متحركو القبعات البيضاء ينقلون 52.37 بيتكوين (BTC) من محافظ استغلال Coldcard إلى صندوق استرداد

أظهرت بيانات السلسلة أن محترفي الأمان (Whitehats) نقلوا 52.37 بيتكوين (BTC) من عناوين جرى تصريفها في اختراق محافظ Coldcard العتادية في يوليو، ووحّدوا العملات في عنوان جديد مرتبط بصندوق استرداد أُنشئ لإعادتها إلى مالكيها بعد التحقق منهم. وقد عرض أليكس ثورن، رئيس الأبحاث في Galaxy Digital، تفاصيل عملية الجمع، موضحًا أن الأموال جاءت من مجموعة الموجة الثانية المتتبَّعة مع آثار موسومة بـAA وAU وAX. وقد تأكد التوحيد في كتلة البيتكوين رقم 967,948، وحملت معاملة الوجهة رسالة OP_RETURN مكتوبة عليها “claim:cryptorecoverytrust dot com”. احسب ثورن أن الـ52.37 بيتكوين تمثل 2.8% من أموال الاختراق التي يتتبعها فريقه، وأن نحو 40% من الموجة الثانية جرى تحديدها الآن بوصفها نشاط محترفي أمان لا سرقة إلكترونية. كما وصلت إضافة بقيمة 3.0134 بيتكوين بلا تاريخ تتبع سابق إلى عنوان الصندوق في المعاملة نفسها، واعتبرها ثورن على الأرجح عملات مستردة إضافية مع تركها غير مؤكدة. الوجهة هي صندوق Crypto Recovery Trust، الذي شكله القانوني هو Recovered Digital Asset Statutory Trust في ولاية وايومنغ، مع تسمية Agentic Trace LLC وصيًا عليه. والدور المعلن للكيان هو لمّ شمل أصول البيتكوين المستردة بأصحابها الشرعيين عبر عملية مطالبات رسمية تغطي تحليل سلسلة الكتل، واثبات ملكية، وفحص عقوبات. وكانت أداة استرداد منفصلة باسم Digital Asset Recovery Trust (DART) قد أفصحت قبل توحيد هذا الأسبوع أنها ومحترفو الأمان المستقلون ضمّنوا ما يزيد قليلًا على 50 بيتكوين من العناوين الهشة حتى 17 أغسطس، ووضعوا العملات تحت حماية الصندوق بدلًا من محافظ يتحكم فيها الباحثون. أما الأموال المرتبطة بمطالبات متنافسة أو قيود عقوبات أو إجراءات جنائية فقد تتبع إجراءات قانونية منفصلة، وحركات بهذا الحجم تُوسم عادة بوصفها تحويلات حيتان لا عمليات استرداد. ولا يجوز قراءة نسبة 2.8% التي أوردها ثورن بوصفها رقم خسائر رسمي من Coinkite، إذ تشير إلى إجمالي متتبع لدى Galaxy.

خلل توليد العبارات السرية وراء عملية السحب

بدأت حادثة Coldcard في 30 يوليو حين شرع المهاجمون في استغلال عبارات سرية أضعفها نظام الأجهزة المتأثرة. وتفسر سجل الحادثة لدى Coinkite أن عيبًا في التكامل البرمجي جعل مسار توليد العبارة السرية يتحول إلى مولّد شبه عشوائي برمجي في MicroPython يُدعى Yasmarang بدلًا من مولّد الأرقام العشوائية العتادي المقصود. ولم يحتج المهاجمون إلى التحكم بالأجهزة عن بُعد؛ فمتى قلّصت العشوائية المخفَّضة مساحة البحث عن العبارات المتأثرة، أعادوا ببساطة توليد المفاتيح الخاصة الهشة دون اتصال. وتعقب بحث تقني مستقل الضعف إلى تعديلات برمجية تعود إلى 2021، وقدّر أن أجهزة Mk3 الأقدم قد تنتج نحو 40 بت من العشوائية الفعلية في الظروف المتأثرة، بينما حافظت طرازات Mk4 وMk5 وQ على نحو 72 بت، وهي مستويات أدنى بكثير من درجة الأمان المقصودة. كانت الخسائر المبكرة متواضعة مقارنة بالإجماليات التي ظهرت لاحقًا؛ فقد سحبت الموجة الأولى نحو 594 بيتكوين من قرابة 500 محافظ في نحو 25 دقيقة، ومع توسّع المحللين النطاق المحدد عبر أربع موجات هجوم، نما التتبع إلى نحو 1,816 بيتكوين منقولة من أكثر من 5,200 عنوان، مع خسائر مقدرة تتجاوز 100 مليون دولار. أطلقت Coinkite إصلاحات طارئة في 31 يوليو، الإصدار 5.6.0 لأجهزة Mk4/Mk5 والإصدار 1.5.0Q لأجهزة Q، إلى جانب ترقيعات تغطي عتاد Mk2/Mk3 الأقدم، ومعاييرها الموصى بها حاليًا هي الإصداران 5.6.2 و1.5.2Q الصادران في 3 سبتمبر. وتؤكد الشركة أن الترقيعات تصحح توليد العبارات مستقبلًا فقط: فمحفظة أُنشئت تحت نظام برمجي هش تظل مكشوفة حتى على جهاز محدَّث بالكامل، لأن الضعف ساكن في العبارة نفسها. ويُوجَّه أصحاب العبارات المتأثرة إلى توليد بديل مصحح وترحيل أموالهم، ما لم تنطبق عليهم استثناء النرد المستقل المعلن، الذي يُضاف بموجبه 128 بت من العشوائية على الأقل عبر 50 رميًا عادلًا موثقًا على الأقل لنرد سداسي، ومن غير متأكد يُطلب له النقل. وتعُد كل عملية توحيد للاسترداد قابلة للتتبع اليوم على دفتر إثبات العمل في البيتكوين، الذي يعمل بوصفه طبقة الأدلة المشتركة لعملية التنظيف.

