Coldcard漏洞 تتفاقم، سُرقت أكثر من 1,000 عملة BTC
إخوتي، فلنقل شيئًا.
إذا كنت قد استخدمت Coldcard، فعلى الفور — لا تنزل للأسفل بعد — تحقّق الآن من إصدار البرنامج الثابت (firmware).
من 1:10 صباحًا إلى 1:51 صباحًا في 30 يوليو، 41 دقيقة.
تم تفريغ 1,196 عنوانًا.
1,082.65 عملة بيتكوين، أي نحو 70 مليون دولار، اختفت فجأة من محافظ Coldcard التي كانت مخزّنة داخل الخزائن ومقطوعة عن الإنترنت ولم تتحرّك منذ أشهر بل وربما سنوات.
لم يتم لمس الجهاز طوال الوقت.
حتى المهاجم لم يلمس محفظتك. محفظتك ربما تكون ملحومة داخل الخزنة، وربما مدفونة في القبو — لا فائدة.
قد تكون هذه أكثر سخرية في عام 2026.
ما أكبر نقطة بيع لمحافظ الأجهزة؟ — "لا تُلامس المفاتيح الخاصة الإنترنت أبدًا، عزلٌ فعلي، وأمان مطلق."
النتيجة؟ كانت الثغرة في سطر واحد من الكود في مارس 2021.
كان من المفترض أن يستدعي برنامج Coldcard الثابت مولّد الأرقام العشوائية الخاص بالمعدّات (hardware) لإنتاج عبارة الاستدلال (seed phrase). لكن فحصًا للبناء تحقق فقط من أن "الإعداد موجود"، ولم يتحقق من أن "الإعداد مفعّل" — لذا عاد النظام بهدوء إلى مولّد أرقام عشوائية برمجي.
وما هو بذرة هذا "العشوائي البرمجي"؟ رقم تسلسل الشريحة + سجل الساعة (clock register).
رقم التسلسل ثابت بيانات المصنع. وقيمة الساعة هي حالة زمن يمكن استنتاجها.
بمعنى آخر: كلمة مرور خزانتك تستخدم رقم المصنع مع الوقت الحالي.
كل ما يحتاجه المهاجم هو تشغيل الحصر (exhaustive search) على جهازه — مساحة البحث في Mk3 تساوي نحو 40 بت فقط، بينما كان من المفترض أن يكون البذرة الآمنة 128 بت. 40 بت، وبضعة دقائق على حاسوب حديث تكفي لحسابها.
تظنها حصنًا منيعًا، لكنها ورق مغلّف بالغراء. يجلس الهاكر في منزله يشرب القهوة، ويحسب مفاتيحك الخاصة.
والأشد إيلامًا: ليست مشكلة خرجت من "بعض الماركات الصغيرة" فحسب.
Coldcard هي واحدة من أكثر محافظ الأجهزة شهرةً وتقديرًا في مجتمع البيتكوين، "خيار المهووسين" و"رمز الإيمان بالحفظ الذاتي". ومع ذلك، كان Mk3 عرضة للإصابة من 4.0.1 إلى 4.1.9 بالكامل. ثم توسّعت الإعلانات — Mk4 وMk5 للإصدارات الأقل من 5.6.0، و Q أقل من 1.5.0 Q، كذلك ضمن نطاق التأثر.
كادت المنظومة أن تُصاب في معظم الخطوط.
اعتذر الرئيس التنفيذي Rodolfo Novak (NVK) يوم الجمعة، وقال إن الشركة تتحمّل كامل المسؤولية، مع الإقرار بأن عملية المراجعة الداخلية لم تكتشف المشكلة.
ثم قال جملة جعلت أرجاء الصناعة ترتجف — من المحتمل أن تكون هذه الثغرة قد اكتُشفت بواسطة الذكاء الاصطناعي.
Coinkite قبل أسابيع قليلة استخدم أحدث نموذج ذكاء اصطناعي لمسح كوده — ولم يجد شيئًا. أما الهاكر فاستخدم الأداة نفسها، فوجد.
المدافعون والمهاجمون يحملون السلاح نفسه، والفائز هو المهاجم.
