أثارت ثغرة Coldcard مخاوف واسعة بشأن أمان محافظ بيتكوين الباردة، بعدما جرى سحب نحو 594.48 بيتكوين من قرابة 500 محفظة أحادية التوقيع خلال 25 دقيقة فقط، في عملية منسقة وقعت صباح الجمعة 31 يوليو 2026.
وبلغت قيمة العملات وقت اكتشاف التحويلات نحو 38.2 مليون دولار، عندما كان سعر بيتكوين قريبًا من 64,324 دولارًا. لكن هذا التقييم يتغير مع السعر؛ إذ بلغ سعر بيتكوين نحو 63,190 دولارًا عند الساعة 9:06 مساءً بتوقيت القاهرة خلال مراجعة الخبر.
وتزامنت التحويلات مع كشف خلل خطير في آلية توليد الأرقام العشوائية داخل بعض إصدارات Coldcard، وهو خلل قد يجعل بذور المحافظ والمفاتيح الخاصة أقل عشوائية وأسهل في التخمين مما يفترض.
ماذا حدث خلال 25 دقيقة؟
بدأت التحويلات عند الساعة 1:31 صباحًا بالتوقيت العالمي، الموافق 4:31 صباحًا بتوقيت القاهرة، واستمرت حتى الساعة 1:56 صباحًا بالتوقيت العالمي.
وخلال هذه الفترة، تحركت نحو 594.48 بيتكوين عبر 500 معاملة داخل ثلاث كتل متتالية على شبكة بيتكوين.
وأفاد تحليل التحويلات بأن العملية شملت نقل أكثر من 1,300 مخرج معاملة غير منفق، وهو ما يعرف اختصارًا باسم UTXO، من قرابة 500 محفظة أحادية التوقيع.
وجرى بعد ذلك تجميع نحو 562 بيتكوين في عنوان واحد على شبكة بيتكوين. وأفاد CoinDesk بأن العملات لم تكن قد غادرت العنوان وقت تحديث تقريره.
كانت العديد من المحافظ المتضررة خاملة منذ سنوات، بينما تعود العملات الموجودة بها إلى فترات تمتد بين عامي 2021 و2026، وهي فترة تتقاطع مع ظهور الخلل في بعض إصدارات برنامج Coldcard.
ما هي ثغرة Coldcard؟
كشفت فرق هندسة وأمن بيتكوين التابعة لشركة Block عن خطأ في دمج مولد الأرقام العشوائية داخل برنامج Coldcard.
وتعتمد المحافظ الباردة عند إنشاء محفظة جديدة على مصدر قوي للعشوائية، أو ما يسمى «الإنتروبيا»، لتوليد كلمات الاسترداد والمفاتيح الخاصة. وكلما كانت العشوائية أقوى، أصبح تخمين المفتاح شبه مستحيل عمليًا.
لكن التحليل الفني الذي نشرته Block أشار إلى أن خطأً برمجيًا تسبب في استخدام مولد برمجي حتمي بدلًا من مولد الأرقام العشوائية المادي المدمج في الجهاز.
وكان هذا المولد يعتمد جزئيًا على بيانات غير سرية، مثل معرّف الشريحة وحالة مؤقت الجهاز. وقد يسمح تضييق هذه المتغيرات للمهاجم بإعادة إنتاج النتائج المحتملة واختبارها خارج الشبكة حتى يعثر على مفتاح يطابق عنوانًا معروفًا.
هل يعني ذلك أن شبكة بيتكوين نفسها تعرضت للاختراق؟
لا. الخلل يتعلق بطريقة توليد المفاتيح داخل بعض إصدارات محافظ Coldcard، وليس ببروتوكول بيتكوين أو تقنية البلوكشين نفسها.
وتظل معاملات شبكة بيتكوين تعمل وفق قواعدها المعتادة، لكن امتلاك المفتاح الخاص الصحيح يسمح لأي شخص بتحريك العملات المرتبطة به، حتى إذا حصل عليه عبر استغلال ضعف في المحفظة المستخدمة لإنشائه.
ما الأجهزة والإصدارات المتأثرة؟
حدّثت شركة Coinkite تحذيرها الرسمي في 31 يوليو، وأعلنت توفير إصدارات مصححة لجميع الأجهزة ومسارات البرامج المتأثرة.
ويشمل تحذير Coinkite الرسمي ما يلي:
- أجهزة Mk3 التي أُنشئت عليها البذور باستخدام الإصدارات من 4.0.1 إلى 4.1.9.
- أجهزة Mk4 وMk5 التي أُنشئت عليها البذور قبل الإصدار القياسي 5.6.0 أو إصدار Edge رقم 6.6.0X.
- أجهزة Q التي أُنشئت عليها البذور قبل الإصدار القياسي 1.5.0Q أو إصدار Edge رقم 6.6.0QX.
وقالت الشركة إن تأثير الخلل على أجهزة Mk4 وMk5 وQ أقل حدة من Mk3، لكنه يظل خطيرًا ويستدعي التعامل معه.
أما منتجات TAPSIGNER وOPENDIME وSATSCARD، فأكدت Coinkite أنها غير متأثرة لأنها تستخدم قواعد برمجية مختلفة.
الإصدارات المصححة
حددت Coinkite الإصدارات الآمنة الجديدة على النحو التالي:
- Mk3: الإصدار 4.2.0 أو أحدث.
- Mk4 وMk5 القياسيان: الإصدار 5.6.0 أو أحدث.
