خلل في توليد البذور لدى Coldcard: سحب أكثر من 100 مليون دولار من عملات BTC من آلاف المحافظ

ظل خلل توليد البذرة (seed) في Coldcard غير ملحوظ لسنوات، رغم أن المستخدمين كانوا يستطيعون فحص البرنامج الثابت العام (firmware). لاحقًا، تتبّعت أبحاث المشكلة إلى تغيير في firmware من مارس 2021 (v4.0.0)، استخدم أثناء إنشاء عبارة البذرة مولّدًا أضعف للَعَشوائية بدلًا من مصدر الإنتروبيا المخصص من العتاد (hardware) والذي كان من المفترض استخدامه. يُبلّغ المحققون عن سرقات تقارب 1,596–1,816 BTC (أكثر من 100 مليون دولار) من حوالي 5,200–7,300 عنوان. وتقول Coinkite إن بعض الأجهزة المتأثرة كان لديها إنتروبيا مُقدّرة بنحو ~72 بت بدل 128 بت المتوخاة، ما قلّص مساحة البحث عن الـ seed بشكل كبير. ويذكر فريق الأمان في Block أن مسار العشوائية المتأثر لم يقدّم أي عشوائية آمنة. أصدرت Coinkite firmware مُصلحًا للأجهزة Coldcard المتأثرة، لكن التحديث لا “يُحدّث” عبارات الاسترداد الموجودة. يجب على المستخدمين المتأثرين تثبيت التصحيح (patch)، وتوليد seed جديد تمامًا، ثم نقل الأموال إلى عناوين مشتقة من الـ seed المصححة. وقد أشار James O’Beirne إلى مشكلة العشوائية بعد تدقيق في مايو 2025، وربطها بـ libngu. بالنسبة للمتداولين، يعزز هذا العيب في توليد seed في Coldcard فكرة أن مخاطر جهة مصنّعة/متعاقد مقابل (counterparty/manufacturer risk) في الحفظ الذاتي تظهر أيضًا في مرحلة إنشاء المفاتيح. وهو ضربة على مستوى السمعة والتشغيل لثقة محافظ الأجهزة، لكن الحدث من غير المرجح أن يغيّر الأسس الجوهرية لبيتكوين.