تدقيق الذكاء الاصطناعي لفريق البيتكوين الأحمر: 85 ثغرة حرجة بعد اختراق بقيمة 116 مليون دولار

كيف كانت الاستجابة لاختراق محفظة كولدكارد؟

كانت الحملة رداً مباشراً على اختراق محفظة كولدكارد في يوليو 2026 . إليك ما حدث في ذلك الاختراق:

• الثغرة: خطأ برمجي في البرنامج الثابت (firmware) تم تقديمه في الإصدار 4.0.0 من كولدكارد (مارس 2021) تسبب في تجاوز الجهاز لمولد الأرقام العشوائية العتادي (hardware random-number generator) أثناء إنشاء العبارة الأولية (seed phrase) للمحفظة . هذا جعل العبارات الأولية قابلة للتوقع - انخفضت قوة المفتاح من 128 بت إلى 40 بت فقط .
• الهجوم: بدءاً من 30 يوليو 2026، استغل المخترقون هذه الثغرة لسحب الأموال من آلاف المحافظ. الموجة الأولى ضربت 1،196 عنواناً في 41 دقيقة فقط، وسرقت 1،082.65 بيتكوين (حوالي 70 مليون دولار في ذلك الوقت) .
• الخسائر الإجمالية: دفعت موجات متعددة الخسائر الإجمالية إلى ما يتجاوز 116 مليون دولار عبر أكثر من 5،200 عنوان، مع تقديرات تتجاوز 130 مليون دولار مع استمرار الهجوم . شارك ما لا يقل عن اثني عشر مخترقاً مختلفاً .
• استجابة كوينكايت: حثت الشركة المستخدمين على تحديث البرنامج الثابت ونقل الأموال، ولكن بحلول ذلك الوقت كان الضرر قد وقع إلى حد كبير .

ورداً على ذلك، أطلق فريق البيتكوين الأحمر تدقيقه للعثور على ثغرات مماثلة في مولدات الأرقام العشوائية، وممارسات التشفير الضعيفة، وأخطاء نظامية أخرى قبل أن يتمكن المخترقون من استغلالها .

النتائج والأساليب الرئيسية

النتائج

الكم الهائل - ما يقرب من 5،000 تقرير في يوم واحد - خلق مشكلة فرز كبيرة للقائمين على صيانة المشاريع . حوالي واحد من كل خمسة نتائج فقط تم تأكيد قابليتها للتكرار، لكن الفريق جادل بأن الإبلاغ عن الحالات الحدودية كان مبرراً نظراً لخطورة هجوم كولدكارد .

الأساليب

• استخدم الفريق نماذج ذكاء اصطناعي مفتوحة الوزن لمسح قواعد الأكواد بحثاً عن أنماط الثغرات المعروفة، ونقاط ضعف التشفير، والأخطاء المنطقية .
• قام باحثون بشريون بتوجيه الذكاء الاصطناعي، والتحقق من النتائج، وتقديم تقارير الإفصاح المسؤول .
• يخطط الفريق لجعل أدوات الأمن الخاصة بالذكاء الاصطناعي مفتوحة المصدر ليتمكن المجتمع الأوسع من مواصلة المسح الآلي .
• ركزوا على المحافظ والمكتبات التشفيرية ومشاريع البنية التحتية للبيتكوين - وهي أنواع الأكواد التي قد يؤدي أي خلل فيها إلى خسارة أخرى بحجم كولدكارد .

لماذا ألغت OpenAI وصول الباحث الرئيسي في منتصف المشروع؟

كان روب هاميلتون (الرئيس التنفيذي لشركة AnchorWatch والقائد المشارك للحملة) قد انضم إلى برنامج "Trust Cyber" من OpenAI، والذي يمنح الباحثين الأمنيين المعتمدين وصولاً مدعوماً لواجهة برمجة التطبيقات (API) لأبحاث الثغرات . في 8/9 أغسطس 2026، بعد أن قام بالفعل بدمج البرنامج في سير عمله وقدم إفصاحات صحيحة، قامت OpenAI بإلغاء وصوله دون تفسير .

• صرح هاميلتون علناً بأنه "تم منعه من إجراء تحليلات إضافية على قاعدة أكواد قمت بالفعل بالإفصاح عنها بشكل مسؤول، وتلقيت تأكيداً بوجود نتائج مشروعة فيها" .
• أجبر الإلغاء فريق البيتكوين الأحمر على التحول إلى نماذج ذكاء اصطناعي أقل تقييداً، بما في ذلك بدائل صينية مفتوحة الوزن، وهو تحول لوحظ على نطاق واسع وانتقد باعتباره نكسة للقدرة التنافسية للذكاء الاصطناعي الأمريكي في مجال أبحاث الأمن .
• لم تقدم OpenAI تفاصيل عامة عن أسبابها. ينص قسم الأسئلة الشائعة لبرنامج وصول الباحثين التابع للشركة على أن الاعتمادات تُمنح وفقاً لتقديرهم ويمكن سحبها، ولكن لم يتم الاستشهاد بأي انتهاك محدد للسياسة من قبل هاميلتون .