مراجعة أمنية لمنظومة بيتكوين (BTC) تسجل 4,962 اكتشافًا

أخبار بيتكوين

أسفرت مراجعة أمنية تطوعية شاملة لبرمجيات منظومة بيتكوين (BTC) عن تسجيل 4,962 تقريرًا أمنيًا غطت 390 مشروعًا خلال نحو 30 ساعة من العمل المتواصل، في واحدة من أكثر عمليات التدقيق المنسقة كثافةً في تاريخ الشبكة. المجموعة التي أطلقت على نفسها اسم Bitcoin Red Team أوضحت أن 16 مساهمًا موزعين جغرافيًا حول العالم عملوا على مدار الساعة دون توقف، وفحصوا 391 قاعدة برمجية، ولم يخرج منها سوى مشروع واحد دون أي ملاحظة مسجلة. من بين إجمالي التقارير المقدمة، صُنِّف 720 تقريرًا ضمن فئتي الخطورة العالية والحرجة: 85 منها حرجة و635 عالية الخطورة. وتمثل هذه البنود الجسيمة نحو 14.5% من مجمل البلاغات، في حين توزعت البقية على فئات متوسطة ومنخفضة وإعلامية. كما بقي 246 اكتشافًا دون تصنيف خطورة محدد. ولا تزال خط المعالجة نشطة؛ إذ لم يصل سوى 147 تقريرًا جسيمًا إلى المطورين المسؤولين عن إصدار التصحيحات حتى لحظة تحديث البيانات. أما من حيث جودة الأدلة، فكانت النتائج متباينة لكنها جوهرية: نحو 21.4% من التقارير كانت مدعومة بكود إثبات مفهوم قابل للتنفيذ، ما يمنحها وزنًا تقنيًا أكبر من البلاغات الوصفية المجردة. وحوالي 91% من إجمالي الاكتشافات نتجت عن عمليات مسح آلية، ما يعكس الدور المحوري للأدوات البرمجية في توليد حجم الاكتشافات ويثير تساؤلات حول قدرة المراجعة البشرية وحدها على مواكبة هذا الكم. ولم يُرفض سوى 8 بلاغات بوصفها إنذارات كاذبة، وهي نسبة ضئيلة تعزز مصداقية العملية. ورغم أن المعدل المعلن بلغ 166.3 اكتشافًا في الساعة، فإن هذا الرقم تأثر بشدة بعملية ترحيل بيانات استمرت ساعة واحدة فقط، وهو تحفظ يقلل من وطأة الرقم الخام دون أن يُغيّر رسالته الأمنية الجوهرية. وحظي الجهد بدعم مالي أيضًا؛ إذ فتحت OpenSats، وهي مؤسسة غير ربحية تدعم هندسة بيتكوين، مسار منح باسم Code RED لدفع مكافآت للباحثين الذين يكشفون الثغرات وتغطية تكاليف الذكاء الاصطناعي المرتبطة بأعمال المسح. وحتى تاريخ تقرير 6 أغسطس، جرى تداول BTC قرب مستوى 64,396 دولارًا بارتفاع يومي يقارب 0.5%، ما يشير إلى أن السوق تعاملت مع الإفصاحات بوصفها مسألة هندسية لا تهديدًا مباشرًا لأموال الشبكة. وقال المنظم المجهول الهوية للمجموعة Calle، المعروف بإنشائه بروتوكول Cashu للنقد الإلكتروني، إن أصحاب المشاريع تحققوا سريعًا من كثير من أسوأ التقارير، ما يدل على أن التدقيق أصاب نقاط ضعف حقيقية وليس مجرد ضوضاء. والمرحلة التالية هي التحقق وإصدار التصحيحات والإفصاح المنسق.

