موجة ثالثة من السحوبات تستهدف محافظ "كولدكارد" الضعيفة مع انتقال المهاجم إلى الأرصدة الأصغر وتغيير أساليب جمع الأموال
اتسع نطاق الهجمات التي تستهدف محافظ بيتكوين المرتبطة بمفاتيح أنشئت عبر أجهزة "Coldcard" المتأثرة بثغرة قديمة، بعدما رصدت موجة ثالثة من عمليات الاستيلاء على المحافظ أدت إلى زيادة عدد الحسابات المتضررة إلى 4585 عنواناً وخسائر إجمالية بلغت 1367 بيتكوين، تعادل نحو 89 مليون دولار، وفقاً لما كشفته شركة الأبحاث "غالاكسي ريسيرش" (Galaxy Research).
وأظهرت البيانات أن المهاجم ركز هذه المرة على محافظ تحتوي على أرصدة أصغر بكثير مقارنة بالموجات السابقة، إذ جرى سحب نحو 208 بيتكوين من 1912 عنواناً بين ظهر الجمعة وصباح السبت بتوقيت غرينتش، بمتوسط يزيد قليلاً على 0.1 بيتكوين لكل ضحية.
وجاءت هذه الأرقام بعد الموجة الأولى التي انطلقت في 30 يوليو، عندما تمكن المهاجم من الاستيلاء على 1083 بيتكوين من 1196 حساب خلال 41 دقيقة فقط، بمتوسط اقترب من بيتكوين كامل لكل محفظة.
ورصدت "غالاكسي ريسيرش" تغيراً ملحوظاً في أسلوب التنفيذ خلال الموجة الثالثة، إذ باتت العملات المسروقة تُرسل إلى عناوين منفصلة لكل ضحية بدلاً من عدد محدود من عناوين التجميع المشتركة التي استخدمت سابقاً. كما نُقلت الأموال إلى مخرجات من نوع Pay-to-Witness-Script-Hash (P2WSH) القادرة على دعم شروط أكثر تعقيداً مثل التوقيع المتعدد أو القيود الزمنية، بدلاً من العناوين التقليدية أحادية المفتاح.
وأظهر التحليل كذلك أن المهاجم جمع في المتوسط أموال 6 ضحايا ضمن كل عملية سحب، مقارنة بالموجة الأولى التي كانت تستهدف ضحية واحدة في كل مرة، كما اقتصر البحث على مسار الاشتقاق الافتراضي للمحافظ بدلاً من اختبار عدة مسارات كما حدث في السابق.
ورجحت الشركة أن تكون هذه العمليات صادرة إما عن الجهة نفسها بعد تعديل أساليبها عقب كشف النشاط علناً، أو عن جهة أخرى تستغل الثغرة ذاتها بصورة مستقلة. وأكدت في الوقت نفسه أنها تعتبر كل موجة من الهجمات ناتجة عن مشغل واحد، لكنها لا تستطيع الربط بشكل قاطع بين الموجات الثلاث.
وتعود جذور المشكلة إلى إصدار من البرمجيات الثابتة لأجهزة Coldcard صدر في مارس 2021، حيث أدى خلل برمجي إلى توليد العبارات السرية باستخدام مولّد أرقام عشوائية برمجي يمكن التنبؤ بمخرجاته، بدلاً من الاعتماد على مولد العشوائية المدمج في العتاد.
وأتاح هذا الخطأ إنشاء مجموعة محدودة من المفاتيح الخاصة المحتملة، ما يسمح للمهاجمين بإعادة توليدها خارجياً باستخدام قدرات حوسبة كافية ومن دون الحاجة إلى الوصول الفعلي إلى الأجهزة المستهدفة.
واستمرت عمليات السحب المشبوهة لنحو ثلاثة أيام متواصلة حتى الآن، فيما تشير قيمة المبالغ المسروقة في الموجة الأخيرة إلى أن المحافظ الأكبر حجماً قد تكون استهدفت بالفعل، وأن المهاجم بات يتجه بشكل متزايد نحو المحافظ ذات الأرصدة الأصغر بحثاً عن ما تبقى من المفاتيح الضعيفة القابلة للاستغلال.
