كشف بيتر غراي، المدير التقني لشركة كوينكايت، عن الكود البرمجي الذي يقف وراء عملية اختراق كولدكارد التي بلغت قيمتها 114 مليون دولار

ربط الباحثون رمز العشوائية المعيب في قلب اختراق محفظة Coldcard بالمؤسس المشارك والمدير التقني لشركة Coinkite، بيتر جراي، الذي يقول مطور Bitcoin جيمس أوبيرن إنه تجاهل تحذيرًا بشأن العيب في مايو 2025. 

وقد استنزف هذا الاستغلال الآن ما يقرب من 114 مليون دولار عبر أكثر من 5200 عنوان Bitcoin ، وتقول شركة Coinkite إنه لا يزال نشطًا.

التوقيعات GPG التي تشير إلى شخص واحد

تم نشر مكتبة libngu المعيبة على منصة GitHub تحت حساب مجهول باسم Switch. تحليل نُشر في 4 أغسطس/آب من Bitcoin جيمس أوبيرن عن أدلة تشفيرية تُثبت أن الحساب يعود إلى Gray.

يعتمد تقرير أوبيرن على توقيعات الالتزامات في برنامج GPG. ووفقًا للتحليل، هناك 58 التزامًا مُسجلاً باسم "Switck" تحمل توقيعات صالحة من المفتاح الشخصي لغراي، وهو نفس المفتاح الذي يوقع به التزاماته تحت اسم بيتر د. غراي في نفس المستودع. 

على النقيض من ذلك، لم يقم حساب Switch بتحميل أي مفتاح خاص به. ويشير التحليل إلى أنه تم إثبات تشفيرياً أنdentتعودان لشخص واحد.

هذا الاتصال مهم لأن البرامج الثابتة للإنتاج الخاصة بـ Coldcard تستخدم libngu كاعتمادية، وفقًا لتحليل O'Beirne، والذي يستشهد أيضًا باكتشاف شركة الأمن Wizardsardine بأن المكتبة هي واحدة من ثلاثة مستودعات متورطة في الثغرة الأمنية. 

تقرير صدر في مايو 2025 لم يُسفر عن أي نتيجة

أشار أوبيرن إلى هذا الخطر منذ أكثر من عام أثناء تدقيقه للبرامج الثابتة لشركة كولدكارد في مايو 2025.

وقال إنه أراد تحديد مصدر عشوائية المحفظة tracإلى libngu، وبعد ذلك أبلغ Coinkite بالعيب المحتمل في ذلك الوقت.

كتب أوبيرن، في إشارة إلى غراي: "هذا هو نفس الشخص الذي تجاهل تقريري عن احتمال وجود العيب في مايو 2025". وأضاف أنه لم يروِ بعد القصة الكاملة لتلك المحادثة. 

لم ترد شركة Coinkite بعد على ادعاء التقرير بشأن هويةdent.

التزام واحد في عام 2021، لم يلاحظه أحد لمدة خمس سنوات

tracفرق هندسة وأمن Bitcoin في بلوك السبب إلى تعديل برمجي بتاريخ 1 مارس 2021، غيّر طريقة إنشاء Coldcard لرمز الاسترداد الخاص بالمحفظة. استبدل هذا التغيير استدعاءً يسحب الأرقام من مولد الأرقام العشوائية الخاص بالجهاز باستدعاء آخر يعتمد على برنامج MicroPython لتوليد الأرقام العشوائية.

كان الخطأ كامنًا في فحص واحد للمعالج المسبق. تم إصدار البرنامج الثابت الإصدار 4.0.0 مع هذا الخلل في 17 مارس 2021.

تم تصميم البذور بمستوى منخفض جدًا من العشوائية، مما مكّن المهاجمين من إعادة توليدها دون اتصال بالإنترنت وسحب الأموال دون الحاجة إلى لمس أي جهاز. لم تتضمن أي من عمليات السرقة أجهزة مسروقة أو عمليات تصيد احتيالي أو برامج ضارة.

تطلب منصة Coinkite من أصحابها تحويل الأموال الآن

حثّت منصة Coinkite مستخدميها على التصرّف بسرعة. ونشرت الشركة: "يرجى التعامل مع هذا الأمر على أنه عاجل. انقلوا أموالكم"، مؤكدةً في الوقت نفسه أن الثغرة الأمنية لا تزال قائمة، وتطلب من حاملي العملات الرقمية تنبيه الآخرين الذين "يستخدمون الإنترنت بشكل أقل"

ليست كل المحافظ معرضة للخطر. تشير التقارير إلى أن أجهزة Mk3 التي تعمل بنظام تشغيل 4.0.1 أو أحدث معرضة للخطر، بينما ينبغي على مالكي أجهزة Mk4 وMk5 وQ التي تعمل بنظام تشغيل أقل من 5.6.0 أو 1.5.0Q التحديث وإنشاء عبارة استعادة جديدة ونقل عملاتهم. 

المحافظ المصممة باستخدام خيار رمي النرد في الجهاز، حيث يُدخل المستخدم 50 رمية نرد فعلية على الأقل، لم تتعرض للاختراق وتُعتبر آمنة. كما تمtronعبارات المرور القوية BIP-39 وإعدادات التوقيع المتعدد حيث يكون مفتاح Coldcard واحدًا فقط من عدة مُوقِّعين.

الخسائر تقارب 114 مليون دولار عبر أربع موجات

جاءت عمليات السرقة على دفعات . ففي الموجة الأولى التي بدأت في 30 يوليو، تم نقل حوالي 1083 بيتكوين من 1196 عنوانًا خلال 41 دقيقة، بقيمة تقارب 70 مليون دولار. وتلتها ثلاث موجات أخرى على مدى خمسة أيام، حيث أحصت شركة غالاكسي ريسيرش عملية سرقة رابعة في وقت مبكر من 3 أغسطس، رفعت إجمالي المسروقات إلى حوالي 1816 بيتكوين. 

بعض التقارير إلى أن قيمتها تقارب 116 مليون دولار، بينما تشير تقارير أخرى إلى 114 مليون دولار بالأسعار السائدة.

لم يشهد Bitcoin نفسه أي تحرك يذكر، حيث تم تداوله بالقرب من 63800 دولار خلال ساعات التداول الأمريكية في 4 أغسطس. وصرح فينسنت بوزون، خبير الأمن السيبراني في شركة Ledger المنافسة لصناعة المحافظ الرقمية، بأن هذه الحادثة كانت "فشلاً في تطبيق واحد وليس حكماً على الحفظ الذاتي"، مضيفاً أن الإنتروبيا "يجب أن تكون مثبتة في أجهزة آمنة".