والآن، السؤال الأكثر حسمًا يأتي —
"محافظ الأجهزة أكثر أمانًا من البورصات" — هل يستقيم هذا الاعتقاد؟
خلال السنوات الخمس الماضية، كل مرة تفشل بورصة وتفرّ أو تُخترق وتُسرق، قلنا لأنفسنا: لا بأس، لأننا نملك المفاتيح الخاصة بأنفسنا، إذًا نحن آمنون. اشترِ Coldcard، ولّد دون اتصال، وعزلٌ فعلي، ولا شيء يُفوّت.
النتيجة؟ خلل في سطر واحد يظهر تأثيره بعد خمس سنوات بشكل مُركّز. المال الذي تحفظه في محفظة باردة، مقابل الأموال الموجودة في البورصة ويتم سحبها عند الاختراق — النتيجة واحدة: اختفت.
قال مطور البيتكوين Peter Todd إن هذا أمر ظل يراود مخاوفه لسنوات. تشغيل محافظ الأجهزة التجارية لكودات، والمراجعات المستقلة التي يتعرض لها هذا الكود محدودة للغاية. أنت تثق في "الأجهزة" التي تعني في جوهرها أنك تثق بصندوق أسود مغلق المصدر، ولم يطلع عليه أحد تقريبًا أو يدقق فيه.
والأقسى: حتى لو صدّرت عبارة الاستدلال إلى محفظة أخرى، ستبقى الثغرة معك. لأن المشكلة لم تكن في الجهاز نفسه، بل في لحظة توليد عبارة الاستدلال.
"الحفظ الذاتي" لديك لم يعد ذاتيًا منذ لحظة إنشاء البذرة قبل خمس سنوات.
لنقل شيئًا مؤلمًا:
تظن أنك تحتفظ بالبيتكوين "بنفسك". في الواقع أنك تحتفظ بها "نيابةً عن الهاكرين" — فقط لأنهم لم يتذكروا الأمر اليوم لإحضارها.
خمس سنوات. تلك الـ 1,000+ BTC كانت مستلقية في عناوينهم، ومالكها يعتقد أنها آمنة تمامًا. كان الهاكر قادرًا على حسابها في أي وقت بعد مارس 2021، لكنهم اختاروا يوم 30 يوليو، وخلال 41 دقيقة أفرغوها بالكامل.
أنت تظلّ ساهرًا لتبحث عن أفضل طريقة لتخزين آمن — وسطر واحد يعيدك إلى نقطة الصفر.
فما العمل الآن؟
الخطوة الأولى: تحقق من إصدار برنامج Coldcard الثابت لديك. Mk3 من 4.0.1 إلى 4.1.9، وMk4/Mk5 الأقل من 5.6.0، و Q الأقل من 1.5.0 Q — طالما أنك ولّدت عبارة الاستدلال بهذه الإصدارات، فافترض تلقائيًا أن بياناتك مكشوفة.
الخطوة الثانية: حدّث البرنامج الثابت إلى أحدث إصدار — Mk3 4.2.0 فأعلى، Mk4/Mk5 5.6.0 فأعلى، و Q 1.5.0 Q فأعلى.
الخطوة الثالثة: تحديث البرنامج الثابت لا يعني إصلاح البذرة الحالية. تحتاج إلى استخدام الجهاز المحدّث لإعادة توليد عبارة استدلال جديدة بالكامل، وإنشاء عناوين جديدة، ثم نقل أصولك بالكامل.
الخطوة الرابعة: قبل النقل، نفّذ تحويل اختبار بمبلغ صغير. تأكد أنه ناجح ثم حوّل الرصيد.
إذا كنت قد استخدمت أثناء توليد البذرة أرقامًا عشوائية إضافية من النرد أو عبارة مرور BIP39، فتهانينا — على الأرجح أنك في مأمن. لكن Coinkite لا يزال ينصحك بإجراء عملية ترحيل.
أخيرًا سؤال للجميع:
إذا كان حتى Coldcard يمكن أن يصيبه مثل هذا الأمر — فهل محافظ الأجهزة الأخرى التي بيدك مطمئنة حقًا إلى هذا الحد؟ #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
إخوتي، فلنقل شيئًا.
