سرقة بيتكوين من شركة كولدكارد: مكتب التحقيقات الفيدرالي قد يكون لديه خيط يقوده إلى المهاجم
نص بديل:
ربما يكون المحققون قد عثروا على خيط حقيقي في سرقة أكثر من 1,000 بيتكوين من محافظ Coldcard للأجهزة، ولكن لا يوجد حتى الآن تأكيد علني بأن مكتب التحقيقات الفيدرالي قد حدد هوية الشخص الذي يقف وراء الهجوم أو ألقى القبض عليه.
ذكرت مجلة بيتكوين في 18 أغسطس أن المعلومات التي تم الكشف عنها خلال تحقيق أجرته شركة بلوك قد تم مشاركتها مع جهات إنفاذ القانون. وقال أليكس ثورن، المحلل في شركة غالاكسي ريسيرش ، إن هوية منفذ الهجوم الأول "قد تكون معروفة لدى جهات إنفاذ القانون".
في الموجة الأولى، سُحبت 1,082.65 بيتكوين في 30 يوليو/تموز. ولا تزال هذه العملات موجودة في عناوين مرتبطة بالمهاجم، وفقًا للباحثين الذين يتابعون الحادث. وعلى مدار موجات متعددة، تجاوزت الخسائر 1,800 بيتكوين، ولا تزال التقديرات تتغير مع تحديد الباحثين لمحافظ إضافية متضررة.
الوجبات السريعة الرئيسية
- ربط المحققون الموجة الأولى من سرقة بطاقات Coldcard بحساب مدفوع لدى مزود بيانات بلوك تشين.
- سرقت الموجة الأولى 1,082.65 بيتكوين، بينما يبدو أن الهجمات اللاحقة استهدفت نفس الخلل الضعيف في توليد البذور.
- لم يؤكد مكتب التحقيقات الفيدرالي علنًا وجود مشتبه به أو اعتقال أو توجيه اتهامات أو استعادة عملة البيتكوين المسروقة.
- تقول شركة Coinkite إن المستخدمين الذين لديهم عبارات الاسترداد المتأثرة يجب عليهم إنشاء محافظ جديدة ونقل أموالهم بدلاً من الاعتماد على تحديث البرامج الثابتة فقط.
قد يكون حساب بيانات البلوك تشين قد زود المحققين بخيط يقودهم إلى حل اللغز.
جاء التطور الأهم من كلاي غاريت، رئيس قسم الهندسة في بلوك تشين، الذي قام فريقه بفحص نشاط المهاجم على سلسلة الكتل. ولاحظ المحققون أن المهاجم استخدم على ما يبدو حسابًا مدفوعًا لدى مزود خدمات بلوك تشين للبحث عن عناوين المصدر وإجراء أنشطة ذات صلة أثناء عمليات مسح المحافظ.
ثم تواصل بلوك مع مزود الخدمة وقارن النشاط المشتبه به بسجلاته الداخلية. وقال غاريت إن السجلات تطابقت مع عدد الطلبات وتوقيتها وتسلسلها بدقة متناهية.
"استخدم المشغل حسابًا مدفوعًا لدى مزود خدمات بلوك تشين معروف للاستعلام عن عناوين المصدر والقيام بأنشطة أخرى ذات صلة."
أعلنت شركة بلوك أنها قدمت المعلومات ذات الصلة إلى السلطات. كما أكدت عدم وجود أي دليل على مشاركة المزود أو تسهيله للسرقة عن علم. ويكتسب هذا الاكتشاف أهمية بالغة لأن معاملات البلوك تشين عادةً ما تزود المحققين بعناوين المحافظ بدلاً من الأسماء. وقد يوفر حساب الخدمة المدفوعة سجلات إضافية تساعد في ربط مشغل البلوك تشين بهوية حقيقية. ومع ذلك، لم يتم الكشف عن هوية المزود أو صاحب الحساب علنًا.
لم يتم تأكيد هوية المشتبه به من قبل مكتب التحقيقات الفيدرالي.
لا ينبغي تفسير تعليق ثورن بأن هوية المهاجم "قد تكون معروفة لدى جهات إنفاذ القانون" على أنه تأكيد على تحقيق مكتب التحقيقات الفيدرالي إنجازاً هاماً. فلم يصدر أي إعلان رسمي يؤكد أن المحققين قد حددوا هوية مشتبه به، أو ألقوا القبض عليه، أو وجهوا إليه تهماً جنائية، أو صادروا عملة البيتكوين المسروقة.
لا تزال أموال الموجة الأولى موجودة في عناوين مرتبطة بالمهاجم. وهذا يمنح المحققين أثراً واضحاً للمراقبة، لكنه لا يعني بالضرورة استرداد الأموال. وقد تُعقّد الهجمات اللاحقة التحقيق. وقد أفادت شركة "غالاكسي ريسيرش" بوجود أدلة على استغلال جهات متعددة لثغرة "كولدكارد"، حيث أظهرت بعض الموجات اللاحقة أنماط معاملات مختلفة عن الهجوم الأولي.