أثر السلسلة يدعم عملية المطالبات

ظهرت تفاصيل إضافية عن جهد الاسترداد منذ ذلك الحين. إذ تضع Galaxy Digital الآن إجمالي خسائر الاختراق عند 1,789.28 بيتكوين بقيمة 154.1 مليون دولار بالأسعار الحالية، بينما تُقدَّر الـ52.37 بيتكوين المكتسحة بأكثر من 4.5 مليون دولار. وأكد نيك باكس من بروتوكول السوق الشاملة Ump Labs علنًا دوره في العملية، كاتبًا على X أنه ساعد أواخر يوليو في إنقاذ نحو 50 بيتكوين كانت على وشك السرقة بسبب خلل العشوائية، وأن الأموال محفوظة لدى صندوق في وايومنغ لضمان إعادتها إلى أصحابها الشرعيين. وقد اعترفت Coinkite بأن الخلل “مرّ بصمت دون ملاحظة” وأن تأثيره المحتمل نمى مع كل إصدار. ومنذ الهجوم، بدأ المستثمرون الحذراء بنقل عملاتهم إلى حلول تخزين أخرى، بينها المنصات المركزية، ومن يراقب السوق لحظة بلحظة يمكنه متابعة أسعار السبوت والعقود المستقبلية عبر MEXC.

كما برز توحيد منفصل في الرصد، إذ يظهر ملاحظة Galaxy Research انتقال 40.71 بيتكوين بقوة نحو 3.31 مليون دولار في 21 سبتمبر ضمن معاملة واحدة حملت رسالة OP_RETURN مكتوبًا عليها “claims: cryptorecoverytrust.com”. وقد امتدت تلك المعاملة عبر 11 عنوانًا بـ20 مدخلًا و480 مخرجًا، ونُسبت العملات إلى مهاجمين موسومين بـ“Footprint AA” مع قفزة من الموجة الثانية للاختراق. وتؤطر بيانات Galaxy الصورة الأوسع: فقد بلغ الاختراق ذروته بنحو 130 مليون دولار، وظل معظم البيتكوين المسروق خاملًا في عناوين المهاجمين أسابيع قبل عمليات السحب، ما غذّى التكهنات حول ما إذا كان سيُحرَّك أصلًا. وتشير الحركات الموسومة بالصندوق إلى أن بعض الأطراف على الأقل تعمل بنشاط الآن على إعادة الأموال نحو الضحايا بدلًا من ترك الغنيمة ساكنة.

(حتى الساعة ‏21:41 UTC‏) (اعتبارًا من 18:31 بتوقيت التوقيت العالمي المنسق) قراءتنا في COINOTAG: تتميز هذه الحادثة بقابليتها للتحقق. فقد نشر الباحث معرّف المعاملة 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47، فيتمكن أي شخص من التأكد المستقل عن عملية السحب في الكتلة 967,948، بينما تقرر صفحة حالة أمان Coinkite نفسها السبب الجذري بدلًا من المراوغة. هذا الثنائي، الأدلة الأولية على السلسلة مع هيكل صندوق رسمي يضم فحص عقوبات، يشكل نموذجًا للاستجابة لحوادث المحافظ العتادية. وبالنسبة للمستثمرين الذين يفضلون الاحتفاظ بأنفسهم بمفاتيحهم، أثبتت الأمور أن توليد العبارة السرية بات جزءًا من سطح الهجوم، ومن الجدير إعادة النظر في مقايضات الحفظ مقابل حلول المنصات في دليلنا لأفضل منصات تداول العملات الرقمية. وسيتابع تغطيتنا للبيتكوين مطالبات الصندوق القادمة كلما وصلت.