محفظة Coldcard تشترط إدخال "عشوائية المستخدم" بعد سرقة بيتكوين تتجاوز 100 مليون دولار مرتبطة بخلل في توليد العبارة الاستردادية

أطلقت شركة Coinkite تحديث البرنامج الثابت (Firmware) الإصدار 5.6.1 لمحفظتها المادية Coldcard، مضيفة متطلباً جديداً عند إنشاء أي عبارة استرداد (Seed) على الجهاز: على المستخدم أن يزوّد عملية التوليد بعشوائية من جانبه في كل مرة. وكانت الإصدارات السابقة تعتمد بالدرجة الأكبر على مولّد الأرقام العشوائية الداخلي للمحفظة. يأتي التغيير عقب تقارير عن ثغرة مرتبطة بتوليد الـSeed يُشتبه في صلتها بحادثة سرقة كبيرة لبيتكوين. وقدّرت CryptoPotato الخسائر بنحو 100 مليون دولار، بينما قدّرت The Cryptonomist EN الرقم عند 112 مليون دولار. ويبدو أن التقديرين يشيران إلى الواقعة نفسها، مع استمرار تباين الرقم النهائي بين المصادر. توليد الـSeed هو حجر الأساس في محافظ الحفظ الذاتي. فالعبارة الاستردادية، وعادة ما تكون من 12 أو 24 كلمة، تُشفّر المفاتيح الخاصة التي تتحكم في الأموال. وإذا كانت العشوائية التي بُنيت عليها العبارة قابلة للتنبؤ أو ضعيفة أو تعرضت لأي اختراق، يصبح من الممكن نظرياً أن يعيد المهاجم بناء المفاتيح وسحب الرصيد من المحفظة المرتبطة بها. هذا الخطر هو جوهر الثغرة محل النقاش. إلزام المستخدم بإضافة عشوائية يدوية يُعد أسلوباً وقائياً لطالما أوصى به باحثو الأمن. ويتم ذلك غالباً عبر طرق مثل رمي النرد، أو إدخال صور ملتقطة بالكاميرا، أو أي مصدر يدوي آخر للعشوائية. ولا يحل هذا الإدخال محل عشوائية الجهاز الداخلية، بل يُدمج معها لتقليل الاعتماد على مصدر واحد قد يتأثر بخلل في البرمجيات أو باحتمالات العبث في سلسلة الإمداد. تُسوَّق المحافظ المادية كبديل أكثر أماناً من الاحتفاظ بالأصول لدى منصات التداول، لأن المفاتيح الخاصة لا تغادر الجهاز. غير أن هذه السمعة ترتبط مباشرة بسلامة عملية توليد العشوائية أثناء الإعداد. فأي خلل في تلك المرحلة يضعف وعد "التخزين البارد" أمنياً، بصرف النظر عن قوة حماية المفاتيح لاحقاً. وتسلط الواقعة الضوء على نمط متكرر في أمن العملات المشفرة: عادة ما تتصدر اختراقات المنصات واستغلالات العقود الذكية عناوين الأخبار، بينما تكون ثغرات المحافظ المادية أو آليات توليد المفاتيح أقل شيوعاً لكنها قد تكون أشد ضرراً، لأنها قد تكشف الأموال بصمت بينما يعتقد أصحابها أنها مؤمنة بالكامل. قد يحتاج المستخدمون الذين أنشأوا عبارات Seed على إصدارات متأثرة إلى مراجعة إرشادات Coinkite لتقييم ما إذا كان الانتقال إلى Seed جديدة ضرورياً. ولم تتضمن التقارير المتاحة تصريحات مباشرة من Coinkite بشأن السبب التقني الجذري للخلل، إلا أن اعتماد هذا التغيير يوحي بأن الشركة رأت أن آلية العشوائية السابقة وحدها لم تعد كافية، وأن إلزام إدخال المستخدم يأتي كاستجابة مباشرة للاستغلال المبلّغ عنه. أثر السوق من المرجح أن يتركز الأثر الفوري بين مستخدمي Coldcard وضمن شريحة المحافظ المادية في سوق الحفظ الذاتي. كما قد يدفع التدقيق المتجدد في ممارسات توليد الـSeed شركات أخرى إلى مراجعة أو تعزيز تطبيقات العشوائية لديها. وعلى نطاق أوسع، يعيد الحدث تغذية النقاش حول مخاطر الحفظ: المستثمرون الأفراد والمؤسسات الذين يوازنون بين الحفظ الذاتي والاحتفاظ بالأصول لدى المنصات قد يدرجون هذه الواقعة ضمن تقييماتهم للمخاطر. ولم تربط التغطيات المتاحة أي بيانات تسعير أو تداول بالحدث، لذا يبقى أي تفاعل أوسع للسوق غير مؤكد. خلاصة تحديث Firmware 5.6.1 يعكس استجابة لثغرة مزعومة في توليد الـSeed، مع استمرار اختلاف تقديرات الخسائر بين وسائل الإعلام. يُنصح مستخدمو Coldcard بتحديث أجهزتهم والرجوع إلى إرشادات Coinkite الرسمية بشأن إدارة عبارات الاسترداد مستقبلاً. أسئلة شائعة ما هي Coldcard؟ هي محفظة مادية من إنتاج Coinkite، مخصصة لتخزين المفاتيح الخاصة لبيتكوين دون اتصال بالإنترنت لأغراض الحفظ الذاتي. ماذا يعني "عشوائية المستخدم" هنا؟ هي عشوائية يضيفها المستخدم يدوياً، مثل نتائج رمي النرد أو مُدخلات من الكاميرا، وتُدمج مع عشوائية الجهاز الداخلية عند توليد Seed جديدة. كم بلغت قيمة بيتكوين المسروقة وفق التقارير؟ تتباين التقديرات: CryptoPotato تشير إلى نحو 100 مليون دولار، وThe Cryptonomist EN تشير إلى 112 مليون دولار. هل يجب على مستخدمي Coldcard الحاليين اتخاذ إجراء؟ قد يرغب من أنشأ Seed قبل هذا التحديث في مراجعة إرشادات Coinkite الرسمية لمعرفة ما إذا كانت إعادة توليد Seed موصى بها. نُشر التقرير أولاً عبر AltcoinGordon بقلم Grace Mitchell، وأُعيد نشره بإذن. يمكن الاطلاع على النسخة الأصلية لدى AltcoinGordon.