درجة ثقة المجتمعموثّق
المحقق في بلوكتشين زاك إكس بي تي لن يتعامل مع قضية كولدكارد. أوضح موقفه: تركيزه ينصب على الأنظمة التي تقدر عمله، ومجتمع بيتكوين، على الأقل في الوقت الحالي، لا يحقق له هذا المعيار.
الاختراق نفسه مستمر منذ خمسة أيام. بدأ بخلل في البرامج الثابتة داخل محافظ كولدكارد Mk3 التي تصنعها Coinkite. تحديداً، الأجهزة التي تعمل بإصدارات البرامج الثابتة من 4.0.1 إلى 4.1.9 كانت تواجه مشكلة خطيرة — حيث كانت تولد بذور المحفظة من خلال عملية توليد أرقام عشوائية برمجية بدلاً من الشريحة المخصصة لذلك. جعل ذلك البذور قابلة للتنبؤ. يمكن تخمينها، أساساً. في 30 يوليو، اختفى حوالي 594 بيتكوين (BTC)، بقيمة حوالي 38 مليون دولار في ذلك الوقت، من ما يقرب من 500 عنوان في أقل من 30 دقيقة. أصدرت Coinkite تصحيحاً في غضون يومين. لم يكن له تأثير كبير. بحلول 2 أغسطس، ارتفع إجمالي المسروق إلى 1,367 بيتكوين — 88.6 مليون دولار — موزعة عبر ثلاث موجات هجوم منفصلة. وفقاً للتقارير، من المحتمل أن يعود الخلل إلى بناء برنامج ثابت من مارس 2021، مما يعني أن بذور المحفظة التي تم توليدها منذ ذلك التاريخ قد تظل مكشوفة على الأجهزة غير المحدثة.
أموال سريعة. ثلاث موجات. خمسة أيام.
فوضى بيانات Coinkite تزيد الأمور سوءاً
البيتكوين المسروق هو جزء فقط من القصة. واجهت Coinkite مشكلة منفصلة عندما تبين أن الشركة تحتفظ بعناوين البريد الإلكتروني للعملاء إلى أجل غير مسمى. هذه مشكلة لأن الرئيس التنفيذي رودولفو نوفاك كان قد أخبر العملاء سابقاً أن بياناتهم تحذف بعد 90 يوماً. يبدو أن هذا لم يكن صحيحاً. كما كشف الاختراق عن سياسة إشعارات البريد الإلكتروني التي تتناقض مباشرة مع تأكيدات الشركة السابقة حول خيارات الشراء المجهولة. لذا اكتشف العملاء الذين اعتقدوا أنهم يشترون محافظ الأجهزة بقدر من الخصوصية أنهم لم يكونوا كذلك. ليس حقاً.
كان رد الفعل سريعاً. بدأ الناس في مجتمع العملات الرقمية بطرح أسئلة أصعب حول ما تفعله الشركات المصنعة لمحافظ الأجهزة ببيانات العملاء، ومدة احتفاظهم بها، وما إذا كانت أي من وعود الخصوصية تلك تعني شيئاً. إنه سؤال عادل. من المفترض أن تكون محافظ الأجهزة هي المعيار الذهبي للحفظ الذاتي — الفكرة كلها هي أنك تتحكم في مفاتيحك وخصوصيتك. اكتشاف أن الشركة التي تبيع لك هذا الجهاز احتفظت ببريدك الإلكتروني إلى الأبد، رغم قولها عكس ذلك، يتعارض مع القيمة الكاملة للعرض.
بدأ بعض المراقبين يتساءلون عما إذا كانت حوادث كهذه تدفع المستثمرين الأكثر حذراً نحو صناديق متداولة في البورصة (ETF) بدلاً من ذلك. إذا كان الحفظ الذاتي يحمل هذا النوع من المخاطر — سواء من العيوب في البرامج الثابتة أو من ممارسات البيانات الغامضة — فإن الحسابات تتغير.
من يتابع الأموال المسروقة فعلياً
مع تنحي زاك إكس بي تي، تولت Galaxy Research مهمة المراقبة. تقوم الشركة بتتبع تحركات المهاجمين وتقديم تحديثات حول مكان ذهاب البيتكوين المسروق. إنها ليست مهمة صغيرة. السرعة التي تحركت بها الأموال — 594 بيتكوين اختفت في 30 دقيقة خلال الموجة الأولى وحدها — أدت إلى تكهنات بأن من قام بذلك استخدم أدوات آلية لاستغلال الخلل على نطاق واسع. ربما بمساعدة الذكاء الاصطناعي. لا يوجد تأكيد على ذلك بعد، لكن الوتيرة تجعل الاستغلال اليدوي يبدو غير مرجح.
كان هناك أيضاً بعض الضجيج على السلسلة. نشر شخص ما عرضاً لغسل البيتكوين مباشرة على بلوكتشين بيتكوين خلال الفوضى. علني، مرئي، غريب. أضاف ذلك طبقة إضافية من العرض إلى وضع فوضوي بالفعل.
التحدي الأوسع هنا حقيقي. غياب زاك إكس بي تي ليس مجرد مشكلة علاقات عامة لمجتمع بيتكوين — إنه مشكلة عملية. تتبع الأموال المسروقة عبر موجات هجوم متعددة، مع عناوين تتحرك بسرعة وغسيل أموال محتمل آلي، يتطلب جهداً تحقيقياً مستمراً. تقوم Galaxy Research بذلك، لكن كلما زادت العيون على شيء من هذا القبيل، كان ذلك أفضل بشكل عام.
من جانبها، اضطرت Coinkite للدفاع عن نفسها على جبهتين في وقت واحد: الخلل في البرامج الثابتة الذي سمح بحدوث الاختراق، وممارسات الاحتفاظ بالبيانات التي لم يكن يجب أن تكون مفاجأة للعملاء ولكنها كانت كذلك. لا يبدو أي منهما جيداً. أصدرت الشركة التصحيح، لكن الضرر في الثقة من الكشف عن البريد الإلكتروني هو شيء أبطأ وأصعب للإصلاح.
المستخدمون الذين لا يزالون يعملون على برامج Mk3 الثابتة غير المحدثة هم الأكثر تعرضاً للخطر. البذور التي تم توليدها بين مارس 2021 وإصدار التصحيح قد تظل عرضة للخطر إذا لم يتم تحديث تلك المحافظ. تواصل Galaxy Research تتبع تحركات المهاجمين اعتباراً من 3 أغسطس، مع 1,367 بيتكوين — 88.6 مليون دولار — لم يتم استردادها بعد.
الأسئلة الشائعة
لماذا رفض زاك إكس بي تي تتبع اختراق كولدكارد؟
قال زاك إكس بي تي إنه يركز على الأنظمة التي تقدر عمله، وأشار إلى نقص الدعم من مجتمع بيتكوين كسبب لعدم ملاحقته لقضية كولدكارد بقيمة 88.6 مليون دولار.
أي أجهزة كولدكارد تأثرت بخلل البرامج الثابتة؟
كانت أجهزة كولدكارد Mk3 التي تعمل بإصدارات البرامج الثابتة من 4.0.1 إلى 4.1.9 عرضة للخطر، مع احتمال عودة الخلل إلى بناء برنامج ثابت من مارس 2021.
