مبيعات «تريزور» و«وانكي» و«بيت بوكس» تشهد ارتفاعًا حادًا في خضم أزمة «كولد كارد»؛ ونماذج الأمان تتطور

من بين 13 شركة مصنعة لمحافظ الأجهزة التي اتصلت بها Bitcoin.com News للتعليق، أكدت Trezor وBitbox وOnekey أن مبيعاتها قفزت في أغسطس. ورفضت Ledger التعليق على مبيعاتها الشهرية، في حين أن شركة Block، المصنعة لـ Bitkey المدرجة في البورصة، ملزمة بتقاريرها الفصلية.

ورغم أن أياً من الشركات لم تكشف عن الأرقام الدقيقة، إلا أن Bitbox كانت الأكثر تحديداً، حيث ذكرت أن مبيعاتها التي تتم عبر بطاقات الائتمان قفزت بنحو عشرة أضعاف مقارنة بالخط الأساسي في الأسابيع السابقة. ولا يشمل هذا المبيعات التي تمت عبر طرق دفع أخرى.

قال دوغلاس باكوم، الرئيس التنفيذي لشركة Bitbox، لموقع Bitcoin.com News: "لقد شهدنا طفرة في المبيعات، جاءت في الغالب من أمريكا الشمالية، حيث يُفترض أن Coldcard كان لها أكبر حضور هناك".

إشارة مشجعة للحفظ الذاتي

في غضون ذلك، قالت Trezor إنها شهدت أيضًا زيادة في المبيعات، لا سيما في مبيعات منتجاتها المخصصة للبيتكوين فقط. ورغم أن الشركة لم تحدد الأرقام، إلا أن رئيس قسم الأمن فيها، يان كوماريك، أشار إلى أن هذا الارتفاع يمثل علامة مشجعة لصناعة البيتكوين بأكملها.

"بالنسبة لنا، النقطة الأكثر إثارة للاهتمام هي ما يشير إليه ذلك: يبدو أن الأشخاص المتأثرين بموقف Coldcard بحثوا عن محفظة أجهزة أخرى بدلاً من التخلي عن الحفظ الذاتي،" ، مضيفًا أن هذا هو «الاستنتاج المشجع، وهو أن الاستجابة لهذه اللحظة الصعبة كانت الحفاظ على السيطرة على مفاتيحهم الخاصة، وليس التراجع عنها».

ومع ذلك، وفقًا لمحللي الصناعة، أرسل العديد من مستخدمي المحافظ المادية أموالهم إلى منصات تداول العملات المشفرة أو نقلوا رؤوس أموالهم إلى صناديق الاستثمار المتداولة (ETFs)، متخلين عن الحفظ الذاتي. وفي كلتا الحالتين، من غير الواضح حجم هذه الهجرة أو ما إذا كانت مجرد إجراء مؤقت قبل عودة المستخدمين إلى الحفظ الذاتي.

وأشارت شركة Onekey، رغم تسجيلها زيادة في المبيعات، إلى أن هذا قد يكون تأثر أيضًا بعوامل أخرى، بما في ذلك دورات المنتجات الفردية. ووفقًا للشركة، أثارت أزمة Coldcard نقاشًا أوسع بكثير حول مسائل أمن المحافظ المادية التي عادةً ما تكون غير مرئية للمستخدمين النهائيين، مثل إنشاء عبارة البذرة.

ومع ذلك، أدى استغلال ثغرة في البرنامج الثابت لـ Coldcard إلى إثارة نقاشات وإجراءات مماثلة، ليس فقط بين المستخدمين النهائيين، بل أيضًا بين مصنعي المحافظ المادية. أولًا، دفع الحادث الفرق إلى مراجعة نماذج الأمان الحالية لديها.

ما قامت به المحافظ بالفعل

قامت Trezor بمراجعة عملية توليد العبارة الأساسية الخاصة بها، وتحديدًا لمواجهة نمط الفشل الذي تم استغلاله في حالة Coldcard؛ وأجرت BitBox «مراجعة تفصيلية أخرى» لرمز مولد الأرقام العشوائية الخاص بها، في حين صرحت Onekey بأنها أجرت تحققًا إضافيًا شاملاً لمسارات الإنتروبيا وتوليد العبارة الأساسية عبر مجموعة محافظها المادية.