جاءت السرقة من خلل في جيل بذرة عمرها سنوات
أُتيحت هذه الهجمات بسبب ثغرة أمنية في عملية توليد عبارات الاسترداد الخاصة بشركة Coldcard. فقد تسبب تغيير في البرامج الثابتة أُدخل عام 2021 في استخدام الأجهزة المتأثرة لمسار عشوائية ضعيف عند توليد عبارات استرداد معينة للمحافظ. أدى ذلك إلى تقليل عدد المفاتيح الخاصة المحتملة بشكل كافٍ لتمكين المهاجمين من البحث في مساحة عبارات الاسترداد المعرضة للخطر وتحديد المحافظ التي تحتوي على عملات بيتكوين.
يُظهر سجل أمان Coinkite الآن البرامج الثابتة المتأثرة في العديد من منتجات Coldcard، ويؤكد إصلاح الثغرة الأمنية في الإصدارات اللاحقة. وقد شددت الشركة على أن تحديث البرنامج الثابت وحده لا يجعل عبارة الاسترداد الحالية المعرضة للخطر آمنة. على المستخدمين الذين تم إنشاء عبارات الاسترداد الخاصة بهم في ظل ظروف متأثرة إنشاء عبارة استرداد جديدة باستخدام برنامج ثابت مُصحح وتحويل أموالهم. ويُحذر بيان Coinkite تحديدًا المستخدمين الذين أنشأوا عبارات استرداد على برنامج ثابت متأثر دون إجراء اختبارات كافية للتحقق من صحة هذه العبارات، ما يُشير إلى أنها مُعرضة للخطر.
قد تتعرض المزيد من عملة البيتكوين للخطر
لا يقتصر التحقيق على مبلغ 1,082.65 بيتكوين الذي تم الاستيلاء عليه خلال الموجة الأولى. فقد أفادت شركة "غالاكسي ريسيرش" أن المهاجمين بدأوا باستنزاف محافظ "كولدكارد" المعرضة للاختراق على عدة موجات بعد 30 يوليو، حيث بلغت الخسائر حوالي 130 مليون دولار بحلول أوائل أغسطس. ويعتقد الباحثون أن عدة مهاجمين ربما استغلوا نفس الثغرة الأمنية بشكل مستقل. وهذا يعني أن تحديد هوية المهاجم الأول لن يحل بالضرورة جميع عمليات السرقة المرتبطة بهذه الثغرة.
كما يُعرّض هذا الأمر المستخدمين الذين لديهم عبارات استعادة قديمة لبطاقة Coldcard لخطرٍ مُلحّ. فقد كان هذا الخلل موجودًا لسنوات قبل اكتشافه، ما يعني أن بعض المحافظ الإلكترونية المُعرّضة للخطر قد تبقى مُعرّضة للاختراق حتى وإن لم يتم استهدافها بعد.
ماذا سيحدث بعد ذلك
قد يصبح حساب بيانات البلوك تشين المدفوع أحد أهم الأدلة في التحقيق إذا أمكن ربط سجلاته بالشخص الذي يتحكم في عملة البيتكوين المسروقة.
في الوقت الراهن، لا تزال القضية قيد التحقيق وليست مؤكدة من قبل مكتب التحقيقات الفيدرالي. وسيكون من المهم متابعة تحركات مبلغ 1,082.65 بيتكوين، وأي إعلان من جهات إنفاذ القانون، وأي إفصاحات إضافية من شركتي Block أو Galaxy. أما بالنسبة لمستخدمي Coldcard المتضررين، فالرسالة واضحة: تحديث الجهاز، وإنشاء عبارة استعادة جديدة، ونقل الأموال من أي محفظة قد تكون مخترقة. وتواصل Coinkite نصح المستخدمين المتضررين بنقل أصولهم بدلاً من افتراض أن تحديث البرنامج الثابت يحمي عبارة الاستعادة الحالية.
خاتمة
أسفر تحقيق كولدكارد عن خيط مهم محتمل، إذ ربط الموجة الأولى من عمليات السرقة بنشاط على حساب بيانات مدفوع على سلسلة الكتل. وقد يساعد ذلك المحققين على سد الفجوة بين عناوين بيتكوين المجهولة ومشغل حقيقي.
لكن إلى أن يؤكد مكتب التحقيقات الفيدرالي أو أي جهة أخرى هوية المهاجم أو اعتقاله أو مصادرته، تبقى هويته غير مؤكدة. ولا يزال التحقيق جارياً، بينما يواصل الباحثون تتبع عملة البيتكوين المسروقة ومجموعة المحافظ الأوسع التي كشفتها ثغرة توليد عبارات Coldcard.
