المستخدمون الكنديون يمثلون 25% من الخسائر الناجمة عن استغلال ثغرة «كولدكارد»

التوزيع الجغرافي للخسائر

برز حاملو البيتكوين الكنديون باعتبارهم الفئة السكانية الأكبر المتضررة من الاستغلال المستمر لمحفظة Coldcard المادية، حيث تكبدوا 25% من إجمالي الخسائر المنسوبة إلى هذا الهجوم. ويشير المحللون إلى أن هذا التركيز الإقليمي الكبير يتوافق مع الحضور المحلي القوي لشركة Coinkite، الشركة الأم لـ Coldcard، والتي يقع مقرها الرئيسي في تورونتو.

ووفقًا للتتبع المرئي الذي أجرته شركة Chainalysis، تحتل أستراليا المرتبة الثانية بين الدول الأكثر تضررًا، حيث تمثل ما بين 15% و20% من إجمالي الخسائر. وفي الوقت نفسه، تأتي الولايات المتحدة وتايلاند في المرتبة التالية مباشرة، حيث تتراوح خسائرهما بين 10% و15%. ورغم أن الاختراق أثر بشكل أكبر على الدول الناطقة باللغة الإنجليزية والدول التي تبنت البيتكوين مبكرًا، فإن البيانات تسلط الضوء على تداعيات عالمية واسعة النطاق في جميع أنحاء أوروبا الغربية وأمريكا اللاتينية ومراكز العملات المشفرة الأفريقية الرئيسية مثل نيجيريا وجنوب أفريقيا.

بلغ إجمالي الأصول المسروقة جراء الحادث 116 مليون دولار. وفي تحليل للاختراق، حددت شركة «Galaxy Research» تحديثًا للبرمجيات الثابتة في مارس 2021 — وتحديدًا تطبيق مولد أرقام عشوائي جديد — باعتباره نقطة الفشل الوحيدة التي مكنت من تنفيذ الهجوم.

"كانت المشكلة أن التوصيلات تمت بشكل غير صحيح، مما أدى إلى استخدام مولد أضعف بشكل افتراضي. وقد فشل المولد بصمت ودون أي تحذير. لم يكن أحد يعلم أن مفاتيحه الخاصة يتم إنشاؤها باستخدام إنتروبيا منخفضة"، كما ذكرت شركة Galaxy Research. "وبعد خمس سنوات، استطاع أحد المهاجمين سرقة 70 مليون دولار من 1200 محفظة في غضون 41 دقيقة."

وفي شرحها لكيفية إغفال الفحوصات القياسية لهذا الخطأ لأكثر من خمس سنوات، كشفت ناتالي نيوسون، المحققة الأولى في مجال البلوكشين بشركة CertiK، أن السبب الجذري ينبع من خطأ تكوين محدد: حيث تم تعيين MICROPY_HW_ENABLE_RNG على الصفر.

وأوضحت نيوسون: «بالنسبة لآلية الحماية الثابتة التي تتحقق من #ifndef، فإن الماكرو الذي تم تعيينه على 0 لا يزال معرّفًا». «وقد أظهر فحص الأمان نتيجة صحيحة، مما أدى إلى تجاهل آلية الحماية #error والسماح لنظام البناء بالمضي قدمًا كما لو أن كل شيء قد تم تكوينه بشكل صحيح».

بروتوكولات الاستجابة للحوادث والإصلاح في حالات الطوارئ

لمنع حدوث حالات ارتداد صامتة مماثلة إلى العشوائية الزائفة للبرمجيات، حثت نيوسون الشركات المصنعة على إصلاح معاييرها المعمارية بشكل جذري. وأكدت قائلةً: «إن أقوى إجراء رقابي هو إزالة هذا الحل البديل من مرحلة الإنتاج والاعتماد على مزود واحد معتمد فقط لتوليد الأرقام العشوائية»، مشيرةً إلى أن المسار بأكمله بدءًا من الحصول على الإنتروبيا وصولاً إلى توليد البذرة يجب أن يقع بشكل صارم ضمن حدود التحقق المحددة في معيار NIST FIPS 140-3.

عند إدارة المخاطر التشغيلية المرتبطة بالإسراع في إصدار تصحيحات طارئة أثناء إجراء عمليات المسح الآلي النشطة، شددت نيوسون على أن الاستجابة للحوادث يجب أن تعطي الأولوية للتواصل مع المستخدمين إلى جانب الاختبارات الفنية.

