المنشور

محافظ التخزين البارد لم تعد آمنة: ثغرة في برنامج Coldcard وهجوم على سلسلة توريد Ledger — هل حقًا BTC الخاص بك ملك لك؟ أنفقت 1000 يوان لشراء محفظة باردة، وظننت أن أصولك في أمان تام. خلال عام واحد، حدثان يخبرانك — حتى المحفظة الباردة قد تكون قنبلة موقوتة. القنبلة الأولى: Coldcard، لم تلمس الجهاز أبداً، وفقدت أموالك. في مارس 2021، أدخلت شركة Coinkite الكندية المصنعة لمحافظ الأجهزة خللاً قاتلاً في برنامج Coldcard: عند توليد العبارات الاستعادية، لم يتم استدعاء شريحة العشوائية الحقيقية في الجهاز، بل استخدم مولد أرقام عشوائية زائف برمجي. ببساطة — ما تعتقده "عشوائي" ليس كذلك. المهاجم لا يحتاج حتى للمس جهازك أو الاتصال بالإنترنت، يمكنه حساب عباراتك الاستعادية رياضيًا وبشكل جماعي. وقع الهجوم الأول في 30 يوليو 2026. خلال 25 دقيقة، اختفى حوالي 594 BTC من 500 عنوان. هذا كان البداية. تلتها على الأقل ثلاث موجات هجوم أخرى، وأخيرًا تم تحويل أكثر من 1,816 BTC من أكثر من 5,200 عنوان، بخسائر تقدر بين 114 إلى 116 مليون دولار. قال أحد المستخدمين إن Coldcard الخاص به لم يتصل بالإنترنت أبدًا، وعباراته الاستعادية لم تُسرّب، ومع ذلك سُرقت أصوله. رد Coinkite الرسمي كان جملة واحدة: كل العبارات الاستعادية التي تم إنشاؤها منذ مارس 2021 يجب اعتبارها معرضة للتسريب. تحديث البرنامج لا ينفع — العبارات التي تم إنشاؤها بالفعل غير آمنة إلى الأبد، يجب عليك إنشاء عبارات جديدة ونقل الأصول. القنبلة الثانية: Ledger، قد تكون الأجهزة التي اشتريتها من الموزعين قد تم العبث بها. في 9 أكتوبر، شهد مستخدمو Ledger سرقات واسعة النطاق، بخسائر تجاوزت 86 مليون دولار، شملت إيثريوم، TRON، بيتكوين، ومئات المحافظ عبر سلاسل متعددة. كان هناك سمة مشتركة بين الضحايا: جميعهم اشتروا الأجهزة من موزع CryptoBilis في جنوب شرق آسيا. فكك مارك كاربلس، المدير التنفيذي السابق لـ Mt. Gox، جهاز Ledger من ماليزيا ووجد لوحة دارات إضافية داخل الجهاز تحتوي على وحدة LTE وeSIM. هذه اللوحة يمكنها قراءة الإشارات المرسلة إلى الشاشة، واعتراض العبارات الاستعادية أثناء تهيئة الجهاز، ثم إرسالها عبر الشبكة الخلوية. كنت تعتقد أنه "موزع معتمد رسميًا"، لكن الجهاز تم فتحه، تركيبه، والتلاعب به منذ لحظة خروجه من المصنع. الرسالة الأكثر إيلامًا: افتراضات أمان البنية التحتية لـ DeFi تنهار واحدة تلو الأخرى. تم سرقة Balancer بمبلغ 128 مليون دولار، وKelp DAO بمبلغ 292 مليون دولار، Stream Finance فقدت ربط الدولار الاصطناعي xUSD، وقيمة Aave المحجوزة انخفضت من 26 مليار إلى 14.2 مليار خلال 5 أيام. من بروتوكولات الإقراض إلى الدولار الاصطناعي، ومن البورصات إلى محافظ الأجهزة الشخصية — كل نقطة كنت تعتقد أنها "آمنة" شهدت حوادث خلال هذا العام. ماذا يجب أن تفعل؟ ثلاث خطوات، قم بها اليوم. أولاً، اشترِ محافظ الأجهزة من القنوات الرسمية. لا تغتر بالأسعار الرخيصة من الموزعين، ولا تشتري من طرف ثالث. حادثة Ledger أظهرت أن هجوم سلسلة التوريد يكمن خلف كلمة "موزع معتمد". ثانيًا، مستخدمو Coldcard يجب أن يفحصوا فورًا. إذا أنشأت عبارات استعادية على Coldcard بعد مارس 2021، أنشئ محفظة جديدة اليوم وانقل أصولك. العبارات القديمة غير آمنة إلى الأبد. ثالثًا، استخدم توقيع متعدد للأصول الكبيرة. المحفظة ذات التوقيع الواحد هي الهدف الرئيسي لهجوم Coldcard. استخدم Trezor Safe 7، Ledger Nano، ومفاتيح استرداد Casa لتكوين توقيع 2 من 3، إذا تعطل جهاز واحد، أصولك لا تزال آمنة. لا تضع كل البيض في سلة واحدة — ولا تسلم المفتاح الخاص لجهاز واحد. 1011 أخبرنا أن الرافعة المالية قد تقتل. هذا العام أخبرنا — حتى المحفظة الباردة قد تخونك. في هذا السوق، العدو الوحيد للأمان هو حظك. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入