لسنوات، كانت الفكرة الأساسية وراء بطاقة Coldcard هي أنه لا يمكن لأحد الوصول إلى عملة البيتكوين الخاصة بك إلا إذا كان يحمل الجهاز فعليًا في يديه.

انهار ذلك الوعد هذا الأسبوع، عندما قام مهاجم بهدوء اجتاحت سُرقت حوالي 1,082 بيتكوين، بقيمة تقارب 70 مليون دولار، من أكثر من ألف محفظة في أقل من ساعة. الأمر المقلق هو أن السارق لم يلمس أي جهاز، ولم يحاول الاحتيال على أحد، ولم يحتج إلى رقم تعريف شخصي أو كلمة مرور. كانت هذه العملات مخزنة في محافظ باردة، غير متصلة بالإنترنت، ومحفوظة تمامًا كما تنصح جميع أدلة الحفظ الذاتي. ومع ذلك، سُرقت. بالنسبة لقطاع العملات الرقمية الذي يعتبر محافظ الأجهزة المعيار الذهبي للأمان، تُعد هذه لحظة عصيبة حقًا.

قدّر محللو تقنية البلوك تشين في شركة "جالاكسي ديجيتال"، الذين يتابعون عملية الاحتيال، الخسائر مبدئيًا بنحو 38 مليون دولار، قبل أن يرفعوا الرقم مع ظهور المزيد من العناوين المسروقة. وقد أكدت شركة "كوينكايت"، المصنّعة لمحفظات الأجهزة، وجود الثغرة الأمنية وسارعت بإصدار تحديث برمجي، لكن الأموال كانت قد تبخرت بالفعل. ووفقًا لبيان أمني صادر عن "كوينكايت "، وقعت السرقة قبل يوم تقريبًا من تمكّن الشركة من تحذير المستخدمين علنًا، ما يعني أن الكثيرين شاهدوا أرصدتهم تتلاشى إلى الصفر قبل أن يدركوا وجود أي مشكلة. عندما تُبنى علامتك التجارية بالكامل على إجراءات أمنية مشددة ودقيقة، فإن مثل هذا التأخير يُعدّ من أسوأ ما يمكن أن يحدث. وتقول الشركة إنها لا تزال تعمل على تحديد حجم الضرر بالكامل.

خلل عمره خمس سنوات في طريقة صنع المحفظة لمفاتيحها

السبب الجذري هنا ممل ومثير للقلق في آن واحد. عند إعداد محفظة أجهزة، من المفترض أن تُنشئ عبارة الاسترداد من عشوائية تامة، بحيث يكون تخمينها مستحيلاً رياضياً. في إصدار برمجي صدر في مارس 2021، بدأ برنامج Coldcard بتجاوز مولد الأرقام العشوائية المخصص للأجهزة، وعاد بهدوء إلى قيم متوقعة مُستخرجة من الشريحة نفسها. بدلاً من 128 بت من العشوائية المتوقعة، كانت أجهزة Mk3 المتأثرة تُنتج عبارات استرداد تحتوي على 40 بت فقط، بينما وصلت عبارات الاسترداد في طرازات Mk4 وMk5 وQ اللاحقة إلى حوالي 72 بت. بعبارة أخرى، أصبحت عبارة الاسترداد التي كان من المفترض أن تكون غير قابلة للتخمين شيئًا يمكن لمهاجم مُصمم يمتلك أجهزة حديثة اختراقه بسهولة.

ما يزيد الأمر سوءًا هو أن هذه الثغرة ظلت خفية لأكثر من خمس سنوات. كل محفظة تم إنشاؤها على الإصدارات المتأثرة كانت تحمل نفس نقطة الضعف منذ البداية، سواء ارتكب المستخدم أي خطأ أم لا. وقد أشار بعض الباحثين إلى أن الأدوات الآلية أو المدعومة بالذكاء الاصطناعي ربما ساعدت المهاجم على استغلال مساحة المفاتيح المحدودة بسرعة كافية لمسح هذا العدد الكبير من المحافظ دفعة واحدة، على الرغم من أن هذا الادعاء لم يتم تأكيده. تقول شركة Coinkite إن البرنامج الثابت المُصلح يعيد العشوائية الصحيحة، لكن التحديث لا يُغير التاريخ. أي عبارة استعلام تم إنشاؤها على البرنامج القديم لا تزال موجودة بصيغتها الضعيفة، وهذا تحديدًا سبب وضوح النصائح الصادرة الآن.

