اختراق محفظة كولدكارد 2026: تفاصيل سرقة 130 مليون دولار

حددت Galaxy Research ما لا يقل عن 15 مهاجمًا منفصلاً يستغلون الثغرة في وقت واحد . ومن اللافت أن 90% من البيتكوين المسروقة ظلت دون تحريك حتى بداية أغسطس، حيث قدمت Galaxy Research عناوين المهاجمين إلى سلطات إنفاذ القانون الفيدرالية الأمريكية .

السبب الجذري: خطأ برمجي من مارس 2021

كانت الثغرة عبارة عن خطأ في ماكرو المعالج تم إدخاله في الإصدار 4.0.1 من البرامج الثابتة (firmware) لكولدكارد، الذي تم إصداره في مارس 2021 . اختبر حارس ماكرو لغة C ما إذا كان الماكرو مُعرَّفًا بدلاً من اختبار قيمته. تسبب هذا في قيام الرابط (linker) بحل عملية توليد المفاتيح لمولّد أرقام عشوائية زائفة (PRNG) برمجي حتمي بدلاً من مولّد الأرقام العشوائية للأجهزة (TRNG) من نوع STM32 .

انهيار الإنتروبيا: على أجهزة Mk2 وMk3 (التي تعمل بالإصدارات 4.0.1 حتى 4.1.9 من البرامج الثابتة)، انخفضت الإنتروبيا الفعالة من 128 بتًا مطلوبة إلى حوالي ~40 بتًا . على موديلات Mk4 وMk5 وQ، أعطى الحل الاحتياطي حوالي 72 بتًا – وهو أيضًا أقل من المواصفات . المفاتيح التي تم إنشاؤها بإنتروبيا ~40 بتًا قابلة للاختراق بالتخمين (brute-force) دون الحاجة إلى وصول فعلي للجهاز .

الجدول الزمني للاختراق

تقدم الهجوم بسرعة مقلقة:

• 30 يوليو 2026، حوالي 01:10–01:56 UTC: المهاجم الأول سحب حوالي 594 بيتكوين (~38 مليون دولار) من حوالي 500 محفظة بتوقيع واحد في غضون ثلاث كتل (حوالي 25 دقيقة) . تمكن المهاجم من اختراق المفاتيح الضعيفة بالتخمين في 41 دقيقة .
• بحلول 1 أغسطس: وصلت الخسائر إلى حوالي 1,082 بيتكوين. موجة هجوم ثانية سحبت حوالي 284 بيتكوين .
• 2–4 أغسطس: وقعت موجة ثالثة، وحددت Galaxy Research موجة رابعة يشتبه بها .
• إجمالي العناوين المتأثرة: أكثر من 5,200 (Forbes/TRM Labs) إلى أكثر من 7,300 (Galaxy Research) .

جميع المحافظ المتأثرة كانت بتكوين بتوقيع واحد (single-signature). محافظ التوقيع المتعدد (multi-signature) لم تتأثر .

التصحيح البرمجي من Coinkite – والقيود الأساسية

أصدرت Coinkite برامج ثابتة مصححة استعادت مسار مولّد الأرقام العشوائية للأجهزة الصحيح لتوليد المفاتيح في المستقبل . ومع ذلك، لا يمكن للتصحيح إصلاح المفاتيح التي تم إنشاؤها بالفعل بواسطة البرامج الثابتة المخترقة بأثر رجعي. تم نصح المستخدمين الذين تم إنشاء محافظهم بين مارس 2021 وإصدار التصحيح بـ تحويل الأموال فورًا إلى محافظ جديدة بمفاتيح تم إنشاؤها حديثًا . قامت الشركة بإرسال بريد إلكتروني للعملاء يعود تاريخه إلى عام 2019 لتحذيرهم من الثغرة وقامت بتدمير مخزونها المتبقي من الأجهزة المعرضة للخطر .

عكس سياسة حذف البيانات من Coinkite

قبل الاختراق، كان لدى Coinkite سياسة خصوصية صارمة تقوم تلقائيًا بحذف بيانات العملاء (رسائل البريد الإلكتروني، سجلات الشراء) بعد 90–120 يومًا . بعد الاختراق، عكست الشركة هذه السياسة، معلنة أنها ستحتفظ بسجلات العملاء استعدادًا للإجراءات القانونية المتوقعة . أثار هذا رد فعل عنيفًا كبيرًا من المستخدمين المهتمين بالخصوصية الذين اختاروا Coldcard جزئيًا لموقفها من تقليل البيانات . صرحت Coinkite بأن البيانات سيتم تخزينها مع وصول مقيد وأنه لا يزال بإمكان العملاء طلب الحذف القياسي . يُذكر أن Thomas Braziel من 117 Partners يحقق في مطالبات مسؤولية المنتج ودعوى قضائية جماعية محتملة ضد Coinkite .

استجابة الصناعة: طفرة في تدفقات صناديق البيتكوين المتداولة

دفع الاختراق إلى زيادة النشاط على شبكة البلوكتشين إلى أعلى مستوى له في عام 2026 حيث قام الضحايا بنقل الأموال المتبقية وأعاد السوق الأوسع تقييم مخاطر الحفظ الذاتي . قفز صافي التدفقات الأسبوعية إلى صناديق الاستثمار المتداولة في البورصة (ETF) الفورية للبيتكوين في الولايات المتحدة إلى حوالي 853 مليون دولار في الأسبوع التالي للاختراق، حيث تحول المستثمرون المؤسسيون نحو حلول الحفظ الخاضعة للتنظيم استجابة لفشل Coldcard .

الآثار الأوسع على الأمان والحفظ الذاتي

بلور اختراق Coldcard عدة حقائق غير مريحة لمجتمع الحفظ الذاتي للبيتكوين:

• مخاطر الحساب الواحد (single-signature) المضخمة: أظهرت الحادثة أن إعدادات الحساب الواحد تعرض المستخدمين لنقطة فشل واحدة في توليد المفاتيح. مخططات التوقيع المتعدد (multi-signature) أو مخططات العتبة (threshold schemes) كانت ستبقى غير متأثرة حتى مع وجود مولّد الأرقام العشوائية الضعيف .
• شفافية المصدر المفتوح ذات حدين: عاش الثغرة في الكود العام لأكثر من خمس سنوات دون أن يتم اكتشافها – مما يسلط الضوء على الفجوة بين "الكود قابل للتدقيق" و"الكود يتم تدقيقه فعليًا" .
• مولّد الأرقام العشوائية للأجهزة مقابل الحل البرمجي الاحتياطي: أظهرت القضية أن خطأ في تكوين البناء يمكن أن يتغلب بصمت على إنتروبيا الأجهزة، محولاً المحفظة "الباردة" إلى ثغرة محفظة "ساخنة" .
• تحول نحو الحفظ الخاضع للتنظيم: التدفق الأسبوعي لصناديق الاستثمار المتداولة بقيمة 853 مليون دولار يشير إلى هجرة قابلة للقياس من محافظ الأجهزة للحفظ الذاتي نحو حلول الحفظ على المستوى المؤسسي بين كبار الحائزين .
• المسؤولية القانونية لصانعي محافظ الأجهزة: عكس Coinkite لسياسته المتعلقة بالاحتفاظ بالبيانات وتوقع دعاوى المستخدمين يشير إلى أن مصنعي محافظ الأجهزة قد يواجهون مسؤولية عن أخطاء البرامج الثابتة، مما قد يعيد تشكيل شروط الضمان والتأمين في القطاع .