إذا كنت قد استخدمت Coldcard، فعلى الفور — لا تنزل للأسفل بعد — تحقّق الآن من إصدار البرنامج الثابت (firmware).
من 1:10 صباحًا إلى 1:51 صباحًا في 30 يوليو، 41 دقيقة.
تم تفريغ 1,196 عنوانًا.
1,082.65 عملة بيتكوين، أي نحو 70 مليون دولار، اختفت فجأة من محافظ Coldcard التي كانت مخزّنة داخل الخزائن ومقطوعة عن الإنترنت ولم تتحرّك منذ أشهر بل وربما سنوات.
لم يتم لمس الجهاز طوال الوقت.
حتى المهاجم لم يلمس محفظتك. محفظتك ربما تكون ملحومة داخل الخزنة، وربما مدفونة في القبو — لا فائدة.
قد تكون هذه أكثر سخرية في عام 2026.
ما أكبر نقطة بيع لمحافظ الأجهزة؟ — "لا تُلامس المفاتيح الخاصة الإنترنت أبدًا، عزلٌ فعلي، وأمان مطلق."
النتيجة؟ كانت الثغرة في سطر واحد من الكود في مارس 2021.
كان من المفترض أن يستدعي برنامج Coldcard الثابت مولّد الأرقام العشوائية الخاص بالمعدّات (hardware) لإنتاج عبارة الاستدلال (seed phrase). لكن فحصًا للبناء تحقق فقط من أن "الإعداد موجود"، ولم يتحقق من أن "الإعداد مفعّل" — لذا عاد النظام بهدوء إلى مولّد أرقام عشوائية برمجي.
وما هو بذرة هذا "العشوائي البرمجي"؟ رقم تسلسل الشريحة + سجل الساعة (clock register).
رقم التسلسل ثابت بيانات المصنع. وقيمة الساعة هي حالة زمن يمكن استنتاجها.
بمعنى آخر: كلمة مرور خزانتك تستخدم رقم المصنع مع الوقت الحالي.
كل ما يحتاجه المهاجم هو تشغيل الحصر (exhaustive search) على جهازه — مساحة البحث في Mk3 تساوي نحو 40 بت فقط، بينما كان من المفترض أن يكون البذرة الآمنة 128 بت. 40 بت، وبضعة دقائق على حاسوب حديث تكفي لحسابها.
تظنها حصنًا منيعًا، لكنها ورق مغلّف بالغراء. يجلس الهاكر في منزله يشرب القهوة، ويحسب مفاتيحك الخاصة.
والأشد إيلامًا: ليست مشكلة خرجت من "بعض الماركات الصغيرة" فحسب.
Coldcard هي واحدة من أكثر محافظ الأجهزة شهرةً وتقديرًا في مجتمع البيتكوين، "خيار المهووسين" و"رمز الإيمان بالحفظ الذاتي". ومع ذلك، كان Mk3 عرضة للإصابة من 4.0.1 إلى 4.1.9 بالكامل. ثم توسّعت الإعلانات — Mk4 وMk5 للإصدارات الأقل من 5.6.0، و Q أقل من 1.5.0 Q، كذلك ضمن نطاق التأثر.
كادت المنظومة أن تُصاب في معظم الخطوط.
اعتذر الرئيس التنفيذي Rodolfo Novak (NVK) يوم الجمعة، وقال إن الشركة تتحمّل كامل المسؤولية، مع الإقرار بأن عملية المراجعة الداخلية لم تكتشف المشكلة.
ثم قال جملة جعلت أرجاء الصناعة ترتجف — من المحتمل أن تكون هذه الثغرة قد اكتُشفت بواسطة الذكاء الاصطناعي.
Coinkite قبل أسابيع قليلة استخدم أحدث نموذج ذكاء اصطناعي لمسح كوده — ولم يجد شيئًا. أما الهاكر فاستخدم الأداة نفسها، فوجد.
المدافعون والمهاجمون يحملون السلاح نفسه، والفائز هو المهاجم.
