فريق بيتكوين الأحمر يرصد 85 ثغرة حرجة

أخبار بيتكوين

أطلق مطورو بيتكوين (BTC) استجابة أمنية عاجلة بعد أن كشف استغلال محفظة Coldcard عن نقاط ضعف جوهرية في بنية الحفظ الذاتي للعملات الرقمية. هذا الجهد التطوعي، الذي يحمل اسم فريق بيتكوين الأحمر وينسّقه Calle وRob Hamilton، أعلن أنه سجّل 4,962 finding عبر 390 مستودعًا مفتوح المصدر، من بينها 85 ثغرة مصنّفة حرجة و635 finding ذات خطورة عالية، وذلك بعد نحو 27.5 ساعة من المراجعة المكثّفة. وقد تحمّلت منصة OpenSats تكاليف رموز الذكاء الاصطناعي التي تجاوزت 40,000 دولار، لدعم عمليات المسح باستخدام نماذج متقدمة تشمل Kimi K3 وGPT Sol وFable وOpus وGLM5.2. الفريق وصف أداة فحص مخصّصة بلغ حجمها في إحدى المراحل 171,599 سطرًا من الشيفرة البرمجية، وتعمل على تحديد المكتبات الحيوية وإعادة إنتاج الثغرات المشتبه بها وتغليف الأدلة تمهيدًا للإفصاح المسؤول. وعلى خلاف المحافظ الباردة التقليدية التي تعتمد على العزل المادي فقط، تستهدف هذه الأداة المسارات الحرجة أمنيًا في الشيفرة ذاتها. ويخطط الفريق لإصدار الأداة بشكل مفتوح كي تتمكّن الشركات من اختبار تطبيقاتها مغلقة المصدر، بما يوسّع نطاق المراجعة إلى ما هو أبعد من مستودعات بيتكوين العامة. وقد واجه الفريق تفاوتًا في الوصول المبكر إلى النماذج، إذ ملأت الأنظمة الصينية مفتوحة المصدر الفجوة قبل أن تُتاح قنوات OpenAI وAnthropic. وأكد Hamilton أن المشروع يستفيد عندما يضيف المهندسون سياقًا متخصصًا، ما يسمح للأداة بتأكيد مشكلات تستطيع عمليات المسح الآلي استشعارها لكنها لا تستطيع تصنيفها بالكامل.

الاستغلال الذي أطلق هذه الحملة الأمنية أنتج بالفعل واحدة من أكبر سرقات الحفظ الذاتي المسجّلة في تاريخ العملات الرقمية. فقد صرّح Alex Thorn، رئيس الأبحاث في Galaxy Digital، بأن ثغرة Coldcard أفرغت ما يتجاوز بكثير 100 مليون دولار من BTC، مع خسائر بلغت نحو 1,600 BTC حتى قبل إضافة الموجة الرابعة المشتبه بها. ثلاث عمليات مسح مؤكدة استحوذت على حوالي 1,367 BTC بقيمة تقارب 89 مليون دولار، وطالت نحو 4,585 عنوانًا. أما النمط الرابع، الذي رُصد في 3 أغسطس، فنقل مئات العملات الإضافية عبر اندفاع من الكتل بمعدل يقارب 45 ضعف المعدل الطبيعي، ما رفع التقدير الإجمالي إلى حوالي 1,815 BTC بقيمة تقترب من 114 مليون دولار عبر نحو 5,294 عنوانًا. وأشار Thorn أيضًا إلى وجود نحو 14 نمطًا هجوميًا إضافيًا لم تُدرج بعد في الإحصاء العلني، مؤكدًا أن الضحايا «لم يرتكبوا أي خطأ». ومتوسط العملات المسروقة ظلّ دون حركة قرابة أربع سنوات، ما يشير إلى أن المستهدفين كانوا حائزين طويلي الأجل وليسوا متداولين نشطين. وقدّمت Coinkite، الشركة المصنّعة لـColdcard، اعتذارًا رسميًا وأصدرت برنامجًا ثابتًا مصحّحًا، مع نصح المستخدمين بنقل أموالهم من عناوين التوقيع الفردي التي أُنشئت بالبرنامج الثابت المعرّض للثغرة. وقد يتمكّن بعض الضحايا من استعادة عملاتهم إذا كانت المعاملات غير المؤكدة تدعم آلية الاستبدال بالرسوم (replace-by-fee)، لكن النافذة ضيقة وتتطلّب تحرّكًا سريعًا. وصنّف Thorn الموجة الرابعة ضمن نطاق الثقة المتوسطة إلى العالية، وحثّ الضحايا على تقديم بلاغات إلى مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (IC3) والشرطة المحلية، مع الحفاظ على الجهاز المخترق كدليل.

