ثغرة قديمة تهدد محافظ بيتكوين مجدداً
اتسعت الهجمات الإلكترونية التي تستهدف محافظ بيتكوين المرتبطة بأجهزة Coldcard المتأثرة بثغرة برمجية قديمة، بعدما كشفت موجة ثالثة من عمليات السحب غير المصرح بها عن استمرار استغلال مفاتيح خاصة ضعيفة جرى إنشاؤها قبل أكثر من خمس سنوات. وأظهرت أحدث البيانات أن عدد المحافظ المتضررة ارتفع إلى 4585 عنواناً، فيما بلغت الكميات المسروقة 1367 بيتكوين، بقيمة تقارب 89 مليون دولار وفق الأسعار الحالية، في واحدة من أكبر عمليات استغلال الثغرات التاريخية في محافظ العملات المشفرة.
وتشير التحليلات إلى أن المهاجمين لم يعودوا يركزون على المحافظ ذات الأرصدة الكبيرة فقط، بل بدأوا في الانتقال تدريجياً إلى المحافظ الأصغر، في محاولة لاستنزاف ما تبقى من المفاتيح القابلة للاختراق. كما أظهرت الهجمات الأخيرة تطوراً ملحوظاً في أساليب التنفيذ، بما يعكس قدرة المهاجم على تعديل تكتيكاته لتفادي الرصد وإطالة أمد عملياته.
موجة جديدة
وبحسب شركة الأبحاث Galaxy Research، فقد شهدت الفترة بين ظهر الجمعة وصباح السبت بتوقيت غرينتش سحب نحو 208 بيتكوين من 1912 محفظة، بمتوسط يزيد قليلاً على 0.1 بيتكوين لكل محفظة، وهو انخفاض واضح مقارنة بالموجة الأولى التي وقعت في 30 يوليو، عندما تمكن المهاجم من الاستيلاء على 1083 بيتكوين من 1196 محفظة خلال نحو 41 دقيقة فقط، وبمتوسط اقترب من بيتكوين كامل لكل ضحية.
ويرى محللون أن هذا التغير يعكس استنفاد جزء كبير من المحافظ مرتفعة الرصيد خلال الموجتين السابقتين، الأمر الذي دفع المهاجم إلى توسيع نطاق البحث ليشمل محافظ أصغر حجماً، مع استمرار تحقيق مكاسب مالية مجزية نتيجة العدد الكبير من المحافظ الضعيفة.
كما توحي وتيرة السحوبات بأن المهاجم لا يزال يمتلك قاعدة بيانات واسعة من المفاتيح المحتملة، ويواصل اختبارها بصورة منهجية، ما يزيد احتمالات استمرار الهجمات خلال الفترة المقبلة.
تغيير الأساليب
ورصد الباحثون تحولاً واضحاً في طريقة تنفيذ الهجمات خلال الموجة الثالثة، إذ لم تعد العملات المسروقة تُجمع في عدد محدود من العناوين كما حدث في البداية، بل أصبحت تُحوَّل إلى عنوان مستقل لكل ضحية، في خطوة يُعتقد أنها تهدف إلى تعقيد عمليات التتبع والتحليل على شبكات البلوك تشين.
كما استخدم المهاجم مخرجات من نوع Pay-to-Witness-Script-Hash (P2WSH)، وهي تقنية تسمح بإضافة شروط أكثر تعقيداً لإدارة الأموال، مثل المحافظ متعددة التوقيع أو القيود الزمنية، بدلاً من الاعتماد على العناوين التقليدية ذات المفتاح الواحد.
وأظهرت التحليلات أيضاً أن كل عملية سحب باتت تجمع أموال نحو ستة ضحايا في المتوسط، مقارنة باستهداف محفظة واحدة فقط في كل معاملة خلال الموجة الأولى، إلى جانب الاكتفاء بالبحث في مسار الاشتقاق الافتراضي للمحافظ، بدلاً من اختبار عدة مسارات كما كان يحدث سابقاً، وهو ما يشير إلى تحسين كفاءة الهجوم وتقليل الوقت اللازم لتنفيذه.
ثغرة قديمة
وتعود جذور المشكلة إلى إصدار من البرمجيات الثابتة لأجهزة Coldcard صدر في مارس 2021، عندما تسبب خلل برمجي في إنشاء العبارات السرية باستخدام مولد أرقام عشوائية برمجي يمكن التنبؤ بنتائجه، بدلاً من الاعتماد على مولد العشوائية المدمج في مكونات الجهاز.
وأدى هذا الخلل إلى تقليص عدد المفاتيح الخاصة المحتملة بصورة كبيرة، ما أتاح للمهاجمين إعادة توليدها خارجياً باستخدام قدرات حوسبة متقدمة، من دون الحاجة إلى الوصول الفعلي إلى الأجهزة أو اختراقها مباشرة.
ورغم أن الشركة المطورة عالجت المشكلة منذ سنوات، فإن المحافظ التي أنشئت خلال فترة وجود الثغرة وظلت تعتمد على المفاتيح القديمة بقيت معرضة للاستغلال، وهو ما يفسر ظهور هذه الهجمات بعد مرور عدة سنوات على اكتشاف الخلل.
مخاطر مستمرة
ولا تزال شركة Galaxy Research غير قادرة على الجزم بما إذا كانت الموجات الثلاث نفذها المهاجم نفسه بعد تعديل أساليبه، أم أن أكثر من جهة تمكنت من استغلال الثغرة بصورة مستقلة. إلا أنها ترجح أن كل موجة صدرت عن مشغل واحد على الأقل، مع استمرار التحقيقات لتحديد العلاقة بين الهجمات المختلفة.
ويشير استمرار عمليات السحب لعدة أيام إلى أن المهاجم ما زال يبحث عن محافظ إضافية أنشئت باستخدام المفاتيح الضعيفة، وهو ما يزيد أهمية مراجعة المستخدمين لتاريخ محافظهم والتأكد من أنها لم تُنشأ خلال الفترة المتأثرة بالخلل البرمجي.
وتؤكد هذه الحادثة أن المخاطر في عالم الأصول الرقمية لا تقتصر على الهجمات المباشرة أو اختراق المنصات، بل قد تمتد إلى أخطاء برمجية قديمة تظل كامنة لسنوات قبل أن تُستغل على نطاق واسع. كما تسلط الضوء على أهمية تحديث البرمجيات ونقل الأصول إلى محافظ جديدة عند اكتشاف أي ثغرات أمنية، لأن الإبقاء على مفاتيح ضعيفة قد يترك المستخدمين عرضة لخسائر كبيرة حتى بعد مرور سنوات على إصلاح الخلل الأصلي.