كما أفادت Bitcoin.com News، وبشكل منفصل وبعيدًا عن قضية Coldcard، كشفت BitBox عن أخطاء في برامجها الثابتة وأصلحتها في أغسطس الماضي. ولم يتم الإبلاغ عن أي استغلال لهذه الثغرات. وفي الوقت نفسه، في الشهر نفسه، كشفت Trezor أن ما يقرب من 14,000 من عملائها تأثروا بخرق للبيانات لدى أحد مزودي خدمات الشحن التابعين لـ Trezor.

في كلتا الحالتين، لا تزال المعركة الأمنية الرئيسية تنتظرنا، حيث تتكيف محافظ البيتكوين والأصول المشفرة الأخرى مع الواقع الجديد الذي فرضته الذكاء الاصطناعي.

نقطتان يجب التركيز عليهما

قال تشارلز غيلميت، المدير التقني لشركة Ledger: «يعمل المهاجمون بالفعل بسرعة الآلات، لذا علينا أن نفعل ذلك أيضًا لنبقى متقدمين عليهم»، مضيفًا أن الدفاع لا يزال يتحرك حاليًا بوتيرة أبطأ من المهاجمين. وعلى الأقل، وفقًا له، فإن الفترة الزمنية بين إصدار التصحيح واستغلاله في الهجمات آخذة في التقلص.

وأكد المدير التقني أن الشركات يجب أن تركز الآن على أمرين: تحسين الإفصاح وتثقيف المستخدمين.

وقال غيلميت لموقع Bitcoin.com News: «أولاً، يجب أن يتطور الإفصاح المسؤول من خلال إصدار تصحيحات أسرع، وجداول زمنية أقصر للإفصاح، واستراتيجيات انتقال تفترض أن المهاجمين الأكفاء المدعومين بالذكاء الاصطناعي هم جزء من نموذج الأمان وليس مجرد تحسينات اختيارية».

كما أن مساعدة الناس على فهم محافظ الأجهزة، حسب قوله، «ستكون أمرًا ضروريًا للحفاظ على أمن القطاع».

قم بتحديث حتى أجهزتك المنزلية

وفي السياق نفسه، حث مطورو محفظة Blockstream Jade، في «تأملاتهم حول تداعيات حادثة Coldcard»، مستخدمي المحافظ المادية على تحديث برامجهم باستمرار. أصدرت Blockstream Jade للتو تحديثًا للبرمجيات الثابتة يتضمن عددًا من الإصلاحات. ومع ذلك، وفقًا للفريق، إلى جانب المحافظ المادية، يجب على المستخدمين الحفاظ على تحديث تطبيقاتهم وأنظمة التشغيل وأجهزتهم وأجهزة التوجيه وحتى الأجهزة المنزلية.

وأكدوا أن «الحفاظ على الأمن عملية مستمرة، ويجب عليك كمستخدم المشاركة فيها أيضًا»، مضيفين أن خلل Coldcard كان «حالة مؤسفة لم يتمكن المستخدمون فيها من ضمان أمانهم من خلال تحديث» برامجهم والبرامج الثابتة.

وفي الوقت نفسه، أضافت شركة Onekey أن أمن المحافظ المادية يجب أن يُبنى على أساس الانتروبيا المدعومة بالأجهزة وتخزين المفاتيح، والبرامج مفتوحة المصدر القابلة للتحقق، والمراجعة الأمنية المستقلة، والفصل القوي بين المكونات الحيوية للأمن، والتحقق الواضح من المعاملات التي يجريها المستخدم.

وقالت الشركة المصنعة للمحفظة: "مع انخفاض تكلفة تحليل البرامج وأتمتة الهجمات بفضل الذكاء الاصطناعي، فإن الهدف هو التأكد من أن اكتشاف نقطة ضعف واحدة في التنفيذ لا يكفي لتعريض نموذج الأمان بأكمله للخطر".

خطط الأمان قصيرة ومتوسطة وطويلة الأجل

وتقوم الشركات نفسها بالفعل بتنفيذ تغييرات أمنية قصيرة ومتوسطة وطويلة الأجل. على سبيل المثال، تقوم Trezor، «استجابةً مباشرةً لنتائج Coldcard»، بإضافة «مزيد من اختبارات الصحة» على الإنتروبيا التي يُولدها الجهاز داخليًّا عند التحقق مما إذا كانت الإنتروبيا الخارجية تُستخدم بالفعل.

