اختراق Coldcard: سرقة 130 مليون دولار من محافظ التخزين الباردة

مقدمة تحليلية

بتاريخ 4 أغسطس 2026، أُبلغ عن سرقة تتجاوز 130 مليون دولار أمريكي من محافظ Coldcard، وهي أجهزة تخزين بارد للعملات المشفرة تنتجها شركة Coinkite. يستهدف الهجوم، الذي تنفذه ما لا يقل عن اثني عشر مجموعة قرصنة مختلفة، مالكي Bitcoin الذين يعتمدون على هذه المحافظ للحماية دون اتصال بالإنترنت. أشار تقرير Galaxy Research إلى وجود مجموعات متعددة من القراصنة، وقد أكد توم روبنسون، الشريك المؤسس والمدير العلمي لشركة Elliptic لمراقبة العملات المشفرة، دقة هذا التقدير. تعد هذه الحادثة أحدث حلقة ضمن سلسلة واسعة من الهجمات التي تستهدف العملات المشفرة هذا العام، حيث سجلت TRM Labs أكثر من 200 اختراق لشركات العملات المشفرة، بإجمالي خسائر تجاوزت 950 مليون دولار في النصف الأول من عام 2026.

يبرز اختراق Coldcard على وجه الخصوص كونه يستهدف منتجاً صُمم خصيصاً لتوفير أعلى مستويات الأمان من خلال الفصل التام عن الإنترنت.

التحليل التقني

تكمن خطورة اختراق Coldcard في استهدافه النقطة المحورية لادعاءات الأمان الخاصة بها: آلية توليد عبارات البذور (Seed Phrases). المحافظ الباردة مثل Coldcard مخصصة لتخزين المفتاح السري أو عبارة البذور – وهي جوهر كلمة المرور – للوصول إلى العملات المشفرة دون اتصال بالإنترنت. تُبقي هذه الأجهزة المفاتيح بعيدة عن أي اتصال شبكي، بينما تبقى عملات Bitcoin نفسها على سلسلة الكتل. هذا التمييز بين المحافظ "الباردة" (Cold Wallets) وغير المتصلة بالإنترنت، والمحافظ "الساخنة" (Hot Wallets) المتصلة بالإنترنت مثل تطبيقات الجوال وإضافات المتصفح وحسابات التداول على منصات مثل Binance أو Coinbase، كان حجر الزاوية في استراتيجية الأمن الرقمي للكثيرين.

آلية الاستغلال: عيوب توليد المفاتيح

اكتشف القراصنة ثغرة في كيفية توليد محافظ Coldcard لعبارات بذور المستخدمين، مما جعلها قابلة للتنبؤ. وفقاً لباحثي الأمن في Block، كان هناك "predictable RNG fallback and 32-bit reseed in Coldcard firmware". لم يتطلب هذا الهجوم اختراقاً مادياً للجهاز أو الوصول إلى بيئة المستخدم، بل استغل عيباً في الشيفرة الأصلية لتوليد المفاتيح. ببساطة، تمكن القراصنة من "صناعة المفاتيح على نطاق واسع" بدلاً من محاولة كسر الخزنة التي تحتويها.

هذا يعني أنهم لم يحتاجوا إلى الوصول إلى الجهاز نفسه أو إلى عبارة البذور المخزنة، بل أعادوا توليدها بناءً على الثغرة.

شهادة المستخدم وتصرف الشركة

تجسدت الكارثة في تجربة جوناثان غودمان، الذي فقد 1.6 مليون دولار من محفظته Coldcard. كتب غودمان على منصة X: "ربما أصعب جزء في هذا هو أنني فعلت كل شيء صحيحاً. لم أشارك عبارة البذور الخاصة بي مع أي شخص. أجهزتي لم تلمس الإنترنت قط.

