ثغرة 'Ill Bloom' تستنزف 5 ملايين دولار من محافظ العملات المشفرة: هل أنت آمن؟

في 27 مايو الماضي، شهد عالم العملات المشفرة استنزافاً لأكثر من 5 ملايين دولار من محافظ رقمية بسبب ثغرة 'Ill Bloom' التي كشفت عنها شركة Coinspect. هذا الاختراق ليس مجرد حادثة منعزلة، بل هو تكرار مخيف لفشل أساسي في كيفية توليد عبارات الاسترداد، الكلمات السرية التي تتحكم في الأصول الرقمية. الثغرة أثرت بشكل خاص على المحافظ البرمجية القديمة وبعض إضافات المتصفح التي تعتمد على عشوائية ضعيفة، مما سمح للمهاجمين بتخمين العبارات وسحب الأموال.

كشفت Coinspect عن عملية سحب منسقة في التاريخ المذكور، استنزفت حوالي 3.1 مليون دولار من 431 محفظة. بعد ذلك، تم سرقة 2.1 مليون دولار إضافية من عملة USDT من محفظة مكشوفة، مما رفع إجمالي الخسائر المؤكدة إلى أكثر من 5 ملايين دولار. الشركة حذرت بوضوح: "إذا تحركت أموالك مؤخراً دون إذنك، فقد تكون هذه الثغرة هي السبب." هذا يكشف عن هشاشة خطيرة في قطاع يفترض الأمان المطلق.

التحليل التقني

يكمن الخلل في عملية إنشاء عبارة الاسترداد (Recovery Phrase) وهي سلسلة من 12 أو 24 كلمة عشوائية تسمح بالوصول الكامل للأموال في المحفظة، والمعروفة أيضاً بـ Seed Phrase. هذه الكلمات يفترض أن يتم اختيارها بشكل عشوائي تماماً من مجموعة ضخمة جداً، مما يجعل تخمينها مستحيلاً عملياً. لكن المحافظ المتأثرة استخدمت مولداً للأرقام العشوائية (Random Number Generator) ضعيفاً أثناء إنشاء العبارة.

قلص هذا الضعف من النطاق الهائل للعبارات المحتملة إلى نطاق يمكن للمهاجمين البحث فيه. Coinspect لم تنشر الحجم الدقيق لهذا النطاق المصغر. قامت الشركة بإعادة بناء الهجوم بالكامل، حيث عملت على جميع العبارات التي يمكن للمولد الضعيف إنتاجها، ثم استخلصت عناوين المحافظ المرتبطة بكل عبارة، وتحققت من سجلات البلوكتشين العامة للعثور على العناوين التي لا تزال تحتفظ بالأموال.

النتيجة هي قائمة مراقبة دقيقة للمحافظ التي ولدت بضعف أمني، بغض النظر عن التطبيق الذي أنشأها. حتى 30 يونيو، تعقبت Coinspect عدد 2,114 عنواناً مكشوفاً مع نشاط على سلاسل بلوكتشين متعددة، بما في ذلك:

• Bitcoin: تحمل النصيب الأكبر من الخسائر بحوالي 2.57 مليون دولار. عنوان بيتكوين واحد خسر أكثر من 1.1 مليون دولار لوحده.
• Ethereum
• Rootstock
• Tron
• Polygon

تمكن الباحثون من تحديد أن السحب كان منسقاً لأن مئات المحافظ غير المرتبطة أرسلت أرصدتها إلى عدد قليل من عناوين التجميع المشتركة في غضون ساعات قليلة. كما أظهرت سرقة 2.1 مليون دولار إضافية كيف تظل هذه المحافظ مكشوفة. Coinspect أشارت إلى أن المهاجم استولى بالفعل على عبارة استرداد أحد المالكين في هجوم 27 مايو، لكنه ترك عملات USDT على سلسلة أخرى. رصدت Coinspect هذه الأموال المعرضة للخطر في 10 يونيو وحاولت تحذير المالك عبر البورصات التي استخدمها العنوان، لكن التحذير لم يصل في الوقت المناسب. الشركة لم تستطع نقل الأموال للأمان، لأن "بمجرد اختراق عبارة الاسترداد، فإن حيازة المفتاح لم يعد يثبت الملكية المشروعة."

الباحثون يعتبرون هذه الخسائر مجرد "حد أدنى"، وليست "سقفاً". مجموعة العناوين المكشوفة نمت منذ تاريخ 30 يونيو، ليس بسبب إنشاء محافظ ضعيفة جديدة، بل لأنهم يكتشفون المزيد من عبارات الاسترداد الضعيفة عبر مسارات توليد أخرى. الأداة المدققة تعكس بالفعل القائمة الأكبر، والبحث مستمر. في ذروتها عام 2022، بلغت قيمة هذه المجموعة المعاد بناؤها 12.56 مليون دولار، رغم أن معظم هذه القيمة كانت قد تراجعت مع السوق قبل هجوم 27 مايو.

