اختراق كولدكارد: سرقة 130 مليون دولار وتفريغ أكثر من 7,700 محفظة.. التفاصيل الكاملة

لم يحتج المخترق إلى وصول مادي إلى الجهاز، أو رسائل تصيد (phishing)، أو برامج ضارة. من خلال الهندسة العكسية لمخرجات الإنتروبيا الضعيفة، تمكن من إعادة بناء العبارات الأولية المكونة من 12 أو 24 كلمة للضحايا عن بُعد واستنزاف محافظ لم تكن متصلة بالإنترنت مطلقاً .

المدير التنفيذي لشركة Coldcard، رودولفو نوفاك، أكد المشكلة في 30 يوليو 2026، وأشار إلى أن الثغرة ربما تم اكتشافها باستخدام أدوات ذكاء اصطناعي قادرة على مسح البرامج الثابتة مفتوحة المصدر بحثاً عن نقاط ضعف في الانتروبيا على نطاق واسع .

حجم وجدول السرقة

وقع الهجوم في موجات منسقة متعددة:

• 30 يوليو — الموجة الأولى: في مسح استمر 25 دقيقة بدأ حوالي الساعة 21:56 بتوقيت شرق الولايات المتحدة، استنزف المخترق ما يقرب من 594 بيتكوين (~38 مليون دولار) من حوالي 500 محفظة، مستهدفاً أكبر الأرصدة أولاً . وجد تحليل شركة Chainalysis أنه تمت سرقة 30 مليون دولار في أول 10 دقائق فقط .
• 31 يوليو – 4 أغسطس — الموجة الثانية والثالثة: دفعت عمليات المسح الإضافية الخسائر إلى 1,596 بيتكوين (~100 مليون دولار+) عبر حوالي 7,300 عنوان .
• الموجة الرابعة المشتبه بها: شركة Galaxy Research أشارت إلى موجة رابعة محتملة، إذا تم تأكيدها، فسيرفع الإجمالي إلى 2,055 بيتكوين (~130 مليون دولار) .

بحلول أوائل أغسطس، صنفت شركة TRM Labs حادثة Coldcard على أنها ثالث أكبر اختراق للعملات الرقمية في عام 2026 . حددت Galaxy Research ما لا يقل عن 15 مخترقاً منفصلاً يتسابقون الآن لاستغلال أي محافظ ضعيفة لم يتم ترحيل أموالها .

تحويل 7 أغسطس: 30.185 بيتكوين (1.94 مليون دولار)

في 7 أغسطس 2026، قامت محفظة مرتبطة بمخترق كولدكارد بتحويل 30.185 بيتكوين (~1.94 مليون دولار) إلى عنوان تم إنشاؤه حديثاً، وفقاً لمتعقب السلسلة Lookonchain . كانت هذه أول حركة للأموال المسروقة منذ بدء عمليات الاستغلال.

• يمثل التحويل ما يقرب من 1.5% من إجمالي الغنيمة البالغة 2,055 بيتكوين .
• فسره المحللون على أنه عملية اختبار محتملة أو خطوة أولية نحو عملية صرف نقدي أكبر .
• لم يتأثر سعر البيتكوين تقريباً، حيث تم تداوله بالقرب من 64,152 دولاراً في ذلك الوقت .

90% من الأموال المسروقة لا تزال دون تحريك

بعد تحويل 7 أغسطس، ما يقرب من 98.5% من الـ 2,055 بيتكوين المسروقة لا تزال دون مساس في محافظ المخترق . هذا النمط يتوافق مع المخترقين المحترفين الذين ينتظرون شهوراً أو سنوات قبل محاولة غسل مبالغ كبيرة. تقوم شركات الطب الشرعي للبلوكتشين ومنصات التداول بتتبع هذه العناوين عن كثب .