أكثر التحليلات التقنية تفصيلًا يعيد سبب الفشل إلى ترحيل شيفرة جرى في 17 مارس 2021 غيّر طريقة توليد بذور المحفظة في Coldcard. خلال الانتقال إلى مكتبة libsecp256k1 ومكتبة libNgU المدمجة، أُعيد توجيه توليد البذور من مسار المولّد العشوائي المادي إلى مولّد برمجي قابل للتنبؤ، والسبب أن ماكرو وقت التجميع كان يُفحص وجوده فقط دون التحقق من قيمته. واستمر الجهاز في إنتاج عبارات استرداد تبدو طبيعية، فبقيت الثغرة مخفية لسنوات. وتقدّر النشرة الرسمية لـCoinkite والتحليلات التقنية المرتبطة بها مساحة البحث الفعلية بنحو 40 بت لبذور أجهزة Mk2 وMk3 المتأثرة، بينما حصلت أجهزة Mk4 وMk5 وQ على إنتروبيا إضافية محدودة فقط، تاركةً حوالي 72 بت بدلًا من الهدف البالغ 128 بت. وتحدد النشرة فروع البرنامج الثابت المعرّضة للثغرة والإصدارات المصحّحة، بما في ذلك 4.2.0 لأجهزة Mk2/Mk3، و5.6.0 لأجهزة Mk4/Mk5 القياسية، و1.5.0Q لجهاز Q، و6.6.0X أو 6.6.0QX لإصدارات Edge. وبدأت أول عملية مسح كبرى في 30 يوليو، عندما أُفرغ نحو 500 عنوان في حوالي 25 دقيقة قبل أن يتّسع النطاق المرصود. والأهم أن تحديث البرنامج الثابت لا يُصلح عبارة استرداد قديمة؛ فعلى المستخدمين توليد بذرة جديدة على البرنامج المصحّح أو بيئة موثوقة أخرى وتحويل الأموال إلى العناوين الجديدة. وأظهرت عمليات المسح على البلوكتشين سلوكًا آليًا، شمل العديد من المعاملات برسوم ثابتة دون مخرجات إرجاع، لكن الحادثة لم تكسر تشفير بيتكوين ذاته.

تحليل COINOTAG يرى أن هذه التطورات تشكّل درسًا واحدًا محوريًا: حادثة Coldcard هي فشل في التطبيق وليس فشلًا في بروتوكول بيتكوين. السجل على السلسلة — أنماط المسح المتكررة، والمعاملات برسوم ثابتة، والتحويلات الداعمة لآلية الاستبدال بالرسوم، وتقدير إجمالي بلغ 1,815 BTC — يقدّم أدلة قابلة للتحقق على استغلال آلي منهجي. ونشرة Coinkite ذاتها تحدد السبب الجذري بأنه مسار ضعيف لتوليد البذور وتضع الحل: إنشاء بذرة جديدة على البرنامج الثابت المصحّح وترحيل الأموال. وبالنسبة لمستخدمي أي محفظة عملات رقمية مدعومة بالذكاء الاصطناعي مستقبلًا، فإن الخلاصة هي أن توليد المفاتيح يجب أن يكون قابلاً للتدقيق المستقل. والعملات المسروقة كانت في غالبيتها قديمة، صمدت أمام سوق هابط كامل، ما يجعل الفشل التشغيلي أشد إيلامًا لكنه لا يُبطل مبدأ الحفظ الذاتي عند تطبيقه بشكل سليم.