سرقت عظیم بیت کوین: ۳۸ میلیون دلار در تنها ۲۵ دقیقه از کیف پول‌ها تخلیه شد

سرقت عظیم بیت کوین: ۳۸ میلیون دلار در تنها ۲۵ دقیقه از کیف پول‌ها تخلیه شد

چکیده: حمله هماهنگ به نزدیک به ۵۰۰ کیف پول سخت‌افزاری منجر به از دست رفتن ۵۹۴ بیت کوین شد. محققان احتمال وجود نقص در سفت‌افزار دستگاه‌های Coldcard Mk3 را مطرح کرده‌اند.

جامعه ارزهای دیجیتال از یک سرقت پیچیده که در عرض چند دقیقه ده‌ها میلیون دلار را ناپدید کرد، شوکه شده است. در عملیاتی برق‌آسا که تنها حدود ۲۵ دقیقه به طول انجامید، مهاجمان ناشناس موفق شدند حدود ۵۹۴ بیت کوین را از صدها حساب جداگانه تخلیه کنند. با قیمت‌های فعلی بازار، دارایی‌های به سرقت رفته حدود ۳۸ میلیون دلار ارزش دارند. این حادثه به ویژه نگران کننده است زیرا کیف پول‌های سخت‌افزاری را هدف قرار داده است که به طور گسترده به عنوان استاندارد طلایی برای ذخیره‌سازی امن دارایی‌های دیجیتال در نظر گرفته می‌شوند. تحلیلگران اکنون در حال بررسی بلاکچین هستند زیرا قربانیان با از دست دادن دارایی‌هایی روبرو هستند که در برخی موارد سال‌ها نگهداری شده بودند.

دقت حمله نشان‌دهنده سطح بالایی از تخصص فنی است. در مجموع نزدیک به ۵۰۰ کیف پول مورد نفوذ قرار گرفتند که بیشتر آنها آدرس‌های تک امضایی با فرمت‌های قدیمی یا SegWit بودند. بسیاری از این کیف پول‌ها مدت طولانی غیرفعال بودند و برخی از آنها از سال ۲۰۲۱ سکه‌هایی را در خود جای داده بودند که جابجا نشده بودند. توانایی مهاجمان برای شناسایی و بهره‌برداری همزمان از این حساب‌های خاص، به جای خطاهای فردی کاربران، به سمت یک آسیب‌پذیری سیستماتیک اشاره دارد.

اعداد و حقایق

جزئیات این سرقت چشمگیر است. محققان بلاکچین دریافتند که مهاجم بیش از ۱۳۰۰ خروجی تراکنش بدون خرج (UTXO) را در چندین بلاک جابجا کرده تا غارت را متمرکز کند. وجوه به سرقت رفته در نهایت در یک آدرس مقصد واحد جمع‌آوری شد. قابل ذکر است که کیف پول‌های تحت تأثیر فاقد حفاظت چند امضایی بودند و به همین دلیل پس از به خطر افتادن کلیدهای خصوصی، اهداف آسان‌تری بودند. علیرغم مقیاس سرقت ۳۸ میلیون دلاری، قیمت بیت کوین نسبتاً پایدار باقی ماند و نشان داد که بازار تا حدی در برابر اخبار مربوط به نقض‌های امنیتی فردی مقاوم شده است.

Coinkite، سازنده کیف پول‌های سخت‌افزاری Coldcard، قبلاً به این وضعیت پرداخته است. تحقیقات در حال حاضر بر روی یک مسئله تصادفی بودن (آنتروپی) تاریخی متمرکز است که در نسخه‌های خاصی از سفت‌افزار Coldcard Mk3 یافت شده است. اگر آنتروپی مورد استفاده در طول ایجاد یک بذر بازیابی کافی نباشد، کلیدهای خصوصی حاصل می‌توانند برای مهاجمان پیچیده از نظر ریاضی قابل پیش‌بینی شوند. این شرکت مجموعه‌ای از دستورالعمل‌های فوری را برای کاربران دستگاه‌های قدیمی منتشر کرده است.

"یک بذر بازیابی جدید با استفاده از سخت‌افزار یا سفت‌افزار به‌روز شده ایجاد کنید. وجوه را به کیف پول‌های تازه ایجاد شده منتقل کنید و قبل از انتقال دارایی‌ها، پشتیبان‌گیری‌ها را تأیید کنید." - توصیه رسمی، Coinkite

پیشینه

به نظر می‌رسد نقص امنیتی بیش از آنچه در ابتدا تصور می‌شد، اهمیت دارد. محققان در حال بررسی این موضوع هستند که آیا مسئله سفت‌افزار اجازه بازسازی کلیدهای خصوصی تولید شده در گذشته را داده است. از آنجایی که کیف پول‌های سخت‌افزاری مانند Coldcard به گونه‌ای طراحی شده‌اند که اطمینان حاصل شود کلیدهای خصوصی هرگز از دستگاه خارج نمی‌شوند، چنین آسیب‌پذیری به هسته ارزش پیشنهادی محصول ضربه می‌زند. با این حال، Coinkite تأکید کرده است که انتظار نمی‌رود مدل‌های جدیدتر تحت تأثیر این نقص آنتروپی خاص قرار گیرند. با این وجود، این حادثه به عنوان یادآوری تلخی است که حتی راه‌حل‌های ذخیره‌سازی سرد نیز از خطرات مبتنی بر نرم‌افزار مصون نیستند.

