قرصنة بلا اختراق.. سرقة 70 مليون دولار من محافظ بيتكوين "الآمنة"

ووفق تقرير صادر عن "Galaxy Research"، جرى سحب 1082.65 بيتكوين من 1196 محفظة تابعة لأجهزة "Coldcard" خلال 41 دقيقة فقط يوم 30 يوليو (تموز) عبر ست كتل على شبكة بيتكوين، فيما تشير البيانات إلى أن عمليات التحويل نُفذت على دفعات وليس بشكل متواصل.

وأشارت التقديرات الأولية إلى خسائر أقل، قبل أن تكشف التحليلات اللاحقة أن الأموال المسروقة موزعة على أربعة عناوين رقمية، ولم يتم تحريكها حتى الآن.

ولا تكمن خطورة الهجوم في حجم الأموال المسروقة فقط، إذ تعد الخسائر أقل من بعض أكبر عمليات الاختراق التي شهدها قطاع العملات المشفرة هذا العام، وإنما في الطريقة التي نُفذ بها الهجوم، إذ لم يحتج المهاجم إلى لمس الأجهزة أو اختراقها.

تحذيرات من تأخر أوروبا.. شركات تطالب بتسريع تنظيم العملات الرقمية - موقع 24دعت شركات ومؤسسات عاملة في مجال التمويل الرقمي الاتحاد الأوروبي إلى استثناء تقنيات السجلات الموزعة (DLT) من حزمة تشريعية جديدة، محذّرة من أن أوروبا قد تتخلف عن المنافسة مع الولايات المتحدة في هذا المجال سريع النمو.

إعادة بناء المفاتيح

عادةً ما تعتمد سرقة العملات المشفرة على الوصول إلى المفاتيح الخاصة، سواء عبر اختراق منصات التداول أو خداع المستخدمين أو سرقة بيانات من أجهزة متصلة بالإنترنت، لكن المحافظ الباردة صُممت أساساً لحماية المفاتيح عبر إبقائها داخل جهاز غير متصل بالشبكة.

وفي هذا الهجوم، لم تتم سرقة المفتاح، بل أعيد إنتاجه.

فعند إنشاء محفظة جديدة، يفترض أن يولد الجهاز رقماً عشوائياً ضخماً وغير قابل للتوقع يُعرف باسم "البذرة" (Seed)، وهي الأساس الذي تُشتق منه العناوين والمفاتيح الخاصة.

لكن التحقيقات أشارت إلى أن خللًا في إعدادات برمجيات أجهزة "Coldcard" أدى إلى تجاوز مولّد العشوائية المخصص، والاعتماد بدلًا من ذلك على بديل برمجي أضعف يعتمد على الرقم التسلسلي للشريحة وقيم مرتبطة بتوقيت الجهاز.

وأدى ذلك إلى تقليص مساحة الاحتمالات التي يمكن أن تنتج منها المفاتيح من نطاق هائل يستحيل البحث فيه عملياً، إلى نطاق يمكن للحواسيب اختباره.

وبحسب الباحثين، تمكن المهاجم من إنشاء ملايين الاحتمالات على أجهزته الخاصة، ثم اشتق العناوين التي تنتج عنها ومقارنتها بسجل معاملات بيتكوين العام، دون الحاجة إلى أي تفاعل مع أجهزة الضحايا.

الضحايا لا يستطيعون التأكد من تعرضهم للخطر

كما أظهر تحليل "Galaxy Research" أن المحافظ المتضررة لم تكن من نوع واحد فقط، إذ شملت ثلاثة أنماط مختلفة من عناوين بيتكوين، ما يشير إلى أن المهاجم لم يستهدف مستخدمين بعينهم، بل نفذ عملية بحث منهجية واسعة عن المحافظ المعرضة للخطر.

وحذرت الشركة من احتمال استمرار موجات جديدة من السرقة إذا لم ينقل أصحاب المحافظ المتأثرة أموالهم إلى محافظ آمنة.

كما أوضحت أن المستخدمين لا يملكون وسيلة مباشرة لاختبار ما إذا كانت "البذرة" الخاصة بمحافظهم تقع ضمن النطاق القابل لإعادة الإنشاء.

جدل حول الأجهزة المتأثرة

قالت شركة "Coinkite"، المصنعة لمحافظ "Coldcard"، إن مستخدمي أجهزة Mk3 يجب أن يكونوا على حذر، وأكدت أن الأجهزة الأحدث غير متأثرة، في حين أشارت تحليلات أخرى إلى احتمال شمول نماذج Mk2 وMk4 وQ وMk5 أيضاً إلى حين حسم التحقيقات التقنية.

وبينما نجح المهاجم في تنفيذ العملية، ترك وراءه أثراً قد يساعد في تعقبه. وقالت شركة Block إن منفذ الهجوم استخدم حساباً مدفوعاً لدى مزود معروف لخدمات بيانات البلوك تشين للاستعلام عن عناوين المحافظ قبل تنفيذ عمليات السحب.

وأفادت الشركة بأنها سلمت المعلومات إلى السلطات المختصة بعد رصد نمط متطابق بشكل لافت في عدد الطلبات وتوقيتها وتسلسلها.

ويعيد هذا الهجوم فتح النقاش حول مفهوم "التخزين البارد" للعملات المشفرة، إذ كان الاعتقاد السائد أن أمان المحافظ يعتمد على أن المفاتيح غير قابلة للوصول، لكن الحادثة أظهرت أن ضعف طريقة توليد المفتاح قد يكون أخطر من محاولة الوصول إليه.

وبات تأمين المفتاح، وفق خبراء الأمن الرقمي، نصف المشكلة فقط، أما ضمان أن المفتاح نفسه لم يكن ضعيفاً منذ لحظة إنشائه، فأصبح التحدي الأكبر.