آیا می‌دانید یک دستگاه تقلبی یا یک سید ناامن می‌تواند تمام بیت کوین شما را در چند ثانیه از بین ببرد؟ هشدارهای اخیر درباره آسیب پذیری Coldcard و نسخه های جعلی آن، اهمیت خرید از فروشگاه معتبر را بیش از پیش روشن کرده است. امنیت دارایی دیجیتال شما با انتخاب درست فروشنده شروع می‌شود؛ همین حالا با خیال راحت خرید کنید.
تصور کنید سال ها بیت کوین خریده اید و آن را روی کیف پول سخت افزاری خود نگه داری می‌کنید؛ اما یک روز متوجه می‌شوید موجودی تان به کیف پول دیگری منتقل شده است. علت می‌تواند یک دستگاه جعلی، یک سید ناامن یا بکاپی باشد که بدون رمزنگاری نوشته شده است. هشدارهای اخیر درباره آسیب پذیری کولدکارد (Coldcard) و نسخه های تقلبی این دستگاه نشان می‌دهد که تهدید، دیگر صرفا یک سناریوی تئوریک نیست.
محققان امنیتی از کشف یک آسیب پذیری جدی در کیف پول سخت افزاری Coldcard خبر داده اند که به گفته آن‌ها با سرقت بیش از ۷۰ میلیون دلار بیت کوین تنها در ۴۱ دقیقه مرتبط است. این نقص، فرآیند تولید عبارت بازیابی (Seed Phrase) را هدف قرار می‌دهد و باعث می‌شود مهاجمان در شرایط خاص بتوانند Seed برخی کیف پول ها را بازسازی کنند.
در یکی از مهم ترین رخدادهای امنیتی حوزه رمزارز در سال ۲۰۲۶، پژوهشگران شرکت Block و تحلیلگران Galaxy Research اعلام کردند که مهاجمی ناشناس در تاریخ ۳۰ ژوئیه موفق شده است طی تنها ۴۱ دقیقه، دارایی های ۱٬۱۹۶ آدرس بیت کوین را تخلیه کند. مجموع دارایی سرقت شده ۱٬۰۸۲٫۶۵ بیت کوین بوده که در زمان وقوع حادثه ارزشی در حدود ۷۰٫۲ میلیون دلار داشته است. بررسی های اولیه نشان می‌دهد این حمله با یک نقص قدیمی در Firmware کیف پول سخت افزاری Coldcard، محصول شرکت کانادایی Coinkite، ارتباط دارد.
با وجود آنکه Galaxy Research توانسته مسیر انتقال بیت کوین های سرقت شده را روی بلاکچین ردیابی کند، تاکنون هیچ گروه یا فردی مسئولیت این حمله را بر عهده نگرفته است.
تحلیلگران همچنین تأکید کرده اند که الگوی انتقال دارایی ها تنها نشان دهنده رفتار یک مهاجم واحد است و به تنهایی ثابت نمی‌کند تمام این تراکنش ها ناشی از سرقت بوده‌اند؛ زیرا از نظر ظاهری، انتقال مالک قانونی نیز می‌تواند الگوی مشابهی ایجاد کند.
نکته مهم این است که با خرید دستگاه اصلی از فروشگاه معتبر، ارتقای فریم‌ور و رعایت اصول صحیح مدیریت سید، می‌توانید این ریسک را تقریبا نزدیک به صفر برسانید. در این راهنما دقیقا توضیح می‌دهیم چه اتفاقی افتاده، چه کسانی باید اقدام کنند و چگونه از دارایی خود محافظت کنید.
تورن از کاربران خواست فورا دارایی های خود را از دستگاه های آسیب پذیر Coldcard منتقل کنند و برای تراکنش های خود کارمزد بیشتری تعیین کنند.
او همچنین هشدار داد برخی تراکنش های در انتظار تایید، قابلیت Replace-by-Fee (RBF) را فعال دارند. این موضوع به قربانیان اجازه می‌دهد در صورتی که تراکنش مهاجم هنوز در حافظه موقت شبکه (Mempool) تایید نشده باشد، با پرداخت کارمزد بالاتر، تراکنش جدیدی ثبت کنند و شانس بازگرداندن بیت کوین های خود را افزایش دهند.
