ثغرة محفظة Coldcard تكلف 38 مليون دولار وتنسف وهم الأمان المطلق للحفظ الذاتي

أدت ثغرة برمجية حرجة في محفظة الأجهزة الشهيرة Coldcard إلى سرقة ما يقرب من 600 عملة بيتكوين، بقيمة تقدر بنحو 38 مليون دولار، مما نسف وهم الأمان المطلق الذي يوفره التخزين البارد (Cold Storage). سمح هذا الاختراق للمهاجمين بإعادة إنشاء عبارات الاسترداد (Seed Phrases) رياضياً، واستنزاف الأموال من خزائن كان يعتقد المستخدمون أنها منيعة وتخضع للحفظ الذاتي بالكامل. يُعد هذا التحديث بالغ الأهمية للمستثمرين الأفراد والمدافعين الشرسين عن تقنية البلوك تشين (Blockchain) على حد سواء، إذ يجبر القطاع بأكمله على إعادة تقييم ما إذا كانت إدارة المفاتيح الخاصة (Private Keys) تحمل مخاطر تفوق قدرات المستخدم العادي.

لسنوات طويلة، كانت الميزة التنافسية الأبرز لعملة البيتكوين هي القضاء على مخاطر الطرف الثالث، مما يتيح للمستخدمين تجاوز البنوك ومنصات التداول المركزية. ومع ذلك، اكتشف باحثون أمنيون أن بعض إصدارات البرامج الثابتة (Firmware) في محفظة Coldcard قامت بإنشاء عبارات استرداد بمستوى عشوائية أقل بكثير مما هو مطلوب، مما جعلها عرضة لهجمات القوة الغاشمة (Brute-force Attacks). كانت التداعيات فورية ومدمرة، حيث أثبت العبء التقني لتأمين الثروات الرقمية أنه يزداد صعوبة دون إشراف احترافي.

هذه هي الضربة الأقسى في تاريخ البيتكوين التي تستهدف أكثر المستخدمين دراية وأماناً. نحن لا نتحدث عن اختراق منصة تداول بسبب مفاتيح ساخنة، بل عن آلاف الأفراد الذين سُرقت مفاتيحهم الخاصة من بين أيديهم.

- غاي سوان، محلل في مجال البيتكوين

كشفت هذه الثغرة عن توتر متزايد مع دخول الأصول الرقمية إلى صلب النظام المالي السائد. ورغم أن الشركة المصنعة قد أصدرت تصحيحاً برمجياً للثغرة، إلا أن الضرر التشغيلي قد وقع بالفعل. يسابق المستخدمون المتضررون الزمن الآن لتأمين ما تبقى من أصولهم، بعد أن أدركوا أن عقلية "اضبط الإعدادات وانسَ الأمر" التقليدية في التخزين البارد لم تعد مجدية في مواجهة التهديدات السيبرانية المتطورة.

نظراً لأن هذه الثغرة تنبع من مرحلة إنشاء المفاتيح، فإن مجرد تنزيل أحدث تصحيح للبرامج الثابتة لن يحمي الأصول المخزنة على عبارات الاسترداد التي تم إنشاؤها مسبقاً. يجب على المستخدمين اتخاذ إجراءات يدوية فورية لتأمين أموالهم.

• إنشاء عبارة استرداد جديدة: يجب عليك إنشاء عبارة استرداد جديدة كلياً للمحفظة باستخدام الإصدار المُحدّث والمُصحح من البرامج الثابتة.
• نقل الأموال فوراً: بادر بنقل جميع عملات البيتكوين الحالية من المحفظة المخترقة إلى العنوان الجديد الذي تم إنشاؤه دون أي تأخير.
• عدم الاعتماد على النسخ الاحتياطية القديمة: تُعد أي عبارة استرداد تم إنشاؤها على الإصدار القديم مخترقة بشكل دائم، ويجب إتلافها بمجرد نقل الأموال بأمان.

