أكثر من 1000 BTC سُرقت، وهذه المرة لم يتم اختراق «بيتكوين» نفسها، بل تم اختراق «الأرقام العشوائية».
ثغرة Coldcard هذه أكثر لفتًا للانتباه من اختراق منصات تداول عادية.
لأن الأمر هذه المرة لم يكن أن المستخدم نقر على رابط تصييدي، ولم يكن أيضًا أن المفاتيح الخاصة تم رفعها إلى السحابة.
المشكلة تكمن من البداية:
عندما يقوم المحفظة بتوليد عبارات الاسترداد (seed)، فإن العشوائية المولَّدة ليست عشوائية بدرجة كافية.
بالنسبة للجزء المتأثر (بذور Mk3)، فإن الإنتروبيا الفعّالة (entropy) تبلغ حوالي 40 بت فقط؛ وكان الناس يظنون أنهم يحملون مفتاحًا شبه مستحيل التخمين، لكن مساحة البحث أمام المهاجم تقلصت إلى بضعة أوامر من حيث الحجم.
والأكثر إزعاجًا أن الإصدارات القديمة من Mk4 وMk5 وQ أيضًا متأثرة، لكن صعوبة الهجوم أعلى.
الشيء الذي يوجع حقًا هو مقولة قديمة في عالم العملات المشفرة:
«Not your keys, not your coins.»
والآن يبدو أنه يجب إضافة جملة أخرى:
حتى keys الخاصة بك، يجب أن تتأكد تمامًا من كيفية توليدها.
على المدى القصير، للتوكن
$BTC تأثير سلبي خفيف فقط، بنسبة 3/10.
1000 BTC لا يكفي لتغيير توازن العرض والطلب على BTC.
لكن بالنسبة لصناعة المحافظ الذكية (hardware wallets)، فهذه بالطبع أخبار سلبية واضحة، بنسبة 8/10.
في المستقبل، عندما يشتري أصحاب المبالغ الكبيرة محافظًا باردة، لن يعود الأمر مجرد السؤال: «هل يوجد اتصال بالإنترنت؟» «وهل يوجد شريحة أمان؟»، بل سيسألون أيضًا:
من أين تأتي الأرقام العشوائية؟ هل الإنتروبيا كافية؟ من الذي راجع الكود؟
في المقابل، أرى أن الحلول مثل التوقيع المتعدد (multisig)، والإنتروبيا المستقلة، وتركيبات من شركات مصنّعة مختلفة قد تحظى باهتمام أكبر.
وهناك تفصيل آخر مثير للاهتمام: قام المطورون بالفعل بالاستفادة من نماذج AI متقدمة لإعادة إنتاج الهجوم بسرعة.
قد يكون أكبر تغيير في مجال الأمن مستقبلاً هو—
أن سرعة اكتشاف الثغرات وسرعة استغلالها سيتم تسريعها بواسطة الذكاء الاصطناعي معًا.
إذا كانت الـ seed في محفظتك الباردة بها مشكلة أصلًا، فإن ترقية الجهاز لا تجعل الـ seed القديمة تصبح آمنة فجأة.
ربما هذه هي النقطة التي يسهل أن يسيء فهمها كثيرون.
$BTC #Coldcard #硬件钱包 #coldcard漏洞被盗594枚btc