کارشناسان همچنین به کاربران هشدار می‌دهند که مراقب پیشنهادات کمک یا پشتیبانی ناخواسته باشند. پس از چنین هک‌های پر سر و صدایی، کلاهبرداران اغلب کمپین‌های فیشینگ را برای سرقت هرگونه دارایی باقی‌مانده از کاربران وحشت‌زده به کار می‌گیرند. هر کسی که از Coldcard Mk3 استفاده می‌کند توصیه می‌شود فقط از طریق کانال‌های رسمی سازنده ارتباط برقرار کند و هرگز عبارات بذر خود را در هیچ وب‌سایت یا برنامه دیجیتالی وارد نکند.

چرا برای بازیکنان آلمانی مهم است

برای بازیکنان آلمانی که از ارز دیجیتال برای امن نگه داشتن بردهای خود از کازینوهای آنلاین یا شرط‌بندی ورزشی استفاده می‌کنند، این سرقت یک هشدار بزرگ است. در آلمان، قمار به شدت توسط معاهده بین ایالتی قمار ۲۰۲۱ (GlüStV 2021) تنظیم می‌شود. در حالی که کازینوهای رمزارزی اغلب در بازارهای خاکستری تنظیم نشده فعالیت می‌کنند که بار امنیت کاملاً بر عهده فرد است، اپراتورهای دارای مجوز GGL سطح کاملاً متفاوتی از حفاظت را ارائه می‌دهند. بازی با یک ارائه‌دهنده قانونی آلمانی تضمین می‌کند که سپرده‌های شما توسط نظارت دولتی و تضمین‌های مالی محافظت می‌شوند.

در آلمان، حد مجاز واریز ماهانه از طریق سیستم LUGAS ۱۰۰۰ یورو تعیین شده است. در حالی که این ممکن است برای برخی محدود کننده به نظر برسد، به عنوان یک مانع حیاتی در برابر ضررهای مالی عظیم عمل می‌کند. کسانی که بردهای خود را به بیت کوین تبدیل کرده و آنها را در کیف پول‌های سخت‌افزاری تأیید نشده ذخیره می‌کنند، اساساً این شبکه‌های ایمنی را دور می‌زنند. این مورد ثابت می‌کند که حتی مالکیت فیزیکی یک دستگاه نیز امنیت ۱۰۰٪ را تضمین نمی‌کند اگر فناوری زیربنایی دارای نقص درب پشتی باشد. همچنان عاقلانه است که مقادیر زیاد را در چندین راه‌حل امنیتی متنوع کنید تا اینکه به یک کیف پول واحد تکیه کنید.

این برای کازینوهای دارای مجوز GGL چه معنایی دارد

کازینوهای دارای مجوز دولتی در آلمان مستقیماً ارزهای دیجیتالی مانند بیت کوین را نمی‌پذیرند، زیرا ناشناس بودن و نوسانات مرتبط با آنها با الزامات GlüStV 2021 سازگار نیست. برای اپراتورهای موجود در لیست سفید GGL، این حادثه اعتبار رویکرد امن آنها را تأیید می‌کند. آنها به ارائه‌دهندگان پرداخت تأیید شده مانند PayPal، Klarna یا کارت‌های اعتباری تکیه می‌کنند که اغلب در موارد کلاهبرداری امکان بازگرداندن تراکنش‌ها را فراهم می‌کنند - گزینه‌ای که پس از سرقت ۳۸ میلیون دلاری برای بیت کوین به سادگی وجود ندارد.

GGL لیستی از تمام ارائه‌دهندگان قانونی را حفظ می‌کند. بازیکنانی که به این سایت‌ها پایبند هستند مجبور نیستند نگران نقص سفت‌افزار یا هکرهایی باشند که کلیدهای خصوصی آنها را هدف قرار می‌دهند. حفاظت از بازیکن اولویت اصلی در اینجا است، از جمله محدودیت ۱ یورویی برای هر چرخش در اسلات‌های مجازی. در حالی که دنیای رمزارزها اغلب می‌تواند شبیه به دوران وحشی غرب باشد، بازار تنظیم شده آلمان یک شبکه ایمنی را فراهم می‌کند که ضررهای فاجعه‌بار ناشی از آسیب‌پذیری‌های فنی را تقریباً غیرممکن می‌سازد.