خسائر محفظة كولدكارد تقترب من 114 مليون دولار مع ظهور موجة سحب رابعة

بدأت في وقت مبكر من صباح الاثنين موجة رابعة من عمليات "السحب" التي تستهدف عناوين بيتكوين (BTC) جرى إنشاؤها عبر محفظة كولدكارد الباردة، واستمرت لساعات لاحقة. هذه المرة، يقول باحثون إن بالإمكان إحباط التحويلات طالما أنها ما زالت غير مؤكدة على الشبكة. أليكس ثورن، رئيس الأبحاث في Galaxy Research، رصد الموجة الجارية وأوضح أن المهاجمين فعّلوا خيار Replace-by-Fee، وهو ميزة في بيتكوين تسمح باستبدال معاملة معلّقة بأخرى برسوم أعلى. وبما أن المعاملة لا تصبح نهائية قبل تأكيدها، يمكن للضحية التي تعثر على عنوانها ضمن "الميمبول" (طابور المعاملات غير المؤكدة) رفع الرسوم وإرسال العملات إلى عنوان آمن قبل اكتمال السحب. انطلقت الهجمات في 30 يوليو عبر موجة أولى سحبت 1,083 بيتكوين من 1,196 عنواناً خلال 41 دقيقة. ثم رُصدت موجتان إضافيتان خلال عطلة نهاية الأسبوع لترتفع الخسائر المشاهدة إلى 1,367 بيتكوين عبر 4,585 عنواناً. ويُعزى الخلل الذي أتاح الاستغلال إلى إصدار برنامج ثابت (Firmware) في مارس 2021، إذ جرى توجيه توليد "البذرة" (Seed) إلى مولّد عشوائية برمجي يمكن التنبؤ به بدل مولّد العشوائية العتادي في الشريحة، ما يجعل المفاتيح الناتجة قابلة لإعادة الإنتاج خارجياً لمن يتمكن من تحديد نطاق القيم. شركة Coinkite المصنّعة لمحفظة كولدكارد أطلقت تحديثاً طارئاً للبرنامج الثابت لجميع الطرازات المتأثرة، ونصحت المستخدمين الذين أنشأوا بذورهم على النسخة المعيبة بنقل الأموال إلى عنوان محفظة جديد تم إنشاؤه ببذرة حديثة. ثورن قال إنه لم يتلقَّ تقارير مباشرة من ضحايا، وإنه نشر نتائجه استناداً إلى مطابقة الأنماط فقط، مفضّلاً سرعة التحذير على انتظار تأكيدات إضافية بينما كانت المعاملات لا تزال غير مؤكدة. وبحسب تقديره، إذا استمرت الأنماط على حالها، فقد بلغ الإجمالي عبر الموجات الأربع نحو 1,816 بيتكوين، أي ما يقارب 114 مليون دولار، من أكثر من 5,200 عنوان منذ 30 يوليو. ونصح ثورن المستخدمين بفحص أرصدتهم، ونقل أي أموال بعيداً عن الأجهزة المتأثرة، ورفع رسوم المعاملات لزيادة فرص تنفيذ التحويلات الوقائية أولاً. وغطّى النمط الكتل من 960,778 إلى 960,792، مع 218 معاملة استهدفت 462 عنوان ضحية بمعدل يقارب 14 عملية سحب لكل كتلة، مقارنة بنحو 0.3 عملية في نافذة ضبط قبل الحادثة، أي ما يقارب 45 ضعف المعدل المعتاد. وبحسب التحليل، كانت العملات المصروفة قد وصلت إلى العناوين بعد حدّ إصدار البرنامج الثابت الخاص بكولدكارد، فيما كانت وجهات التحويل عناوين جديدة بلا سجل سابق، عنوان واحد لكل ضحية بدلاً من عناوين تجميع مشتركة كما في الموجتين الأوليين، ما صعّب عملية تتبع الخريطة. ولم تمس أي من الموجات الثلاث الأولى إعدادات التوقيع المتعدد (Multisignature)، بما يتوافق مع كون الخلل يؤثر على بذور بمفتاح واحد. كما ظهرت ستة عناوين وجهة لها سنوات من النشاط السابق، إذ لا يمكن لعنوان مهاجم مُنشأ حديثاً أن يمتلك تاريخاً على السلسلة.