- Q القياسي: الإصدار 1.5.0Q أو أحدث.
- Mk4 وMk5 ضمن مسار Edge: الإصدار 6.6.0X أو أحدث.
- Q ضمن مسار Edge: الإصدار 6.6.0QX أو أحدث.
وشددت الشركة على ضرورة عدم إنشاء بذرة جديدة على أي من هذه الأجهزة قبل تثبيت الإصدار المصحح المناسب.
لماذا لا يكفي تحديث البرنامج؟
يتوقف التعرض للخطر على إصدار البرنامج الذي كان مثبتًا وقت إنشاء البذرة أو المفتاح، وليس الإصدار الموجود على الجهاز حاليًا.
لذلك، فإن تحديث البرنامج يمنع إنشاء بذور جديدة بالطريقة المتأثرة، لكنه لا يغير البذرة القديمة ولا يضيف إليها عشوائية جديدة.
وأكدت Coinkite أن المستخدم الذي أنشأ بذرته على إصدار متأثر يحتاج إلى إنشاء بذرة جديدة بعد تثبيت الإصدار المصحح، ثم نقل الأموال إلى عناوين مرتبطة بالبذرة الجديدة.
وتوصي الشركة بإجراء النقل بعناية من خلال:
- تثبيت الإصدار الرسمي المصحح.
- إنشاء بذرة جديدة وتسجيل النسخة الاحتياطية.
- التحقق من بصمة المحفظة وعنوان الاستقبال على شاشة الجهاز.
- إرسال مبلغ تجريبي صغير أولًا.
- نقل الرصيد المتبقي بعد التأكد من وصول المبلغ التجريبي.
- الاحتفاظ بالنسخة القديمة حتى اكتمال النقل وتأكيده.
وحذرت الشركة من إدخال كلمات الاسترداد في مواقع إلكترونية أو أجهزة غير موثوقة، ومن الاستجابة لأي جهة تتواصل مع المستخدم وتعرض عليه «المساعدة» في نقل أمواله.
هل ثبت أن ثغرة Coldcard وراء سرقة 594 بيتكوين؟
توجد أدلة فنية قوية تربط التوقيت وطبيعة المحافظ المسحوبة بخلل توليد المفاتيح، لكن الإسناد الجنائي النهائي للعملية لم يكتمل بعد.
وقالت Block إن الثغرات التي اكتشفتها تسمح بسرقة بيتكوين، وإنها نشرت تقريرها مبكرًا لأن الاستغلال كان جاريًا. كما ربط تقرير CoinDesk عملية السحب بخلل Coldcard.
في المقابل، أكدت Coinkite أن تحليلها لا يزال أوليًا وأن التحقيق مستمر، مع وعد بنشر مراجعة فنية رسمية أكثر تفصيلًا.
لذلك، يمكن تأكيد حقيقتين حتى الآن: وقوع عملية سحب منسقة شملت 594.48 بيتكوين، ووجود ثغرة خطيرة ومؤكدة في بعض إصدارات Coldcard. أما إثبات أن الثغرة كانت الوسيلة المستخدمة في جميع المحافظ المسحوبة، فلا يزال ينتظر اكتمال التحقيق الفني.
هل أثرت الحادثة على سعر بيتكوين؟
لم يظهر تأثير سعري منفصل يمكن ربطه مباشرة بالحادثة. وكان بيتكوين يتداول قرب 63,190 دولارًا عند الساعة 9:06 مساءً بتوقيت القاهرة، مقارنة بنحو 64,324 دولارًا المستخدم في تقدير قيمة العملات وقت اكتشاف السحب.
لكن بيتكوين كان يتحرك بالفعل تحت ضغوط سوقية أوسع خلال جلسة الجمعة، ولا توجد أدلة تثبت أن خبر Coldcard كان السبب المباشر في تراجع السعر.
كما أن 594.48 بيتكوين تمثل قيمة كبيرة بالنسبة إلى أصحاب المحافظ المتضررة، لكنها تظل محدودة مقارنة بحجم التداول اليومي والسيولة الإجمالية في سوق بيتكوين.
ما الذي يجب مراقبته خلال الساعات المقبلة؟
سيتركز الاهتمام على عدة تطورات رئيسية:
- صدور المراجعة الفنية النهائية من Coinkite.
- أي تحديث جديد لقائمة الأجهزة أو إصدارات البرامج المتأثرة.
- حركة العملات الموجودة في عنوان التجميع.
- ظهور ضحايا أو محافظ متضررة إضافية.
- تحديد ما إذا كانت منصات التداول ستراقب العناوين المرتبطة بالعملية.
- صدور معلومات عن هوية المهاجم أو طريقة حصوله على بيانات الأجهزة اللازمة.
- تأكيد العلاقة الفنية النهائية بين ثغرة Coldcard وعملية السحب.
وحتى اكتمال التحقيق، ينبغي الفصل بين البيانات المؤكدة والتحليلات الأولية، خصوصًا أن الأرقام ونطاق الأجهزة المتأثرة قد يتغيران مع صدور تحديثات رسمية جديدة.
تنويه: هذا المحتوى لأغراض إخبارية وتعليمية فقط، ولا يمثل توصية استثمارية أو دعوة لشراء أو بيع بيتكوين أو أي أصل رقمي.
للمزيد من المقالات ذات الصلة، يرجى متابعة موقعكم Tradethezone.com
