درجة ثقة المجتمعموثّق
تطلب شركة Coinkite من كل مستخدم لجهاز كولدكارد التخلي عن العبارة السرية القديمة. ليس تحديثها، بل استبدالها بالكامل.
أصدرت الشركة النسخة 5.6.1 من البرنامج الثابت لأجهزة كولدكارد Mk4 وMk5، بالإضافة إلى النسخة 1.5.1Q لجهاز كولدكارد Q. ولكن الأمر ليس بهذه البساطة — التحديث وحده لا يكفي. شركة Coinkite واضحة جداً: العبارات السرية الموجودة مسبقاً تظل غير آمنة حتى بعد تثبيت المستخدمين للبرنامج الثابت الجديد. يجب التخلص من العبارات القديمة. الثغرة التي تسببت في خسارة 1,778 BTC — ما يعادل تقريباً 112 مليون دولار في ذلك الوقت — كانت متأصلة في كيفية توليد العبارات السرية في الأصل، ولا يمكن لأي تحديث للبرنامج الثابت أن يصلح مفتاحاً تم اختراقه بأثر رجعي. تلك الأموال ضاعت. السؤال الآن هو ما إذا كان باقي مستخدمي كولدكارد سيتحركون بسرعة كافية لتجنب نفس المصير.
ما الذي يفعله البرنامج الثابت الجديد فعلاً
توليد عبارة سرية جديدة تحت البرنامج الثابت الجديد ليس عملية بنقرة واحدة. يجب على المستخدمين توفير العشوائية الخاصة بهم — 65 ضغطة مفتاح بتوقيت عشوائي، أو 50 لفة نرد، أو 128 قلبة عملة. ثم يتم خلط هذه العشوائية التي يولدها المستخدم مع مصادر متعددة على مستوى الجهاز: عناصر آمنة، مولدات أرقام عشوائية للأجهزة، ومجموعات عشوائية داخلية أخرى. الهدف بسيط. حتى إذا فشل مصدر واحد أو تم اختراقه، يظل المفتاح الخاص غير قابل للتنبؤ.
التحديث أيضاً يشدد على العديد من الأمور الأخرى. تم إعادة صياغة معالجة بيانات USB — حيث أصبحت التنزيلات مقيدة بالمخرجات الحديثة فقط، وتتطلب الجلسات المشفرة. تم حظر أوضاع توقيع معينة لبيتكوين، تلك التي تسمح بتعديلات على مخرجات المعاملات، بشكل افتراضي. والبرنامج الثابت الآن يعيد التحقق من المعاملات مباشرة قبل التوقيع، وهو استجابة مباشرة لسيناريو هجوم نظري يتضمن منافذ USB مخترقة على الكمبيوتر. إذا تم العبث بمنفذ، فإن خطوة إعادة التحقق من المفترض أن تكتشف أي تغييرات غير مصرح بها قبل أن تتم.
هناك أيضاً اختبارات جديدة لمولدات الأرقام العشوائية للأجهزة واختبار عند بدء التشغيل. هذا الاختبار يتحقق من أن المحفظة تعمل على مسارها المادي المقصود منذ بدء التشغيل — بشكل أساسي فحص سلامة للتأكد من أن الجهاز لم يتم العبث به على مستوى أساسي.
استغلال بقيمة 112 مليون دولار يُصنف كثالث أكبر استغلال في 2026
خسارة 1,778 BTC تُصنف كثالث أكبر استغلال للعملات الرقمية في عام 2026. هذا رقم قاسٍ، ويضع كولدكارد في موقف غير مريح. السبب الجذري، حسب TRM Labs، كان خطأ في البرنامج الثابت يعود إلى مارس 2021. هذا الخطأ أضعف عشوائية العبارات السرية بشكل كبير، مما جعل بعض المحافظ عرضة لهجمات القوة الغاشمة — والأهم أن المهاجمين لم يحتاجوا إلى الوصول الفعلي للجهاز. كان بإمكانهم العمل عن بُعد. تحديث البرنامج الثابت في يوليو كان قد عالج مشاكل توليد العبارات للمحافظ الجديدة، لكن الإصدار في أغسطس تبع مراجعات أمنية إضافية كشفت عن فجوات أخرى.
من المفيد التأمل في هذا الجدول الزمني للحظة. يبدو أن الخطأ كان موجوداً في قاعدة الشيفرة منذ مارس 2021. مرت سنوات. تم إنشاء محافظ. تم تخزين بيتكوين. ثم لم يعد كذلك.
أداة الكشف المجانية من Coinspect
Coinkite ليست الوحيدة التي تتحرك. أطلقت شركة الأمن في بلوكتشين Coinspect أداة مجانية تسمى Unlukey، تم بناؤها خصيصاً لتحديد عناوين المحافظ التي تم إنشاؤها من عبارات سرية ضعيفة. الطريقة التي تعمل بها: تحاول Unlukey تكرار الثغرات المعروفة في توليد العبارات، ثم تتحقق مما إذا كانت العناوين العامة تقع في مجموعة البيانات المخترقة. إذا ظهر عنوانك، فمن المحتمل أن تكون محفظتك في خطر.
إنها خطوة ذكية. ليس بإمكان الجميع تقييم مدى تعرضهم بأنفسهم، وأداة مجانية تخفض الحاجز بشكل كبير. ما إذا كان عدد كافٍ من المستخدمين سيقومون بتشغيلها هو سؤال آخر تماماً.
الصورة الأكبر هنا ليست جيدة لثقة المحافظ المادية. لطالما تم وضع كولدكارد كواحد من الخيارات الأكثر وعياً بالأمان في مجال الحفظ الذاتي — النوع من الأجهزة التي يلجأ إليها حاملو بيتكوين الجادون تحديداً لأنها من المفترض أن تكون أصعب في الاختراق. خطأ في البرنامج الثابت استمر لسنوات واستنزف 112 مليون دولار وصُنف كواحد من أكبر الاستغلالات في العام هو أمر صعب التدوير.
رسالة Coinkite واضحة بما فيه الكفاية: توليد عبارات جديدة، استخدام عملية العشوائية الجديدة، لا تفترض أن تحديث البرنامج الثابت يغطي كل شيء. وإذا لم تكن متأكداً مما إذا كان عنوان محفظتك مخترقاً، فإن أداة Unlukey من Coinspect موجودة.
سواء كان الأمر كذلك أم لا، فإن 1,778 BTC قد ضاعت.
الأسئلة الشائعة
ما هي إصدارات البرامج الثابتة التي أصدرتها Coinkite بعد استغلال كولدكارد؟
أصدرت Coinkite النسخة 5.6.1 من البرنامج الثابت لأجهزة كولدكارد Mk4 وMk5 والنسخة 1.5.1Q لجهاز كولدكارد Q، وكلاهما يتطلب من المستخدمين توليد عبارات سرية جديدة بالكامل.
كم كانت كمية بيتكوين المفقودة في استغلال كولدكارد؟
أدى استغلال كولدكارد إلى خسارة مؤكدة قدرها 1,778 BTC، بقيمة تقارب 112 مليون دولار، مما يجعله ثالث أكبر استغلال للعملات الرقمية في عام 2026.
ما هو Unlukey ومن صنعه؟
Unlukey هو أداة مجانية أطلقتها شركة الأمن في بلوكتشين Coinspect لتحديد عناوين المحافظ التي تم إنشاؤها من عبارات سرية ضعيفة عن طريق تكرار الثغرات المعروفة في توليد العبارات.
