هجمات محافظ Coldcard تدخل الموجة الرابعة و449 بيتكوين مهددة

حذّر باحث سلاسل الكتل أليكس ثورن في 3 أغسطس من احتمال بدء موجة رابعة من الهجمات التي تستهدف محافظ بيتكوين المُنشأة عبر أجهزة Coldcard المتأثرة بضعف في العشوائية (entropy). وقال إن ما يقارب 449 بيتكوين جرى سحبها من مئات العناوين خلال نحو ساعتين ونصف، بينما كانت التحركات لا تزال مستمرة وقت نشره. وذكر ثورن أن تحليله الأخير رصد 218 معاملة طالت 462 عنوانًا يُعتقد أنها لضحايا، بين كتل بيتكوين 960778 و969792. هذه المعاملات نقلت 388.93 بيتكوين، تُقدّر بنحو 24.4 مليون دولار وفق الأسعار الحالية، إلى 216 عنوان وجهة، معظمها أُنشئ حديثًا ولا يملك سجل معاملات سابق. كتب ثورن: "من المرجح أن هؤلاء ضحايا Coldcard — إذ تتطابق مع شكل UTXO الضعيفة في Coldcard، كما أن نمط المعاملات المرتفع يمنحني ثقة كبيرة بأنها موجة هجوم جديدة". وأكد أنه لم يتلقَّ بعد تأكيدًا مباشرًا من الضحايا، لذا استخدم وصف "من المرجح" بدافع الحذر. وفي تحديث لاحق، صحّح ثورن قائمة عناوين الوجهة بإزالة ستة عناوين قال إنها كانت تتلقى وتنفق بيتكوين قبل بدء حادثة Coldcard في 30 يوليو، وكانت تمثل قليلًا فوق 5 بيتكوين من الرقم الذي حُسب سابقًا. كما استبعد 89 عنوانًا متعدد التوقيع (multisig) لعدم ظهورها في الموجات الثلاث الأولى، لتستقر القائمة الأساسية عند 709 عناوين وبإجمالي 448.73 بيتكوين (نحو 28.1 مليون دولار) عبر معاملات مؤكدة وأخرى لا تزال معلّقة. ودعا المستخدمين إلى نقل أموالهم فورًا بعيدًا عن أجهزة Coldcard المتأثرة، مع استخدام رسوم معاملات أعلى. ونبّه إلى أن بعض المعاملات المعلّقة مفعّل فيها خيار Replace-by-Fee (RBF)، ما يعني أن الضحايا الذين لا تزال معاملاتهم في mempool قد تتاح لهم نافذة قصيرة لرفع الرسوم والتفوق على المهاجم واستعادة أموالهم قبل تأكيدها. في المقابل، قدّرت Galaxy Research أن الموجات الثلاث الأولى المؤكدة استنزفت 1,367 بيتكوين، بقيمة تقارب 85.7 مليون دولار، من 4,585 عنوان بيتكوين. وأفادت الشركة بأن هذه الأموال لم تُنفق حتى الآن ولا تزال في محافظ يسيطر عليها المهاجم، ما يرجّح وجود عملية منسقة لا سرقة انتهازية. ومع ذلك، لم تبقَ جميع العملات المسروقة دون حركة. إذ أفيد بأن أحد الضحايا الذي كان يمتلك قرابة 30 بيتكوين تم تمرير 17 بيتكوين منها عبر ThorChain إلى كازينو Duel على الإنترنت، والذي طلب من الضحية تقديم بلاغ للشرطة قبل النظر في تجميد محتمل. وتعود الهجمات إلى ثغرة تمس العبارات الأولية (seeds) المُولدة على إصدارات معينة من برمجيات Coldcard الثابتة (firmware) الصادرة بعد مارس 2021. وأكدت Coinkite، الشركة المصنعة لـ Coldcard، أن العبارات التي أُنشئت على أجهزة Mk3 وMk4 وMk5 وQ المتأثرة معرضة للخطر. وأضافت أن تحديثات firmware المُصححة تمنع المشكلة للعبارات الجديدة فقط، لكنها لا تستطيع تأمين العبارات القديمة. كما ذكرت Coinkite أنها أتلفت ما تبقى من المخزون المعرض للثغرة، وأوقفت الشحنات، وتعمل مع العملاء وجهات إنفاذ القانون لمحاولة تحديد المسؤولين عن السرقة. ونصحت الشركة المستخدمين بالانتقال فورًا إلى seed جديدة على جهاز غير متأثر. وأشار ثورن إلى أن كل عنوان Coldcard أحادي التوقيع (single-signature) تم توليده ضمن الظروف المعرضة للثغرة سيتعرض للاستنزاف في نهاية المطاف. نُشر هذا التقرير لأول مرة على CryptoPotato.