التفصيل الأعمق يحوّل الأنظار بعيدًا عن الأجهزة المادية نحو التبعيات البرمجية المشتركة التي تعتمد عليها منظومة بيتكوين بأكملها. فقد سجلت المحافظ الصلبة والبرامج الثابتة ثاني أدنى معدل للمشكلات الجسيمة عند 9.6%، في حين بلغت نسبة المشكلات الخطيرة في مجمعات تعدين ASIC نسبة 21.7%، وفي البنية التحتية والأدوات 21.5%، وفي منصات التداول والمقايضة بما فيها الأنظمة المرتبطة بتدفقات المقايضة الذرية 20.9%. أما أدوات الخصوصية فسجلت أعلى معدل عند 24%، مع العلم أن المراجعين فحصوا ثلاثة مشاريع فقط في هذه الفئة. وجاء أكبر حجم من مكتبات العملات المشفرة التي أنتجت 1,385 اكتشافًا عبر 128 مشروعًا، أي أكثر من ربع إجمالي النتائج، ما يكشف عن تركّز المخاطر في الطبقات البرمجية المشتركة وليس في التطبيقات النهائية وحدها. وقبل أن تبدأ الحملة العامة رسميًا، قال Rob Hamilton الرئيس التنفيذي لشركة AnchorWatch إنه أنفق أكثر من 10,000 دولار لمسح أكثر من 100 مكتبة برمجية مرتبطة ببيتكوين، ما يبرز حجم مخاطر التبعيات الخفية المحيطة بالمنتجات الموجهة للمستخدمين. وقد اندلع هذا التدقيق بسبب إخفاق محدد في أمن الأجهزة؛ إذ حذّرت الشركة المصنّعة في 30 يوليو من أن وحدات Coldcard المتأثرة اعتمدت على آلية احتياطية برمجية قابلة للتنبؤ لتوليد البذرة. ولم يوفر العنصر الآمن سوى 32 بت من الإنتروبيا، ما حصر مساحة بحث المهاجم في نحو 4.3 مليار احتمال فقط، وهو رقم يمكن معالجته حاسوبيًا في وقت قصير نسبيًا. وأظهر تحليل بيانات السلسلة حتى 4 أغسطس سرقة مؤكدة بلغت 1,596 BTC مرتبطة بنحو 7,300 عنوان، بينما قد يدفع إدراج موجة رابعة مشتبه بها التقدير الإجمالي نحو 130 مليون دولار؛ ولا تزال قائمة العناوين الأساسية غير مكتملة. وأظهر النشاط على السلسلة اتساع أثر الصدمة، إذ ارتفعت العناوين النشطة إلى أعلى مستوى لها في 20 شهرًا. وكان المستخدمون الكوريون محميين نسبيًا لأن البذور المولدة عبر النرد شائعة في ذلك المجتمع. كما أن إخفاقات العشوائية السابقة شكّلت إلحاح الفريق؛ ففي عام 2023، استخلصت ثغرة Milk Sad مفاتيح Libbitcoin Explorer من 32 بت فقط من وقت الساعة. وفي مايو، أزال استغلال Ill Bloom مبلغ 5.7 مليون دولار من محافظ كانت تعتمد على مولّد أرقام عشوائية هش مبني على JavaScript. وحتى الآن، لم تُنتج هذه الاكتشافات رد فعل من نوع السوق الهابط على بيتكوين نفسها، لكنها توسّع عدسة الأمن من جهاز واحد إلى كامل المكدس البرمجي المحيط.

قراءتنا في COINOTAG أن هذين التطورين يشكلان موضوعًا واحدًا مترابطًا: المخاطر التشغيلية الفورية لبيتكوين تنتقل من الطبقة الأساسية إلى سلسلة توريد البرمجيات المحيطة بها. فالاكتشافات البالغ عددها 4,962 ليست استغلالات مؤكدة بعد، غير أن الإفصاح الرسمي من Coinkite الذي أطلق هذه المراجعة ينص بوضوح على أن أجهزة Coldcard المتأثرة استخدمت آلية احتياطية قابلة للتنبؤ لتوليد البذرة ولم توفر سوى 32 بت من العنصر الآمن. وهذا التفصيل من المصدر الأول يفسر كيف يمكن لخلل في جهاز مادي واحد أن يتحول بسرعة إلى مشكلة سرقة واسعة النطاق على السلسلة. وإعلان OpenSats عن منح Code RED يضيف حافزًا ماليًا مستدامًا للعثور على مثل هذه الثغرات قبل المهاجمين، وهو نموذج يمكن أن يتكرر في مشاريع أخرى. بالنسبة لحاملي BTC، فإن الإشارة العملية ليست الذعر ولا البيع، بل مراجعة أشد صرامة للكود، وممارسات إنتروبيا أفضل، واستجابة أسرع من المطورين المسؤولين عن الصيانة.