كشفت مجموعة أمنية تطوعية تُدعى «فريق بيتكوين الأحمر» عن 4,962 ثغرة أمنية، منها 85 ثغرة خطيرة، في 390 مشروعًا مفتوح المصدر متعلقًا ببيتكوين، وذلك خلال فترة امتدت 27 ساعة عقب اختراق «كولدكارد».
فريق «بيتكوين ريد تيم» يكتشف 4,962 ثغرة أمنية عقب اختراق «كولدكارد»
بقلم
مشاركة
النقاط الرئيسية
- سجل فريق «بيتكوين ريد تيم» 4,962 اكتشافًا عبر 390 مستودعًا في غضون 27.5 ساعة.
- قامت منظمة «أوبنساتس» (Opensats) بتمويل عملية التدقيق بمبلغ يقارب 40,000 دولار، حيث قام 16 باحثًا بدمج أدوات الذكاء الاصطناعي مع المراجعة اليدوية.
- استحوذت أدوات الخصوصية و«كوينجوين» على النسبة الأكبر من الثغرات الخطيرة، حيث شكلت 24% من النتائج الحرجة.
رد على استغلال ثغرة «كولدكارد»
أدى استغلال ثغرة محفظة Coldcard المادية إلى استنزاف عملات البيتكوين (BTC) من حامليها على المدى الطويل بعد ظهور خطأ في البرنامج الثابت يعود تاريخه إلى مارس 2021. وتجاوزت الخسائر 116 مليون دولار عبر أكثر من 1,800 بيتكوين تم سحبها من أكثر من 5,200 عنوان.
دفعت تلك الحادثة إلى إطلاق مبادرة تطوعية باسم «فريق بيتكوين الأحمر» (Bitcoin Red Team)، بقيادة مطور البيتكوين كالي (Calle) إلى جانب روب هاميلتون، الرئيس التنفيذي لشركة Anchorwatch المتخصصة في تأمين الحفظ الذاتي. وأطلقوا تدقيقًا طارئًا للنظام البيئي المفتوح المصدر للبيتكوين بشكل عام لاختبار ما إذا كانت المحافظ ومكتبات البرمجة الأخرى المستخدمة على نطاق واسع تعاني من نقاط ضعف مماثلة لتلك التي تسببت في خسارة مستخدمي Coldcard.
أمضى ستة عشر باحثًا أمنيًا 27.5 ساعة في فحص 390 مستودعًا مفتوح المصدر للبيتكوين، حيث جمعوا بين التحليل المدعوم بالذكاء الاصطناعي (AI) والمراجعة اليدوية. سجل الفريق ما مجموعه 4,962 اكتشافًا أمنيًا، بما في ذلك 85 اكتشافًا مصنفًا على أنه حرج و635 اكتشافًا مصنفًا على أنه شديد الخطورة (بمعدل يبلغ 2.31 اكتشافًا شديد الخطورة أو حرجًا لكل باحث في الساعة).
جاء تمويل هذه المبادرة من Opensats، وهي منظمة غير ربحية تدعم تطوير البيتكوين مفتوح المصدر، والتي ساهمت بما يقارب 40,000 دولار لدعم عمل الباحثين. ووصف كالي حالة أمن النظام البيئي بأنها «سيئة للغاية».
لاحظ المحللون الذين تابعوا عملية التدقيق في الوقت الفعلي أن حوالي واحد من كل خمسة اكتشافات فقط تم تكراره بشكل مستقل حتى الآن، مما يدل على أن العديد من المشكلات التي تم الإبلاغ عنها لا تزال بحاجة إلى تأكيد قبل أن يتمكن المطورون من التأكد من خطورتها في الواقع.
أين تتركز العيوب
شكلت أدوات الخصوصية و«كوينجوين» (Coinjoin) (وهي برامج مصممة لإخفاء أثر معاملات البيتكوين على السلسلة) أعلى نسبة من المشكلات الخطيرة، حيث شكلت 24% من النتائج الحرجة على الرغم من أنها تمثل حصة أصغر من إجمالي المشاريع التي تمت مراجعتها. على النقيض من ذلك، أنتجت مكتبات التشفير أكبر عدد إجمالي من النتائج عند 1,101 نتيجة، لكن نسبة منخفضة نسبيًا بلغت 10% منها صُنفت على أنها ذات خطورة عالية، مما يشير إلى أن الكود أكثر نضجًا بشكل عام على الرغم من أنه يخضع لأكبر قدر من التدقيق من قبل الباحثين.
لم تكن هناك مشكلات حرجة أو كانت قليلة في معظم المشاريع الـ 390 التي تمت مراجعتها؛ ويبدو أن الخطر الحقيقي يتركز في مجموعة أصغر من الأدوات التي تتولى إنشاء المفاتيح الخاصة والتوقيع والمعاملات التي تحافظ على الخصوصية، وهي نفس فئة البرامج التي كانت السبب الجذري لفشل «كولدكارد» الأصلي الذي أدى إلى بدء هذه الجهود برمتها.
ويكتسب توقيت الكشف عن هذه المشكلات أهمية خاصة، نظرًا لأن ثقافة الحفظ الذاتي للبيتكوين قضت الأسبوعين الماضيين في استيعاب حجم خسائر Coldcard، حيث شكل المستخدمون الكنديون وحدهم ما يقرب من ربع الأموال المسروقة.
الحاجة إلى تقييم المستقبل
لاحظ فريق «بيتكوين ريد تيم» أن التدقيق يمثل المرحلة الأولى من جهد مستمر وليس حدثًا لمرة واحدة، مع وجود خطط لمعالجة تراكم النتائج، وتأكيد الثغرات التي يمكن استغلالها فعليًا، وتنسيق الكشف المسؤول مع المشاريع المتضررة قبل الإعلان عن أي تفاصيل.
وبالنسبة لثقافة الحفظ الذاتي التي لا تزال تستوعب حجم خسائر Coldcard، فإن التدقيق يُعد دليلاً على أن الباحثين ذوي النوايا الحسنة يتحركون الآن بوتيرة أقرب إلى وتيرة المهاجمين.
تمت ترجمة هذه المقالة من الإنجليزية باستخدام الذكاء الاصطناعي. النسخة الإنجليزية الأصلية هي المصدر الموثوق؛ وقد تحتوي الترجمات الآلية على أخطاء، لا سيما في المصطلحات القانونية والتنظيمية.