الأشخاص الذين تعرضوا للضرب فعلوا كل شيء "بشكل صحيح".

هذه الخسارة مؤلمة لأنها طالت من اتبعوا النصائح المعتادة بحذافيرها. معظم المحافظ التي سُحبت منها الأموال تعود لمستثمرين قدامى سحبوا عملاتهم من منصات التداول منذ سنوات وتركوها في محافظ باردة، وهو ما يُفترض أن يكون التصرف المسؤول. كانت مكافأتهم على حرصهم هي رؤية أرصدتهم تتلاشى، بينما لم يتأثر المتداولون الجدد الأقل انضباطًا على منصات الحفظ. وهناك جانب مرير آخر في هذه المشكلة. يبدو أن المستخدمين الذين أضافوا رميات النرد الخاصة بهم أثناء الإعداد، أو الذين استخدموا عبارة مرور أو توقيعًا متعددًا، قد نجوا، لأن هذه المدخلات الإضافية أعادت عنصر العشوائية الذي ألغته البرامج الثابتة، وكان الأكثر عرضة للخطر هم أولئك الذين وثقوا بالجهاز لأداء وظيفته الأساسية.

ماذا تفعل إذا كنت تمتلك واحدة؟

إذا كنت تستخدم محفظة Coldcard، فإن توجيهات Coinkite واضحة: تعامل مع عبارة الاسترداد الخاصة بك على أنها مخترقة وانقل أموالك. هذا يعني تحديث البرنامج الثابت إلى الإصدار المُصلح، وإنشاء عبارة استرداد جديدة تمامًا على الجهاز المُحدث، ثم إرسال كل شيء إلى المحفظة الجديدة، لأن تحديث البرنامج الثابت وحده لا يُصلح شيئًا إذا كانت عبارة الاسترداد الضعيفة موجودة بالفعل. وللأسف، لا يوجد اختبار ذاتي يُخبرك ما إذا كانت عبارة الاسترداد الخاصة بك تقع ضمن النطاق المُحتمل للتخمين، لذا فإن الافتراض الآمن الوحيد هو أنها قد تكون كذلك. يمكنك التحقق من إصدار البرنامج الثابت الخاص بك من خلال القائمة المتقدمة على الجهاز، ويجب التعامل مع أي شيء تم إنشاؤه على الإصدارات المُعرضة للخطر بين عام 2021 والإصلاح الأخير على أنه مشبوه. انخفض سعر البيتكوين بنحو 3% مع اتضاح حجم المشكلة، ويُوفر هذا التوقيت نقطة نقاش سهلة لكل من كان يُروج لأمناء الحفظ المُنظمين وصناديق المؤشرات المتداولة الفورية بدلاً من التخزين الذاتي.

الدرس المزعج هو أن شعار "ليست مفاتيحك، ليست عملاتك" كان يُسوَّق دائمًا على أنه الطريق الأكثر أمانًا، ولا يزال كذلك في معظم الأحيان، لكن مفاتيحك لا تحميك إلا إذا كانت عشوائية بالفعل منذ البداية. لقد اختفى خطأ برمجي واحد صامت لمدة نصف عقد داخل أحد أكثر الأسماء الموثوقة في مجال الحفظ الذاتي للبيتكوين، ولم يُكتشف إلا بعد عملية سرقة بقيمة 70 مليون دولار. لا يعني هذا أن محافظ الأجهزة عملية احتيال أو أن التخزين البارد قد انتهى فجأة. بل يعني أن الأمور غير الجذابة، مثل تحديثات البرامج الثابتة والإنتروبيا الإضافية وعبارات المرور وإعدادات التوقيع المتعدد، هي الجزء الذي ينقذك بهدوء، حتى اليوم الذي يتبين فيه أنها الشيء الوحيد الذي يفصلك عن محفظة فارغة.

---------------

كاتب: سيدريك هولواي
غرفة أخبار نيويورك
كسر أخبار التشفير