تحذير حاسم: 90 مليون دولار من البيتكوين تتبخر بسبب ثغرة Coldcard لـ 5 سنوات! هل أموالك في المحافظ الباردة بأمان؟

في صدمة مدوية تهز أركان سوق العملات الرقمية، كُشف النقاب عن ثغرة أمنية خطيرة في محافظ Coldcard الباردة، والتي استمرت خمس سنوات كاملة دون اكتشاف. هذه الثغرة أدت إلى تبخر ما يقارب 90 مليون دولار أمريكي من عملات البيتكوين، متسببة في خسائر فادحة طالت أكثر من 4500 محفظة رقمية. هذا الحادث يطرح تساؤلات جدية حول معايير الأمان والاختبار المستقل للمحافظ الباردة، ويجعل المستثمرين السعوديين يتساءلون: هل أموالهم في المحافظ الباردة بأمان حقاً؟

تفاصيل الثغرة التي هزت الثقة

كشفت شركة Coinkite، المصنعة لأجهزة Coldcard، عن عيب برمجي يعود تاريخه إلى مارس 2021. المشكلة تكمن في عملية إنشاء العبارات الأولية (Seed Phrases) للمحافظ. بدلاً من استخدام مولد الأرقام العشوائية الحقيقية (TRNG) المخصص والآمن، قامت الأجهزة عن غير قصد بتوجيه عملية إنشاء المحافظ إلى مولد أضعف من نوع MicroPython، والذي كان موجوداً في قاعدة الكود البرمجي. الغريب أن مولد الأرقام العشوائية الحقيقي كان موجوداً وفعالاً، لكنه لم يكن يُستدعى للوظائف الحرجة، مما سمح لهذه الثغرة بالتسلل دون اكتشاف طوال هذه المدة.

دعوة للاستيقاظ من رئيس أمن كراكن

علق نيك بيركوكو، رئيس الأمن في منصة كراكن (Kraken)، على الحادث واصفاً إياه بـ "دعوة للاستيقاظ" لجميع مصنعي المحافظ الباردة. شدد بيركوكو على ضرورة إجراء اختبارات مستقلة ودقيقة للتحقق من أن مصدر العشوائية المعتمد هو الذي يُستخدم بالفعل من قبل البرامج الثابتة في المنتجات النهائية. وأوضح قائلاً: "يُطلب من المستهلكين الوثوق بتطبيق الشركة المصنعة لأهم وظيفة في النظام، دون أي تحقق مستقل من أن مسار الإنتروبيا المعتمد هو الذي يُنفذ فعلياً".

وأشار بيركوكو إلى أن الصناعات الأمنية الأخرى، مثل صناعة المدفوعات والوحدات التشفيرية للحكومة الأمريكية، تتبع معايير صارمة للتحقق من مصادر العشوائية قبل السماح بتسليم المنتجات. لكنه أكد أن "المحافظ الباردة لا تملك عملية مكافئة" لهذا المستوى من التدقيق، مما يترك فجوة أمنية حرجة.

الإجراءات المتخذة والمستقبل

في استجابة فورية، أعلنت Coldcard عن إيقاف جميع شحنات الأجهزة منذ تأكيد الثغرة، وقامت بتدمير جميع الوحدات المتبقية في منشآتها التي تحتوي على البرامج الثابتة المتأثرة. ومع ذلك، نصحت Coinkite المستخدمين الذين يمتلكون أجهزة متأثرة بعدم التخلص منها، حيث "قد يصبح ذلك ضرورياً إذا تم استرداد الأموال". وأكدت الشركة أن فريقها القانوني سيتعاون مع سلطات إنفاذ القانون في ولايات قضائية متعددة لدعم جهود تحديد المسؤولين عن هذه الهجمات.

هذه الحادثة تسلط الضوء على الأهمية القصوى للتدقيق المستقل والشفافية في صناعة المحافظ الباردة. يجب على المستثمرين أن يكونوا أكثر حذراً وأن يبحثوا دائماً عن المنتجات التي تخضع لأعلى معايير الأمان والتحقق الخارجي لضمان سلامة أصولهم الرقمية.