מארה פותחת את Slipstream לציבור, בעוד שנפגעי Coldcard ממהרים להימלט

MARA מסירה את קודי הגישה

MARA Holdings, כורה הביטקוין וספקית תשתיות בינה מלאכותית (AI) הנסחרת בנאסד”ק, שבעבר נודעה בשם Marathon Digital, בנתה את שירות Slipstream כדי שאנשים יוכלו לשלוח עסקאות ביטקוין ישירות לבריכת הכרייה שלה במקום לשדר אותן לרשת הציבורית.

רוב עסקאות הביטקוין עוברות דרך חדר המתנה משותף שנקרא mempool, שבו כל צומת ברשת יכול לראות עסקה לפני שהיא מאושרת לתוך בלוק. Slipstream מדלג על חדר ההמתנה הזה. משתמש מגיש עסקה חתומה ישירות ל-MARA, והיא נשארת מוסתרת עד ש-MARA כורה בלוק שמכיל אותה.

ב-3 באוגוסט 2026, קרן MARA פרסמה את העדכון ב-X:

“MARA Slipstream is now available as a permissionless public good with no client code requirement. Please be careful and conservative with fees to avoid transactions getting stuck in the Slipstream mempool in the event that competitive rates spike. For the foreseeable future, we are not charging additional fees for this service, but users are responsible for paying appropriate Bitcoin transaction fees.”

הנקודה האחרונה חשובה. MARA לא מוסיפה תוספת מחיר משלה. המשתמשים עדיין משלמים עמלות רשת ביטקוין רגילות — הם פשוט שולחים את העסקה דרך ערוץ פרטי במקום הערוץ הפתוח.

פגם בארנק חומרה מכתיב את התזמון

התזמון אינו מקרי. בסוף יולי, חוקרים חשפו פגם חמור בארנקי החומרה Coldcard, שמקורו בשגיאת קידוד קושחה ממרץ 2021. במקום לשאוב אקראיות מהמחולל החומרתי הייעודי של המכשיר, דגמי Coldcard שנפגעו חזרו לתהליך תוכנה חלש יותר בעת יצירת ביטוי הזרע בן 24 המילים של הארנק. הטעות הזו הפחיתה את האקראיות האפקטיבית מ-128 ביט צפויים לכ-40 ביט בדגמים ישנים ול-72 ביט בדגמים חדשים יותר. פחות שילובים אפשריים פירושו שתוקף עם מספיק כוח מחשוב יכול לנחש את הזרע ולפתוח את הארנק.

האקרים ממהרים לרוקן ארנקים חלשים

התוקפים פעלו במהירות. ספירות מוקדמות העריכו סביב 594 BTC, קרוב ל-38 מיליון דולר באותה עת, שנמשכו מכ-500 כתובות. הערכות מאוחרות יותר העמידו את הסכום הכולל קרוב יותר ל-70 מיליון עד 88 מיליון דולר ככל שנחשפו ארנקים נוספים שנפרצו. נכון ל-4 באוגוסט, ההערכה היא כי ההאקרים גנבו לפי הערכה 1,816 BTC, בשווי כ-116 מיליון דולר, מיותר מ-5,200 ארנקים נפרדים.

תיקון קושחה מונע מארנקים חדשים לרשת את הפגם, אך אינו עושה דבר עבור ביטויי זרע שכבר נוצרו תחת הקוד התקול. כל מי שהגדיר Coldcard בשנים שבהן התקלה הייתה קיימת חייב להעביר את המטבעות שלו לארנק חדש.

העברת כספים בפומבי יוצרת מלכודת משלה

עבור אנשים המשתמשים בהגדרות ריבוי-חתימות (multi-signature), הנפוצות בקרב משתמשי Coldcard שמפצלים שליטה בכספים בין כמה מכשירים, עצם ההגירה נושאת סיכון. שידור עסקה בפומבי חושף את מפתחות הארנק ותנאי ההוצאה. תוקף שכבר מחזיק מפתח פרטי חלש תואם יכול לזהות את העסקה, לבנות עסקה מתחרה עם עמלה גבוהה יותר, ולהשתמש בתכונת רשת ביטקוין בשם Replace-by-Fee (RBF) כדי לעקוף בתור ולגנוב את הכספים לפני שהעסקה המקורית מאושרת.

Slipstream של MARA מסיר את חלון החשיפה הזה. מכיוון שהעסקה אינה נוגעת כלל ב-mempool הציבורי, התוקף אינו רואה את המפתחות או את פרטי ההוצאה עד ש-MARA כבר כרתה את המטבעות לתוך בלוק מאושר.

Slipstream קדמה למשבר בשנתיים

MARA השיקה לראשונה את Slipstream ב-22 בפברואר 2024, במטרה לסייע לעסקאות גדולות או חריגות שרבים מצמתי ביטקוין מסרבים להעביר תחת מדיניות סטנדרטית. המנכ”ל פרד ת’יל הציג זאת אז כדרך להעמיד את תשתיות הכרייה של MARA לרשות משתמשי ביטקוין מתקדמים תוך עמידה בכללי הפרוטוקול. הגישה דרשה בעבר קוד לקוח בתקופות של ביקוש גבוה או תחזוקה. הדרישה הזו הוסרה כעת.

המשתמשים עדיין נושאים בסיכון אמון ותזמון

Slipstream עדיין תלוי בכך ש-MARA תמצא בלוקים. עסקה יושבת בתור הפרטי של MARA עד שהבריכה כורה אחד, ולכן התזמון תלוי לחלוטין בנתח ה-hashrate הכולל של ביטקוין שבידי MARA.

בעת הפרסום, הבריכה של MARA מחזיקה ביותר מ-5% מה-hashpower המצטבר שמניע את ביטקוין. MARA אומרת למשתמשים לשמור על עמלות תחרותיות אך לא מופרזות, שכן עסקה שנתקעת בתור הפרטי שלה במהלך זינוק בעמלות עלולה להמתין זמן מה לפני שתאושר.

מה הלאה עבור מחזיקי Coldcard

קהילת הביטקוין הרחבה מתייחסת להשקה המחודשת של Slipstream לציבור ככלי מעשי למשבר אבטחה, ולא כשינוי קבוע באופן שבו רוב העסקאות אמורות לעבור. להעברות יומיומיות, ה-mempool הציבורי נותר המסלול הסטנדרטי. אבל עבור משתמשי Coldcard שעדיין מחזיקים מטבעות על זרעים שנפגעו, חוקרי אבטחה ומפתחי ארנקים מצביעים על Slipstream כאחת הדרכים האמינות יותר להעברת כספים מבלי להתריע תחילה לתוקפים.

עקבו אחר הערכות הפסד מעודכנות ככל שיצוצו כתובות נוספות שנפגעו, הנחיות נוספות מ-Coldcard לגבי אילו גרסאות קושחה וטווחי מספרים סידוריים מושפעים, והאם כורים אחרים ילכו בעקבות MARA ויציעו נתיב הגשה פרטי דומה.