به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از کوین‌دسک، یک اشکال فنی که از سال ۲۰۲۱ در کد نرم‌افزار کیف پول سخت‌افزاری کلدکارد پنهان مانده بود، به سرقت دست‌کم ۱۰۰ میلیون دلار بیت‌کوین از هزاران کاربر انجامیده است. شرکت تحقیقاتی گلکسی ریسرچ با اطمینان بالا اعلام کرد ۱٬۵۹۶ بیت‌کوین از حدود ۷٬۳۰۰ آدرس کیف پول برداشت شده است. این حادثه نشان می‌دهد حتی کیف پول‌های آفلاین که هرگز به اینترنت وصل نمی‌شوند نیز در برابر خطای طراحی ایمن نیستند و کاربران دارایی دیجیتال باید در انتخاب و بررسی ابزار نگهداری کلید خصوصی خود محتاط‌تر عمل کنند.
جاناتان گودمن، کارآفرین مقیم تورنتو، یکی از قربانیان این حمله بود. او دستگاه کلدکارد خود را هرگز به اینترنت وصل نکرده و آن را در یک صندوق امانات بانکی نگهداری می‌کرد؛ عبارت بازیابی کیف پول نیز در صندوق امانات دیگری و بدون اشتراک‌گذاری با هیچ‌کس ذخیره شده بود. با این حال، به گفته او در ۲۹ ژوئیه ۲۰۲۶ (۷ مرداد ۱۴۰۵) تمام موجودی کیف پول‌هایش خالی شد. گودمن میزان دارایی از دست‌رفته خود را ۱۸٫۲۵ بیت‌کوین معادل حدود ۱٫۱۷ میلیون دلار در زمان وقوع حمله اعلام کرد.
ریشه مشکل کجاست؟
بر خلاف تصور اولیه، آسیب‌پذیری در خود دستگاه کلدکارد نبود، بلکه در روش تولید عبارت بازیابی یا سید فریز قرار داشت که کلید دسترسی به دارایی کاربران را تشکیل می‌دهد. این اشکال در سال ۲۰۲۱ و همزمان با یک به‌روزرسانی بزرگ نرم‌افزاری وارد کد کلدکارد شد و با وجود انتشار عمومی کد منبع، تا امسال کشف نشد. الکس تورن، رئیس بخش تحقیقات گلکسی، در ۴ اوت ۲۰۲۶ (۱۳ مرداد ۱۴۰۵) برآورد کرد دست‌کم ۱۵ مهاجم جداگانه از این نقص سوءاستفاده کرده‌اند، بدون آن‌که نیازی به دسترسی فیزیکی به دستگاه قربانیان داشته باشند.
کیف پول سرد چیست و چرا کاربران به آن اعتماد می‌کنند؟
کیف پول‌های نرم‌افزاری یا گرم روی دستگاه‌های متصل به اینترنت اجرا می‌شوند و استفاده از آن‌ها ساده است، اما در صورت آلوده‌شدن دستگاه در معرض خطر قرار می‌گیرند. کیف پول‌های سخت‌افزاری یا سرد مانند کلدکارد، کلید خصوصی را روی دستگاهی جدا و بدون اتصال به اینترنت نگه می‌دارند و به همین دلیل هک از راه دور آن‌ها بسیار دشوارتر است. با این حال، امنیت این دستگاه‌ها به‌طور کامل به درستی فرآیند تولید کلید در همان لحظه ساخت آن وابسته است؛ اگر این فرآیند دچار خطا باشد، آفلاین‌بودن دستگاه دیگر تضمینی برای ایمنی به شمار نمی‌رود.
بابی گری، بنیان‌گذار پروژه تکسیت‌کوین، در این باره به کوین‌دسک گفت سامانه‌های بدون اتصال به شبکه کمک‌کننده هستند اما راه‌حل کاملی به شمار نمی‌روند و امنیت باید از همان لحظه تولید کلید آغاز شود و در تمام مراحل نگهداری دارایی ادامه یابد. این اظهارنظر بر نکته‌ای کلیدی تاکید دارد؛ باز بودن کد منبع یک محصول به‌تنهایی تضمینی برای بی‌عیب‌بودن آن نیست، مگر آن‌که کاربران و توسعه‌دهندگان مستقل آن را به‌طور مستمر بررسی کنند.
کوین‌کایت، شرکت سازنده کلدکارد، این کیف پول سخت‌افزاری را در سال ۲۰۱۷ معرفی کرد و آن را ارزان‌تر و مستقل‌تر از رقبای دارای اپلیکیشن اختصاصی توصیف کرد. این شرکت پیش‌تر در سال ۲۰۱۶ به‌دلیل هزینه‌های بالای اجرای یک سرویس کیف پول برخط، فعالیت آن بخش را متوقف کرده و به تولید سخت‌افزار روی آورده بود. نسخه ۴٫۰٫۰ نرم‌افزار کلدکارد که ریشه اشکال کنونی در آن قرار دارد، در سال ۲۰۲۱ با عنوان بازنویسی کامل کد منتشر شده بود.
نظرات کاربران