والآن، السؤال الأكثر حسمًا يأتي —
"محافظ الأجهزة أكثر أمانًا من البورصات" — هل يستقيم هذا الاعتقاد؟
خلال السنوات الخمس الماضية، كل مرة تفشل بورصة وتفرّ أو تُخترق وتُسرق، قلنا لأنفسنا: لا بأس، لأننا نملك المفاتيح الخاصة بأنفسنا، إذًا نحن آمنون. اشترِ Coldcard، ولّد دون اتصال، وعزلٌ فعلي، ولا شيء يُفوّت.
النتيجة؟ خلل في سطر واحد يظهر تأثيره بعد خمس سنوات بشكل مُركّز. المال الذي تحفظه في محفظة باردة، مقابل الأموال الموجودة في البورصة ويتم سحبها عند الاختراق — النتيجة واحدة: اختفت.
قال مطور البيتكوين Peter Todd إن هذا أمر ظل يراود مخاوفه لسنوات. تشغيل محافظ الأجهزة التجارية لكودات، والمراجعات المستقلة التي يتعرض لها هذا الكود محدودة للغاية. أنت تثق في "الأجهزة" التي تعني في جوهرها أنك تثق بصندوق أسود مغلق المصدر، ولم يطلع عليه أحد تقريبًا أو يدقق فيه.
والأقسى: حتى لو صدّرت عبارة الاستدلال إلى محفظة أخرى، ستبقى الثغرة معك. لأن المشكلة لم تكن في الجهاز نفسه، بل في لحظة توليد عبارة الاستدلال.
"الحفظ الذاتي" لديك لم يعد ذاتيًا منذ لحظة إنشاء البذرة قبل خمس سنوات.
لنقل شيئًا مؤلمًا:
تظن أنك تحتفظ بالبيتكوين "بنفسك". في الواقع أنك تحتفظ بها "نيابةً عن الهاكرين" — فقط لأنهم لم يتذكروا الأمر اليوم لإحضارها.
خمس سنوات. تلك الـ 1,000+ BTC كانت مستلقية في عناوينهم، ومالكها يعتقد أنها آمنة تمامًا. كان الهاكر قادرًا على حسابها في أي وقت بعد مارس 2021، لكنهم اختاروا يوم 30 يوليو، وخلال 41 دقيقة أفرغوها بالكامل.
أنت تظلّ ساهرًا لتبحث عن أفضل طريقة لتخزين آمن — وسطر واحد يعيدك إلى نقطة الصفر.
فما العمل الآن؟
الخطوة الأولى: تحقق من إصدار برنامج Coldcard الثابت لديك. Mk3 من 4.0.1 إلى 4.1.9، وMk4/Mk5 الأقل من 5.6.0، و Q الأقل من 1.5.0 Q — طالما أنك ولّدت عبارة الاستدلال بهذه الإصدارات، فافترض تلقائيًا أن بياناتك مكشوفة.
الخطوة الثانية: حدّث البرنامج الثابت إلى أحدث إصدار — Mk3 4.2.0 فأعلى، Mk4/Mk5 5.6.0 فأعلى، و Q 1.5.0 Q فأعلى.
الخطوة الثالثة: تحديث البرنامج الثابت لا يعني إصلاح البذرة الحالية. تحتاج إلى استخدام الجهاز المحدّث لإعادة توليد عبارة استدلال جديدة بالكامل، وإنشاء عناوين جديدة، ثم نقل أصولك بالكامل.
الخطوة الرابعة: قبل النقل، نفّذ تحويل اختبار بمبلغ صغير. تأكد أنه ناجح ثم حوّل الرصيد.
إذا كنت قد استخدمت أثناء توليد البذرة أرقامًا عشوائية إضافية من النرد أو عبارة مرور BIP39، فتهانينا — على الأرجح أنك في مأمن. لكن Coinkite لا يزال ينصحك بإجراء عملية ترحيل.
أخيرًا سؤال للجميع:
إذا كان حتى Coldcard يمكن أن يصيبه مثل هذا الأمر — فهل محافظ الأجهزة الأخرى التي بيدك مطمئنة حقًا إلى هذا الحد؟ #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
0