السياق وتأثير السوق

هذا الفشل ليس جديداً، بل هو تكرار لثغرات أمنية قديمة تحت أسماء جديدة. "Ill Bloom" سُميت بهذا الاسم نسبة إلى "illness blossom" أول عبارة ضعيفة ينتجها مولدها، تماماً مثلما سُميت "Milk Sad" عام 2023 نسبة إلى "milk sad". تلك الثغرة (CVE-2023-39910)، التي كانت في أداة سطر الأوامر Libbitcoin Explorer، سمحت بسحب ملايين الدولارات في هجوم واحد في يوليو 2023.

هناك ثغرة مماثلة (CVE-2023-31290) ضربت إضافة متصفح Trust Wallet في نفس العام، والتي كان يمكن اختراقها في أقل من يوم. ذات الفخ وقعت فيه "Randstorm"، وهي ثغرة ضعف العشوائية التي غطتها The Hacker News في 2023، والتي تركت محافظ بيتكوين التي تم إنشاؤها بين عامي 2011 و2015 عرضة للاختراق لأن أكواد المتصفح خلفها استخدمت أرقاماً عشوائية ضعيفة.

القاسم المشترك مروع: الفشل في توليد عشوائية قوية يؤدي إلى نفس النتيجة الكارثية. الرابحون هم دائماً المخترقون الذين يستغلون هذه الثغرات المتكررة، والمستخدمون الذين يتبعون الإرشادات الأمنية الصارمة باستخدام المحافظ الباردة (Hardware Wallets) أو المحافظ البرمجية التي تم التحقق من أمانها بشكل مستقل. أما الخاسرون فهم المستخدمون الأقل معرفة، والذين يعتمدون على تطبيقات قديمة أو غير موثوقة، والشركات التي تفشل في تطبيق معايير توليد العشوائية السليمة.

• Ill Bloom مقابل Milk Sad: كلاهما يستغل ضعف مولدات الأرقام العشوائية (RNG) في توليد عبارات الاسترداد للمحافظ المشفرة. Milk Sad استهدفت Libbitcoin Explorer، بينما Ill Bloom تستهدف فئات أوسع من المحافظ البرمجية القديمة وإضافات المتصفح.
• Ill Bloom مقابل Trust Wallet (CVE-2023-31290): كلاهما كشف عن نقاط ضعف حرجة في المحافظ البرمجية التي كان يعتقد أنها آمنة. اختراق Trust Wallet كان يمكن إنجازه في يوم واحد، مما يبرز سرعة استغلال هذه العيوب.
• التعرض الدائم للمحافظ القديمة: أظهرت Randstorm كيف أن المحافظ التي أنشئت منذ سنوات يمكن أن تظل ضعيفة إلى الأبد بسبب عيوب أساسية في لحظة إنشائها، وهو نفس السيناريو المتكرر مع Ill Bloom.

الحل كان ولا يزال هو نفسه: نقل الأموال إلى محفظة جديدة تم إنشاؤها ببرنامج أفضل. هذا الواقع يضع عبئاً كبيراً على المستخدم، حيث لا يكفي أن تبدو المحفظة آمنة أو تبدو الكلمات عشوائية؛ يجب التأكد من أن الآلة التي اختارتها كانت غير قابلة للتنبؤ.

رؤية Glitch4Techs

إن تكرار ثغرات مثل "Ill Bloom" يؤكد أن الأمن في فضاء العملات المشفرة لا يزال يعاني من فجوات خطيرة في أساسياته. فشل مولدات الأرقام العشوائية ليس عيباً معقداً؛ إنه إهمال هندسي فادح ومتكرر. لا يمكن للمستخدمين الاعتماد على افتراض الأمان في المحافظ البرمجية، خاصة تلك التي لا تخضع لتدقيق مستمر أو التي تعود لسنوات مضت.

يجب على أي مستخدم يمتلك أصولاً رقمية أن يفحص جميع محافظه القديمة بشكل عاجل عبر الأدوات المتاحة مثل illbloom.org. يجب نقل أي أموال من المحافظ المتأثرة فوراً إلى محفظة جديدة تماماً، ويفضل أن تكون محفظة أجهزة (Hardware Wallet) مع توليد عبارة استرداد جديدة على الجهاز نفسه. المحافظ البرمجية، خاصة إضافات المتصفح وتطبيقات الجوال الأقل شهرة، تشكل نقطة ضعف دائمة. الحل ليس ترقيعاً، بل هو إعادة بناء الثقة من الصفر أو اللجوء إلى حلول مادية أكثر تحصيناً. لا يمكن لأي مجتمع تقني أن ينمو ويصل إلى النضج مع استمرار هذا النوع من الفشل الأساسي.