسلة" تساعد في تجميع النشاط المرتبط بالمحافظ وتقليل احتمالات إسناد تحويلات غير ذات صلة إلى الواقعة. وحذّرت Galaxy Research من أن هذا النمط قد يميز موجة الهجوم الأولى فقط، إذ قد لا تلتزم هجمات لاحقة تستهدف عناوين وُلدت عبر Coldcard بالبصمة نفسها. وهذا يعني أن حصر إجمالي الخسائر اعتماداً على هيكل واحد واضح للمعاملة قد يؤدي إلى التقليل من حجم النشاط إذا اختلفت الجولات التالية في إعدادات الرسوم أو سلوك المخرجات. تقديرات سابقة أقل بسبب نافذة أضيق قبل توسيع الخريطة بواسطة Galaxy Research، قدّر روب هاملتون، الرئيس التنفيذي والمؤسس المشارك لـ AnchorWatch، بشكل أولي أن 594.48 BTC—نحو 38 مليون دولار وقتها—انتقلت عبر 500 معاملة ضمن نافذة من ثلاث كتل فقط. واعتمدت أرقام هاملتون على شريحة أضيق من النشاط على السلسلة، وهو ما يعكس كيف تتجاوز حوادث المحافظ السريعة وتيرة التحقيقات المبكرة. ويحدّث توسيع Galaxy Research الصورة من خلال توسيع مجموعة العناوين والفترة الزمنية المتتبعة حول دفعة 30 يوليو، ما يقارب مضاعفة إجمالي البيتكوين المنسوب إلى نشاط الكنس. ويبرز اختلاف التقديرات تحدياً شائعاً في الاستجابة لحوادث أنظمة الحفظ الذاتي: تحديد النطاق الكامل قد يتطلب أياماً من التتبّع والتجميع والتحقق، خصوصاً عندما يعيد المهاجمون استخدام منطق متشابه عبر معاملات ووجهات متعددة. Coinkite تقر بخطأ في البرنامج الثابت وتوصي بترحيل عبارات الاسترداد تحملت Coinkite، الشركة المصنعة لـ Coldcard، المسؤولية عن أصل المشكلة. وفي منشور على منصة X يوم الجمعة، قال رودولفو نوفاك، المؤسس المشارك لـ Coinkite، إن الشركة تعمل على تحديد النطاق الكامل للمشكلة، مؤكداً إصدار إصلاح عاجل (hotfix) لإزالة مسار رجوع برمجي. وأكد نوفاك أيضاً حدود هذا الإجراء: التحديث لا يحمي عبارات الاسترداد التي تم توليدها على البرنامج الثابت المعرّض للخلل. وبناء على ذلك، نُصح المستخدمون الذين أنشأوا عبارات استرداد خلال الفترة المتأثرة بنقل أموالهم إلى عبارة استرداد جديدة. ويتسق ذلك مع جوهر المخاطر في اختراقات تعتمد على seed: إذا مسّت الثغرة كيفية توليد مادة الـ seed أو مسارات التنفيذ المرتبطة بها، فإن تحديث البرنامج الثابت لا يؤمّن المفاتيح التي تم إنشاؤها مسبقاً. عملياً، يتطلب التعافي نقل الرصيد إلى مادة مفاتيح أكثر أماناً، وليس مجرد تحديث الجهاز. ما الذي ينبغي مراقبته لاحقاً يوفر تحديد Galaxy Research لنمط كنس مشترك أساساً أكثر تنظيماً لتتبع النشاط المرتبط بالواقعة، لكن التحذير من احتمال اختلاف الهجمات المستقبلية عن البصمة نفسها يعني أن شكل الحادثة على السلسلة قد يتغير. وينبغي للمستخدمين القلقين بشأن توليدهم عبارات استرداد على برنامج ثابت معرّض للخلل التركيز على ترحيل أي أرصدة متبقية إلى عبارات جديدة، مع مواصلة مراقبة أي تحركات مرتبطة بالعناوين التي ظهرت ضمن منطق الكنس. نُشر هذا التقرير في الأصل بعنوان: "Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review" على موقع Crypto Breaking News.