أعاد الرئيس التنفيذي لشركة Coinkite، NVK، فتح نقاش محتدم حول الوضع الأمني للشركة، بعد دفاعه عن مراجعات الشركة التي سبقت الاستغلال، وقوله إن نموذج ذكاء اصطناعي جديداً اكتشف خللاً في توليد البذرة لم يلحظه المدققون البشريون. ما يقوله NVK - في 9 نوفمبر، نشر NVK على X أن العمل الأمني في Coinkite شمل مراجعات للأجهزة والبرامج الثابتة، وأدوات مرتبطة بتوليد الأرقام العشوائية (RNG)، وضوابط للإصدارات. واستشهد بمراجعتين مدفوعتين على الأقل لمنتجات أجرتها جهات خارجية (مراجعة Mk4 في 2022 ومراجعة Q في 2024)، وقال إن ما لا يقل عن 15 مراجعة خارجية موثقة أو جهداً بحثياً فحصت مكونات Coldcard المرتبطة بـRNG أو عمليات الإصدار قبل الاستغلال. - قال NVK أيضاً إن مراجعة Rob Ham عبر أداة OpenAI Cybersecurity Harness أسفرت عن 85 نتيجة محتملة قبل الحادثة، وإن عدداً منها أدى إلى إصلاحات — لكن عيب توليد البذرة لم يكن من بينها. وكتب: «الحقيقة المقلقة هي أن الأمر تطلب نموذج ذكاء اصطناعي جديداً ليكتشف ما عجز البشر عن اكتشافه». ردود من مجتمع Bitcoin - اعترض مطور Bitcoin Luke Dashjr، قائلاً إنه أبلغ Coinkite بالمشكلات سراً، وإنه يفصح عنها الآن علناً. وأكد Dashjr أنه لا يدعي أن كل بند أشار إليه يمثل خطأً أو يمكن استغلاله، وأن مراجعته كانت نظرة سريعة لا تدقيقاً كاملاً. - شكك Dashjr تحديداً في إيحاء NVK بأن الذكاء الاصطناعي المتقدم وحده كان قادراً على اكتشاف مشكلة RNG. - تساءل أعضاء آخرون في المجتمع عن طريقة تعامل Coinkite مع التدقيق الخارجي. واتهم Alex Waltz الشركة بتثبيط فحص الشيفرة؛ بينما رأى معلق آخر أن مراجعات الشيفرة الكاملة العفوية تختلف عن ضمان الجودة المستمر، وأنه يسهل إغفال «إبرة في كومة قش» من دون اختبارات مدمجة. - أشار المدافعون عن NVK إلى أن المراجعين فحصوا نظام الإنتروبيا سابقاً من دون إعادة إنتاج الخلل، وطالبوا المنتقدين بتقديم تقرير خطأ قابل لإعادة الإنتاج بدلاً من الرسائل الخاصة. تحذيرات وتحقيقات سابقة - عادت منشورات James O’Beirne إلى الواجهة في النقاش. وقال O’Beirne إنه بدأ فحص البرامج الثابتة لـColdcard في مايو 2025 لتتبع مصادر الإنتروبيا، وأثار مخاوف بشأن مكتبة libngu وثوابت الرجوع البرمجي المضمنة صراحةً، واقترح الربط مباشرةً مع libsecp256k1. وقال إنه لم يتابع الأمر بصرامة، ثم تلقى لاحقاً بلاغاً منفصلاً موثوقاً يفيد بأن شخصاً حذّر Coinkite من مشكلات الإنتروبيا في 2021 — ما يعني أن الشركة ربما تلقت تحذيرات سابقة متعددة. - قدّر تحليل TRM Labs الصادر في 5 أغسطس (والذي استشهدت به Galaxy Research) سرقة نحو 1,816 BTC من أكثر من 5,200 عنوان عبر أربع موجات بدأت في 30 يوليو. ويعود أصل الثغرة إلى خطأ في إعدادات البناء في مارس 2021، أدى إلى اختيار مولّد أرقام عشوائية برمجي ضعيف؛ وعلى بعض الأجهزة الأقدم، انخفضت قوة البذرة الفعلية إلى نحو 40 بتاً بدلاً من 128 بتاً كما كان مقصوداً، ما مكّن المهاجمين من إعادة بناء المفاتيح من دون وصول مادي إلى الأجهزة. - أُبلغ عن تحركات لاحقة للأموال في سبتمبر. وتتبع Alex Thorn من Galaxy Research مهاجماً في الموجة الثالثة حوّل نحو 10% من عملات Bitcoin التي بحوزته إلى Ether عبر THORChain. وقال Thorn أيضاً إن هوية المهاجم «قد تكون معروفة لجهات إنفاذ القانون»، رغم عدم ورود تأكيد بشأن تحديد FBI لهويته أو استرداد الأموال. رد Coinkite وإرشاداتها - تصف صفحة Coinkite الأمنية السجل المنشور بأنه تقرير ما بعد الحادثة قيد التطوير، وتشير إلى أن إعداد تقرير تقني مفصل لا يزال جارياً. وتُميّز الصفحة بين الفحوص المستقلة الموجهة وبين التدقيق الكامل لكل نسخة مصححة من البرامج الثابتة، كما تسرد أعمالاً مثل اختبار العشوائية في الأجهزة، ومراجعات الشيفرة المصدرية، وعملية بناء قابلة لإعادة الإنتاج. - الإصدارات الموصى بها حالياً هي 5.6.3 لأجهزة Mk4/Mk5 و1.5.3Q لأجهزة Q. ويحذر التنبيه من أن تحديثات البرامج الثابتة لا تستطيع إصلاح البذور المتأثرة بالفعل. وخطوات الانتقال هي: إنشاء بذرة جديدة، وإعداد نسخة احتياطية وعنوان استلام تم التحقق منهما، وإرسال تحويل تجريبي صغير، ثم نقل بقية الأموال. أهمية الأمر - تسلط هذه الحادثة الضوء على التوتر بين عمليات التدقيق التقليدية التي يجريها البشر، وممارسات ضمان الجودة المستمر، والأدوات الآلية الناشئة — بما فيها عمليات التدقيق المدعومة بالذكاء الاصطناعي — في تأمين محافظ الأجهزة. كما تؤكد امتداد آثار أخطاء الإعدادات وسلاسل التوريد لفترات طويلة: إذ يُقال إن خطأ صغيراً في وقت البناء عام 2021 أدى إلى ثغرة استُغلت بعد سنوات، وكلفت المستخدمين أموالاً كبيرة. ما الذي ينبغي ترقبه لاحقاً - ينتظر المجتمع التقرير التقني المفصل من Coinkite وأي تحديثات جنائية رقمية أخرى من جهات إنفاذ القانون أو شركات التحليلات. وفي الوقت نفسه، يُحث المستخدمون المتأثرون على اتباع إرشادات الانتقال — إنشاء بذور جديدة ونقل الأموال — لأن تحديثات البرامج الثابتة وحدها لن تنقذ البذور المخترقة. اقرأ المزيد من الأخبار المُنشأة بالذكاء الاصطناعي على: https://app.chaingpt.org/news