بر اساس گزارش منتشرشده، ریشه مشکل به یک خطای برنامه نویسی در نسخه Firmware منتشر شده در مارس ۲۰۲۱ بازمی‌گردد.
در حالت عادی، هنگام تولید Seed، دستگاه باید از مولد اعداد تصادفی سخت افزاری (Hardware Random Number Generator یا Hardware RNG) استفاده کند؛ اما به دلیل یک خطای پیکربندی، فرآیند تولید Seed به جای آن از یک مولد اعداد شبه تصادفی نرم افزاری (Pseudo Random Number Generator یا PRNG) استفاده کرده است.
این PRNG تنها با اطلاعاتی مانند:
مقداردهی اولیه می شده و پس از آن دیگر هیچ آنتروپی (Entropy) جدیدی دریافت نمی‌کرد.
در نتیجه، اگر مهاجم بتواند این اطلاعات اولیه را با دقت کافی تخمین بزند، قادر خواهد بود مجموعه ای از Seed های احتمالی را به‌صورت آفلاین تولید کرده و با مقایسه آن ها با آدرس های عمومی موجود روی بلاکچین، Seed صحیح را شناسایی کند.
Coldcard محصول شرکت کانادایی Coinkite است و به عنوان یکی از امن ترین کیف پول های سخت افزاری بیت کوین شناخته می‌شود؛ دستگاهی کاملا آفلاین که امضای تراکنش ها را بدون اتصال به کامپیوتر انجام می‌دهد.
با این حال، امنیت این دستگاه به دو شرط بستگی دارد: اصالت سخت افزار و امنیت سید (Seed) تولیدشده. هشدارهای رسمی Coinkite درباره دستگاه های تقلبی که در برخی بازارها فروخته می‌شوند، نشان داد که مهاجمان می‌توانند سید از پیش تولیدشده ای را در دستگاه قرار دهند و پس از اینکه کاربر بیت کوین واریز کرد، بلافاصله آن را خالی کنند. در این سناریو حتی فریم‌ویر اصیل هم نمی‌تواند کمکی بکند، چون تقلب در لایه سخت افزار و قبل از روشن شدن دستگاه رخ داده است.
جمع‌بندی: خود فناوری Coldcard همچنان در سطح بالایی از امنیت قرار دارد، اما مسیر خرید و راه‌اندازی دستگاه، حلقه‌ای است که باید با وسواس کنترل شود.
عبارت بازیابی (Seed Phrase)، مجموعه ای از ۱۲ یا ۲۴ کلمه است که کل مالکیت شما بر بیت کوین را تعریف می‌کند. هرکس این کلمات را داشته باشد، مالک دارایی است و هیچ بانک یا پشتیبانی امکان بازگرداندن آن را ندارد. سید ناامن معمولا در یکی از این حالت ها ظاهر می‌شود:
پیامد هر یک از این موارد یکسان است: انتقال کامل و غیرقابل برگشت دارایی به کیف پول مهاجم.
این تهدید همه کاربران را یکسان درگیر نمی‌کند، اما گروه های زیر باید فورا وضعیت خود را بررسی کنند:
اگر هنوز دستگاه ندارید یا می‌خواهید دستگاه خود را با خیال راحت تعویض کنید، می‌توانید از طریق صفحه خرید کیف پول سخت‌افزاری اصل و اورجینال در مجازی مارکت، دستگاهی را تهیه کنید که مستقیما از تولیدکننده رسمی خریداری شده و ضمانت اصالت دارد.
Coinkite برای مقابله با نسخه های تقلبی، ابزارهایی ارائه کرده است که هر خریدار باید پیش از انتقال هرگونه دارایی از آن ها استفاده کند:
برای کاربران Coldcard، اولویت فوری این است که راهنمای مهاجرت Coinkite را دنبال کنند اگر فکر می‌کنند کیف پول هایشان با میان افزار آسیب دیده ساخته شده‌اند.