كل شيء كان محفوظاً في خزائن متعددة وصناديق ودائع آمنة." وأضاف: "لم يهم أي من ذلك. كل ذلك لأن الجهاز الذي أنشأ عبارة البذور في الأصل كان به سطر واحد في شيفرته من عام 2021 يحمل ثغرة أمنية." من جانبها، أصدرت Coinkite إشعاراً تحذيرياً للمستخدمين يوم الخميس، ثم تحديثاً يوم السبت، حثت فيه على تحديث الأجهزة و"الترحيل" إلى عبارة بذور جديدة، لكنها لم تستجب لطلب TechCrunch للتعليق.

السياق وتأثير السوق

لطالما استندت جاذبية محافظ التخزين البارد مثل Coldcard إلى فكرة أنها تمثل حصناً منيعاً ضد الهجمات الرقمية، كونها معزولة عن الإنترنت. كان هذا النوع من المحافظ يُعَد المعيار الذهبي لأمن العملات المشفرة، متفوقاً نظرياً على المحافظ "الساخنة" المتصلة بالإنترنت والتي تُعتبر عرضة بشكل أكبر للاختراقات بسبب اتصالها المستمر بالشبكة. إلا أن هذه الحادثة تنسف جزءاً كبيراً من هذا المنطق الأساسي.

تحول في موازين الأمن

ما حدث في Coldcard لا يتعلق بثغرة في بنية الشبكة أو استغلال ضعف في البروتوكولات المتصلة بالإنترنت، بل يعود إلى عيب جوهري في عملية التوليد الداخلية للمفاتيح ضمن الجهاز نفسه. هذا يقلب المفهوم التقليدي بأن التخزين "البارد" وحده كافٍ لضمان الأمان، ويشير إلى أن الثقة يجب أن تُمنح ليس فقط لحالة الاتصال، بل لسلامة التنفيذ البرمجي والعتادي للجهاز. قبل هذا الاختراق، كانت المحافظ الباردة تُقارَن مباشرة بالمحافظ الساخنة في منصات مثل Binance أو Coinbase، حيث كانت مخاطر الأخيرة تنبع من تعرضها المستمر للإنترنت. اليوم، يظهر أن المحافظ الباردة ليست بمنأى عن عيوب التصميم الحرجة.

تداعيات على الثقة بالسوق

تضيف سرقة 130 مليون دولار من Coldcard إلى إحصائيات TRM Labs التي أفادت بخسارة أكثر من 950 مليون دولار من العملات المشفرة في أكثر من 200 عملية اختراق خلال النصف الأول من عام 2026. لكن الأثر هنا أعمق، فهو يمس جوهر الثقة في أحد الركائز الأساسية لأمان العملات المشفرة. إنه يحوّل النقاش من "هل بياناتي آمنة على الإنترنت؟" إلى "هل بياناتي آمنة حتى عندما تكون غير متصلة بالإنترنت؟". هذا يمثل تحدياً مباشراً لمكانة Coldcard نفسها، ويدعو إلى إعادة تقييم شاملة لمعايير التدقيق والأمان للمنتجات التي تعتمد على الفصل الشبكي كضمان أمني أساسي.

رؤية Glitch4Techs

فشل Coldcard هذا ليس مجرد حادث أمني مؤسف، بل هو دليل دامغ على قصور تصميمي كارثي يطعن في مفهوم "الأمان دون اتصال بالإنترنت" ذاته. إن الاعتماد على "predictable RNG fallback and 32-bit reseed" لتوليد المفاتيح في شيفرة من عام 2021 ليس خطأً، بل هو إهمال هندسي لا يغتفر. لقد أثبتت هذه الثغرة أن العزل المادي وحده لا يكفي إذا كانت البنية التحتية الأساسية لتوليد الأرقام العشوائية معيبة بشكل أساسي. الحكم واضح: لم تكن Coldcard آمنة قط بالقدر الذي ادعت، وكان مصير 130 مليون دولار وملايين المستخدمين رهناً بسطر شيفرة معيب.