استجابة كوينكايت (Coinkite) وتحديث البرنامج الثابت

تحركت كوينكايت بسرعة بعد اكتشاف الثغرة في 30 يوليو:

• 30 يوليو — أصدرت تحذيراً أمنياً عاجلاً يكشف الثغرة علناً .
• 31 يوليو — أرسلت تحديثاً طارئاً للبرنامج الثابت لكل طراز متأثر ومسار إصدار :

تحذير بالغ الأهمية: تثبيت البرنامج الثابت المُصحح لا يُصلح البذرة (seed) التي تم اختراقها بالفعل. أخبرت كوينكايت جميع المستخدمين المتضررين بإنشاء بذرة جديدة على البرنامج الثابت المُصحح ونقل عملاتهم فوراً . كما قامت الشركة بإتلاف المخزون المتبقي الذي تم تصنيعه بالبرنامج الثابت الضعيف وأوقفت الشحنات .

إصدارات البرنامج الثابت المتأثرة

• أعلى خطورة: البرنامج الثابت لـ Mk3 من 4.0.1 إلى 4.1.9، البذور التي تم إنشاؤها بدون 50 رمية نرد مستقلة على الأقل أو عبارة مرور BIP-39 قوية وفريدة
• متأثرة أيضاً: طرازات Mk4 و Mk5 و Q قبل إصدارات البرنامج الثابت المُصلحة المذكورة أعلاه
• غير متأثرة: البذور التي تم إنشاؤها قبل نافذة البرنامج الثابت الضعيف؛ البذور التي استخدمت 50+ رمية نرد؛ البذور المحمية بعبارة مرور BIP-39 فريدة؛ أجهزة TAPSIGNER و OPENDIME و SATSCARD (قواعد كود مختلفة)، وإعدادات التوقيع المتعدد (multisig) التي تتضمن مفتاحاً واحداً على الأقل غير قابل للاختراق

تداعيات على الحفظ الذاتي ومجتمع العملات الرقمية

• المحافظ الباردة ليست منيعة. حطمت حادثة Coldcard الافتراض القائل بأن المحافظ غير المتصلة بالإنترنت محصنة ضد سرقة البذور عن بُعد . عاشت الثغرة دون اكتشاف في البرنامج الثابت لأكثر من خمس سنوات.
• البذور التي تم إنشاؤها على البرنامج الثابت الضعيف مخترقة بشكل دائم. حتى بعد تثبيت الإصلاح، تظل البذور القديمة قابلة للتخمين . يجب على المستخدمين إنشاء محافظ جديدة بالكامل وترحيل الأموال.
• خوف أوسع في السوق. ذكرت شركة Glassnode أن ما يقرب من 210,000 بيتكوين تم نقلها من محافظ الحائزين على المدى الطويل (التي كانت خاملة لمدة 155+ يوماً) في الأسبوع الذي تلى الاختراق — وهو أكبر تحول من نوعه منذ عام 2024 — مما يشير إلى فقدان واسع للثقة بين حائزي بيتكوين الذين يعتمدون على الحفظ الذاتي .
• تدقيق الذكاء الاصطناعي يتسارع. أشار باحثو الأمن إلى أن الهجوم ربما تم بمساعدة أدوات ذكاء اصطناعي يمكنها مسح البرامج الثابتة مفتوحة المصدر بحثاً عن نقاط ضعف في الانتروبيا على نطاق واسع، وهي قدرة يتم تبنيها الآن بسرعة عبر جميع مشاريع المحافظ الباردة .
• "لقد فعلت كل شيء بشكل صحيح" لم يعد كافياً. اتبع العديد من الضحايا أفضل ممارسات الحفظ الذاتي وما زالوا يفقدون كل شيء، مما يؤكد أن سلامة البرامج الثابتة (firmware integrity) هي الحدود الجديدة لمخاطر المحافظ الباردة .

• Mk3: الإصدار 4.2.0 أو أحدث
• Mk4/Mk5 القياسي: الإصدار 5.6.0 أو أحدث
• Q القياسي: الإصدار 1.5.0Q أو أحدث
• Mk4/Mk5 Edge: الإصدار 6.6.0X أو أحدث
• Q Edge: الإصدار 6.6.0QX أو أحدث