#ColdcardFlawDrains594BTC : كان أكبر خطر في عالم العملات المشفرة ليس اختراقًا، بل ضعف العشوائية
$BTC
استرعى هذا الحادث انتباهي حقًا لأنه يتحدى أحد أكبر الافتراضات في مجال العملات المشفرة: أن المحافظ الذاكية (Hardware Wallets) تكون آمنة فقط بقدر العشوائية المستخدمة لإنشاء عبارات الاسترداد (seed phrases).
وبحسب ما ورد، تم سحب حوالي 594 بيتكوين (تبلغ قيمتها تقريبًا 38 مليون دولار) من ما يقرب من 500 محفظة بيتكوين خلال 25 دقيقة فقط بعد أن استغل المهاجمون خللًا في إصدارات معينة من البرامج الثابتة (firmware) الخاصة بـ Coldcard. لم يكن السبب في حدوث المشكلة ناتجًا عن التصيّد (phishing) أو البرمجيات الخبيثة (malware) أو تسريب عبارة الاسترداد. وبدلًا من ذلك، يعتقد المحققون أن خللًا في التوليد العشوائي للأرقام في المحفظة (RNG) جعل بعض عبارات الـ seed أكثر قابلية للتنبؤ بشكل كبير مما ينبغي.
ما يجعل هذا الحادث مهمًا على نحو خاص هو أنه يسلط الضوء على طبقة خفية من أمان المحافظ. يركز معظم المستخدمين على حماية عبارة الاسترداد المكوّنة من 12 أو 24 كلمة، لكن القليل جدًا يفكر في كيفية توليد هذه العبارة من الأساس. إذا تم المساس بالعشوائية الكامنة وراء الـ seed، فقد يُضعَّف نموذج الأمان بالكامل، حتى لو لم تلمس المحفظة الإنترنت أبدًا.
حثّ مُصنّع الجهاز المستخدمين الذين لديهم محافظ يُحتمل أن تكون متأثرة على الفور على نقل الأموال إلى محفظة جديدة تم إنشاؤها باستخدام برنامج ثابت مُحدّث، بدلًا من الاكتفاء باستيراد الـ seed القديم إلى جهاز آخر.
رأيي
هذه ليست مجرد قصة عن Coldcard؛ بل تذكير بأن الحيازة الذاتية (self-custody) لا تكون قوية إلا بقدر الأدوات والعمليات الموجودة خلفها. تظل المحافظ الذاكية من بين أكثر الطرق أمانًا لتخزين البيتكوين، لكن الأمان لا يتوقف عند شراء جهاز فحسب. فالتحديثات الخاصة بالـ firmware، والتوليد الصحيح للـ seed، وفهم كيفية عمل محفظتك، كلها أمور بالقدر نفسه أهمية حفظ عبارة الاسترداد دون اتصال.
#Write2Earn
$BTC
استرعى هذا الحادث انتباهي حقًا لأنه يتحدى أحد أكبر الافتراضات في مجال العملات المشفرة: أن المحافظ الذاكية (Hardware Wallets) تكون آمنة فقط بقدر العشوائية المستخدمة لإنشاء عبارات الاسترداد (seed phrases).
وبحسب ما ورد، تم سحب حوالي 594 بيتكوين (تبلغ قيمتها تقريبًا 38 مليون دولار) من ما يقرب من 500 محفظة بيتكوين خلال 25 دقيقة فقط بعد أن استغل المهاجمون خللًا في إصدارات معينة من البرامج الثابتة (firmware) الخاصة بـ Coldcard. لم يكن السبب في حدوث المشكلة ناتجًا عن التصيّد (phishing) أو البرمجيات الخبيثة (malware) أو تسريب عبارة الاسترداد. وبدلًا من ذلك، يعتقد المحققون أن خللًا في التوليد العشوائي للأرقام في المحفظة (RNG) جعل بعض عبارات الـ seed أكثر قابلية للتنبؤ بشكل كبير مما ينبغي.
ما يجعل هذا الحادث مهمًا على نحو خاص هو أنه يسلط الضوء على طبقة خفية من أمان المحافظ. يركز معظم المستخدمين على حماية عبارة الاسترداد المكوّنة من 12 أو 24 كلمة، لكن القليل جدًا يفكر في كيفية توليد هذه العبارة من الأساس. إذا تم المساس بالعشوائية الكامنة وراء الـ seed، فقد يُضعَّف نموذج الأمان بالكامل، حتى لو لم تلمس المحفظة الإنترنت أبدًا.
حثّ مُصنّع الجهاز المستخدمين الذين لديهم محافظ يُحتمل أن تكون متأثرة على الفور على نقل الأموال إلى محفظة جديدة تم إنشاؤها باستخدام برنامج ثابت مُحدّث، بدلًا من الاكتفاء باستيراد الـ seed القديم إلى جهاز آخر.
رأيي
هذه ليست مجرد قصة عن Coldcard؛ بل تذكير بأن الحيازة الذاتية (self-custody) لا تكون قوية إلا بقدر الأدوات والعمليات الموجودة خلفها. تظل المحافظ الذاكية من بين أكثر الطرق أمانًا لتخزين البيتكوين، لكن الأمان لا يتوقف عند شراء جهاز فحسب. فالتحديثات الخاصة بالـ firmware، والتوليد الصحيح للـ seed، وفهم كيفية عمل محفظتك، كلها أمور بالقدر نفسه أهمية حفظ عبارة الاسترداد دون اتصال.
#Write2Earn