المنشور

محافظ التخزين البارد لم تعد آمنة: ثغرة في برنامج Coldcard، وهجوم على سلسلة توريد Ledger — هل حقًا BTC الخاص بك ملك لك؟ أنفقت 1000 يوان على محفظة باردة، وظننت أن أصولك في أمان تام. خلال عام، حدثان أخبراك — حتى المحفظة الباردة قد تكون قنبلة موقوتة. القنبلة الأولى: Coldcard، لم تلمس الجهاز أبداً، وفقدت أموالك. في مارس 2021، أدخلت شركة Coinkite الكندية المصنعة لمحافظ الأجهزة خللاً قاتلاً في برنامج Coldcard: عند توليد العبارة الاستدلالية، لم يتم استدعاء شريحة العشوائية الحقيقية في الجهاز، بل استخدم مولد أرقام عشوائية زائف برمجي. ببساطة — ما تعتقده "عشوائي" ليس كذلك. المهاجمون لا يحتاجون حتى للمس جهازك أو الاتصال بالإنترنت، يمكنهم حساب عباراتك الاستدلالية رياضيًا وبشكل جماعي. وقع الهجوم الأول في 30 يوليو 2026. خلال 25 دقيقة، اختفى حوالي 594 BTC من 500 عنوان. هذا كان البداية. تلتها ثلاث موجات هجوم على الأقل، وأخيرًا تم تحويل أكثر من 1,816 BTC من أكثر من 5,200 عنوان، بخسائر تقدر بين 114 إلى 116 مليون دولار. أحد المستخدمين قال إن Coldcard الخاص به لم يتصل بالإنترنت أبدًا، وعبارته الاستدلالية لم تُسرّب، ومع ذلك سُرقت أصوله. رد Coinkite الرسمي كان جملة واحدة: كل العبارات الاستدلالية التي تم إنشاؤها منذ مارس 2021 تعتبر معرضة للتسريب. تحديث البرنامج لا ينفع — العبارات التي تم إنشاؤها بالفعل غير آمنة إلى الأبد، يجب عليك إنشاء عبارات جديدة ونقل الأصول. القنبلة الثانية: Ledger، قد تكون الأجهزة التي اشتريتها من الموزعين قد تم العبث بها. في 9 أكتوبر، شهد مستخدمو Ledger سرقات واسعة النطاق، بخسائر تجاوزت 86 مليون دولار، شملت إيثريوم، TRON، بيتكوين، ومئات المحافظ عبر سلاسل متعددة. الضحايا يشتركون في خاصية واحدة: جميعهم اشتروا الأجهزة من موزع CryptoBilis في جنوب شرق آسيا. كشف مارك كاربيلس، المدير التنفيذي السابق لـ Mt. Gox، بعد فتح جهاز Ledger من ماليزيا، عن وجود لوحة دارات إضافية داخل الجهاز تحتوي على وحدة LTE وeSIM. هذه اللوحة يمكنها قراءة الإشارات المرسلة إلى الشاشة، واعتراض العبارة الاستدلالية أثناء تهيئة الجهاز، ثم إرسالها عبر الشبكة الخلوية. كنت تعتقد أنه "موزع معتمد رسميًا"، لكن الجهاز تم فتحه، وتركيبه، والعبث به منذ لحظة خروجه من المصنع. الرسالة الأكثر إيلامًا: افتراضات أمان البنية التحتية لـ DeFi تنهار واحدة تلو الأخرى. تم سرقة 128 مليون دولار من Balancer، و292 مليون دولار من Kelp DAO، وانفصلت عملة Stream Finance الاصطناعية xUSD عن قيمتها، وانخفض إجمالي القيمة المحجوزة في Aave من 26 مليار إلى 14.2 مليار خلال 5 أيام. من بروتوكولات الإقراض إلى العملات الاصطناعية، ومن البورصات إلى محافظ الأجهزة الشخصية — كل حلقة كنت تعتقد أنها "آمنة" شهدت حوادث هذا العام. ماذا تفعل؟ ثلاث خطوات، قم بها اليوم. أولاً، اشترِ محافظ الأجهزة من القنوات الرسمية. لا تغتر بالأسعار الرخيصة من الموزعين، ولا تشتري من طرف ثالث. حادثة Ledger أظهرت أن هجوم سلسلة التوريد يكمن خلف كلمة "موزع معتمد". ثانيًا، مستخدمو Coldcard يجب أن يفحصوا فورًا. إذا أنشأت عبارة استدلالية على Coldcard بعد مارس 2021، أنشئ محفظة جديدة اليوم وانقل أصولك. العبارات القديمة غير آمنة إلى الأبد. ثالثًا، استخدم توقيع متعدد للأصول الكبيرة. المحافظ ذات التوقيع الواحد كانت الهدف الرئيسي لهجوم Coldcard. استخدم توقيع 2 من 3 مع مفاتيح استرداد Trezor Safe 7، Ledger Nano وCasa، إذا تعطل جهاز واحد، أصولك تبقى آمنة. لا تضع كل البيض في سلة واحدة — ولا تسلم المفتاح الخاص لجهاز واحد. 1011 علّمنا أن الرافعة المالية قد تقتل. هذا العام علّمنا — حتى المحفظة الباردة قد تخونك. في هذا السوق، العدو الوحيد للأمان هو حظك السيء. $BTC $ETH $ZEC #Ledger أكد أن جهازًا متورطًا تم زرع جهاز داخلي فيه