در بلندمدت، دارندگان بیت کوین به‌طور کلی باید این ماجرا را به عنوان یک لحظه‌ی یادگیری ببینند؛ متخصصانی مثل تانگوما هم روی این نیاز تأکید می‌کنند که از معماری های طراحی ای پرهیز شود که هر شکستِ تک نفره‌ای می‌تواند وجوه را به خطر بیندازد. او می‌گوید:
امروز به صورت واقع بینانه می‌خواهید مولتی سیگ و آنتروپیِ تولیدشده به شکل مستقل داشته باشید راهکاری که واقعا مقیاس پذیر است، چیدمانی که در آن هیچ دستگاه، فروشنده یا نهادِ واحدی نتواند اشتباه کند و باعث از دست رفتن وجوه شود.
پس فعلا پاسخ این است: نه؛ همه کیف پول های سخت افزاری ناامن نیستند.
حادثه‌ی Coldcard یک شکست در یک پیاده سازی را افشا کرد، اما همچنین باعث شد سازندگان پرده را کنار بزنند و فرایندِ قلب خودحضانتی را نشان بدهند: تولید یک راز که هیچ کس دیگری نتواند پیش بینی اش کند.
پس از اطمینان از اصالت دستگاه، این چک‌لیست را به ترتیب اجرا کنید:
اگر هنوز دستگاه خود را از یک منبع نامطمئن خریده اید، بهترین تصمیم امروز شما این است که دارایی را به یک دستگاه اصلی و قابل اطمینان منتقل کنید. برای انتخاب و خرید کیف پول سخت‌افزاری با ضمانت اصالت می‌توانید همین حالا اقدام کنید و راهنمای کامل استفاده را در بلاگ و مقالات آموزشی مجازی مارکت دنبال کنید.
کولدکارد برای کاربران حرفه ای بیت کوین طراحی شده، اما انتخاب بهتر همیشه به نیاز شما بستگی دارد:
| ویژگی | Coldcard | Ledger | Trezor |
|---|---|---|---|
| پشتیبانی از شبکه‌ها | فقط بیت‌کوین | بیت‌کوین + صدها توکن | بیت‌کوین + توکن‌های متعدد |
| فریم‌ور | متن‌باز و قابل‌راستی‌آزمایی | مختصری (Closed Source) | متن‌باز |
| امضای تراکنش | کاملاً آفلاین با PSBT و کارت حافظه | اتصال USB یا بلوتوث | اتصال USB-C |
| ابزارهای ضداجبار | دارد (Duress و Countdown PIN) | فقط عبارت عبور | فقط عبارت عبور |
| درجه سختی یادگیری | زیاد | کم | متوسط |
اگر فقط بیت کوین نگهداری می‌کنید و حداکثر امنیت می‌خواهید، Coldcard گزینه ای بی رقیب است؛ اگر چند ارز مختلف دارید یا تازه کار هستید، مدل‌هایی مانند Ledger یا Trezor مناسب ترند. در هر دو حالت، اصل ماجرا یکی است: خرید از مسیر مطمئن.
درس اصلی ماجرای Coldcard این است که حمله به کیف پول های سخت افزاری، دیگر از درِ فناوری باز نمی‌شود؛ از درِ فروشنده، دستگاه تقلبی و بی دقتی در نگهداری سید باز می‌شود. خوشبختانه راه حل هم دقیقا در کنترل شماست: دستگاه اصیل با ضمانت اصالت، تولید سید روی خود دستگاه، بکاپ رمزنگاری شده و عبارت عبور. همین امروز وضعیت کیف پول خود را بررسی کنید؛ چون در دنیای بیت کوین، پیشگیری تنها راه حلی است که هزینه ای ندارد.
برای خرید کیف پول سخت افزاری اصیل با ضمانت اصالت و سلامت کالا، همین حالا از فروشگاه مجازی مارکت دیدن کنید و دارایی دیجیتال خود را با خیال راحت نگهداری کنید.
دیدگاه خود را با ما در میان بگذارید .
(0 دیدگاه)دیدگاهی ثبت نشده است