وقالت نيوسون: «يجب أن تكون الأولوية هي الإبلاغ الفوري عن نطاق الثغرة الأمنية، وتحديد المستخدمين المتأثرين، وتقديم إرشادات واضحة للتخفيف من المخاطر مع التحقق الشامل من أي إصلاح قبل إصداره»، مضيفةً أن الشفافية لا تقل أهمية عن التصحيح نفسه.

بالنسبة للمستخدمين غير التقنيين الذين يمتلكون عبارات بذرة مخترقة ويخشون تعطل أجهزتهم نهائيًا أثناء تحديثات البرامج الثابتة الطارئة، أوصى نيوسون باتباع بروتوكول تصحيح صارم: أولًا، يجب على المستخدمين الحصول على محفظة أجهزة موثوقة، وإنشاء عبارة بذرة جديدة دون اتصال بالإنترنت، والتحقق من الإعداد من خلال معاملة تجريبية صغيرة. بعد ذلك، يجب عليهم تحويل جميع الأموال المتبقية إلى الإعداد الذي تم التحقق منه حديثًا قبل محاولة إجراء أي تحديثات للبرامج الثابتة على الجهاز الأصلي.

كما حث نيوسون المستخدمين على تجنب إنشاء نقطة فشل واحدة من خلال استخدام محافظ أجهزة من شركات مصنعة مختلفة لتوزيع المخاطر على حسابات متعددة.

نقطة تحول في روايات الحفظ الذاتي

ترك هذا الحادث صناعة الحفظ الذاتي ومؤيديها في مواجهة أسئلة جوهرية حول نماذج الأمان القياسية. ويشير النقاد إلى الاستنزاف المفاجئ للممتلكات الخاملة طويلة الأجل كدليل على أن التنفيذ دون اتصال بالإنترنت وحده لا يضمن الحماية المطلقة.

جادل ناناك نيهال خالسا، المؤسس المشارك في Human.tech، بأن الحادثة تسلط الضوء على الواقع المستمر لمخاطر الأطراف الثالثة داخل النظم البيئية للأجهزة.

"تغفل عبارة 'ليست مفاتيحك، ليست عملاتك' حقيقة مهمة: فأنت دائمًا ما تعهد بالثقة إلى طرف خارجي، حتى في حالة الحفظ الذاتي. وهذا يضيف دليلاً آخر على أن الحفظ الذاتي لا يغير من هذه الحقيقة شيئاً"، كما لاحظ خالسا، محذراً من أن نواقل التهديدات الناشئة مثل الاستغلالات المدعومة بالذكاء الاصطناعي ستؤدي على الأرجح إلى تفاقم هذه المخاطر.

وقد ردد نيوسون من CertiK هذه المخاوف بشأن إعدادات التوقيع الفردي، مشيرًا إلى أن التبني على نطاق واسع يتطلب أنظمة مصممة بحيث تتحمل الأعطال بشكل سلس، بحيث لا يؤدي خطأ واحد — سواء من جانب المستخدم أو المورد — إلى إهدار مدخرات المستخدم التي جمعها طوال حياته.

وقال نيوسون: «لا تتيح الحراسة الذاتية ذات التوقيع الفردي أي هامش للخطأ. فالمستخدمون الذين يعتمدون على جهاز واحد يضعون ثقتهم في الأجهزة المادية، والرمز البرمجي، وجميع تبعياته، فضلاً عن عمليات فحص ضمان الجودة للكشف عن أي مشكلات».

وبالتالي، يتجه الإجماع في القطاع نحو إعدادات متعددة الموردين، أو متعددة التوقيعات، أو التوقيع العتبي (MPC) كأساس ضروري.

واختتم نيوسون قائلاً: «نعم، يجب أن يكون هذا هو الأساس الافتراضي». "الهدف هو الانتقال من 'الثقة بجهاز واحد' إلى ضمان عدم تمكن أي مكون أو جهة فاعلة واحدة تم اختراقها من تحويل الأموال. من الناحية العملية، يجب أن تمتد مفاتيح التوقيع أو حصص العتبة عبر مجالات فشل تنظيمية وتكنولوجية مستقلة، بحيث لا يتمكن أي مزود من إعادة بناء المفتاح أو المصادقة على معاملة بمفرده."