حذّر إن في كيه، الرئيس التنفيذي لشركة Coinkite، في رسالة مفتوحة قائلاً: "إذا قمت بإنشاء عبارة استرداد باستخدام محفظة Coldcard، فانقل أموالك الآن، باستخدام أفضل ممارساتنا المُحدّثة، قبل قراءة المزيد". وأوضح صراحةً أنه في حين يحمي التحديث عبارات الاسترداد الجديدة مستقبلاً، فإنه لا يمكنه تأمين العبارات التي تم إنشاؤها بالفعل على البرامج الثابتة المعيبة بأثر رجعي.

أثار هذا الحادث جدلاً واسعاً حول التكلفة الحقيقية للسيادة المالية. فبعد انهيار المنصات المركزية مثل منصة FTX، شهدت محافظ الأجهزة (Hardware Wallets) طفرة هائلة في معدلات التبني. أما الآن، فيرى المحللون أن المستخدمين قد استبدلوا ببساطة مجموعة من المخاطر الكارثية بمجموعة أخرى.

وأشار لورينزو فالينتي، مدير أبحاث الأصول الرقمية في شركة ARK Invest، في تصريح له إلى أن قطاع الأجهزة ذاتية الحفظ يعيش حالة من الفوضى حالياً، مما يلحق ضرراً بالغاً بسمعة الصناعة. وأوضح فالينتي: "من الناحية العملية، استبدل المستهلكون مخاطر الطرف الثالث بمخاطر البرمجيات، ومخاطر الأجهزة، ومخاطر سلسلة التوريد، ومخاطر التصيد الاحتيالي، ومخاطر النسخ الاحتياطي، واحتمالية فقدان كل شيء بسبب خطأ واحد".

ويتفق كبار المطورين مع هذا الرأي، مدركين أن التهديدات السيبرانية تتطور بوتيرة أسرع من عادات المستهلكين. وحذّر أودي ويرثايمر، مطور بروتوكول Taproot، من أن فكرة ترك البيتكوين في مكان سري والتمتع بالحياة دون قلق أصبحت غير واقعية في الوقت الحالي. وشدد على أن حاملي العملات يجب عليهم إما مراقبة التهديدات الجديدة بأنفسهم باستمرار، أو الدفع لجهات حفظ احترافية لتتولى هذه المهمة نيابة عنهم.

لا يُعد اختراق محفظة Coldcard مجرد فشل تقني؛ بل يمثل نقطة تحول فلسفية في منظومة العملات الرقمية. صُممت محافظ الأجهزة للقضاء على الحاجة إلى الثقة في أطراف ثالثة، لكنها أجبرت المستخدمين دون قصد على وضع ثقة عمياء في مطوري البرامج الثابتة مفتوحة المصدر، وسلاسل التوريد المعقدة، وخوارزميات إنشاء المفاتيح المخفية. ومع مساهمة الذكاء الاصطناعي في خفض التكلفة والوقت اللازمين لاكتشاف الثغرات البرمجية بشكل جذري، أصبح المستثمر الفردي العادي غير قادر على التنافس مع مشهد التهديدات المتطور.

سيؤدي هذا الواقع حتماً إلى تسريع هجرة رؤوس الأموال الفردية والمؤسسية نحو المنتجات المنظمة مثل صناديق الاستثمار المتداولة للبيتكوين (Spot Bitcoin ETFs). وأشار ديفيد لورانس، المؤسس المشارك لشركة Amicus، إلى أن المستثمرين الجدد سينظرون على الأرجح إلى حوادث كهذه ويستنتجون أن شراء أسهم في صندوق IBIT التابع لشركة BlackRock هو الخيار الأكثر أماناً. لقد انتهت فعلياً الرؤية الطوباوية المتمثلة في احتفاظ ثمانية مليارات شخص بثرواتهم على أجهزة تشبه محركات USB في محافظ باردة. ومن الآن فصاعداً، تتجه عملة البيتكوين للتحول من أصل لامركزي لحامله إلى منتج مالي تقليدي، تُديره بأمان نفس مؤسسات وول ستريت التي صُممت العملة في الأصل لتجاوزها.