وقال كوماريك: «علاوة على ذلك، دفعتنا مراجعتنا إلى تعزيز اختباراتنا الداخلية وآليات الإنذار حول مولد الاختبار غير الآمن، وتوسيع نطاق الطريقة التي نتحقق بها من مسار استدعاء كل مصدر إنتروبيا على حدة»، مشيرًا إلى أن المولد غير الآمن موجود فقط لأغراض الاختبار الداخلي.

كما تعمل الشركة حالياً على دراسة التقارير الواردة من باحثي الأمن المستقلين، وتخطط على المدى المتوسط لإجراء اختبار اختراق جديد لميزات البرامج الثابتة الأساسية، تنفذه «وكالة أمنية خارجية مرموقة». ومن المقرر نشر تقارير التدقيق الأمني للجمهور.

وقال رئيس قسم الأمن: «على المدى الطويل، ينصب تركيزنا على البقاء في صدارة الهجمات التي تعتمد على الذكاء الاصطناعي بدلاً من مجرد الرد عليها»، حيث شددت شركات تصنيع المحافظ الأخرى أيضًا على أنها تستخدم بالفعل الذكاء الاصطناعي لمراجعة أكوادها البرمجية، إلى جانب برامج المكافآت.

وأضاف غيلميت من شركة Ledger: «يهدف مختبرنا البحثي Donjon (مختبر المخترقين الأخلاقيين) إلى محاولة اختراق منتجاتنا قبل أن يتمكن أي شخص آخر من ذلك، ونستخدم داخليًّا نماذج اللغة الكبيرة (LLMs) على نطاق واسع للبحث عن الثغرات الأمنية في منتجاتنا الخاصة».

وقالت شركة Onekey إنها تركز الآن على تعزيز مراجعة مسارات الكود الحساسة من الناحية الأمنية، وإصدارات البرامج الثابتة، وتوليد الانتروبيا، وتدفقات توقيع المعاملات، بينما سيكون تركيزها على المدى المتوسط على التحقق من المعاملات، في إشارة إلى حل Clear Signing، الذي يهم العديد من الأصول المشفرة الرئيسية بخلاف البيتكوين.

المسؤولية المشتركة والأخطاء الحرجة الجديدة

وفي الوقت نفسه، لعب باحثو الأمن في شركة «بلوك» (Block)، الشركة المصنعة لـ«بيتكي» (Bitkey)، دورًا أساسيًّا في مساعدة صناعة البيتكوين والمحافظ المادية خلال أزمة «كولدكارد» (Coldcard)، حيث تفاعلوا بنشاط مع المجتمع لمشاركة النتائج الحاسمة وتنسيق جهود الاستجابة.

وقالت الشركة لـ Bitcoin.com News: «لقد شاركنا النتائج التي توصلنا إليها بشفافية من خلال مناقشات X العامة والقنوات الخاصة على حد سواء، لأننا نعتقد أنه عندما تؤثر الثغرات الأمنية على النظام البيئي، تقع على عاتق جميع الشركات المصنعة مسؤولية التصرف بسرعة»، مضيفةً أن المحافظ المادية يجب أن تحتفظ بالسيطرة على نماذج الأمان الرئيسية.

أثناء كتابة هذا المقال، في 26 أغسطس، بدأت تتداول تقارير حول «خطأ فادح آخر لدى أحد كبار موردي المحافظ المادية». قال روب سيجرز، مستشار أمن البيتكوين ومؤسس Bitsaga، الذي اكتشف هذا الخطأ إلى جانب «عدة أخطاء أخرى شديدة الخطورة»، إن المورد الذي لم يُكشف عن اسمه أكد وجود هذه الأخطاء، «لكن الإصلاح موجود بالفعل في إصدار قادم».

ووفقًا لسيجرز، تم اكتشاف الخلل الخطير في «البرنامج الثابت الرسمي للأجهزة، لكنه يتطلب برنامج مضيف خبيث» لسرقة الأموال. وهذا يعني أنه يمكن استغلال الخلل إذا قام المستخدم، على سبيل المثال، بتنزيل محفظة مزيفة. أكد ماريك «سلوش» بالاتينوس، المؤسس المشارك لشركة «تريزور»، أن الخلل المبلغ عنه لا يتعلق بهذه المحفظة. وفي الوقت نفسه، أفاد سيجرز بأنه اكتشف خللين آخرين، مما أثار انتقادات له بتهمة إثارة الذعر.

حافظوا على سلامتكم.