کاردکولد: هک بیت‌کوین نزدیک به ۱۱۴ میلیون دلار خسارت

صبح بخیر!

خبرهای داغ امروز:

🚩 هک Coldcard پیش از موج چهارم از مرز ۸۹ میلیون دلار گذشت

Coldcard یکی از مورد اعتمادترین کیف پول‌های سخت‌افزاری بیت‌کوین است؛ نوعی دستگاه آفلاین و ایزوله که سرمایه‌گذاران جدی از آن برای نگهداری امن کوین‌ها در سردخانه عمیق استفاده می‌کنند. هفته گذشته، این کیف پول به مرکز یکی از بزرگترین سرقت‌های تاریخ در حوزه خودحفاظتی تبدیل شد. مهاجمان با سوءاستفاده از یک نقص امنیتی که به آن‌ها اجازه می‌داد کلیدهای خصوصی کاربران را بدون لمس دستگاه فیزیکی بازسازی کنند، شروع به تخلیه سیستماتیک بیت‌کوین از کیف پول‌های Coldcard کردند.

علت این مشکل، نقص در سفت‌افزار (firmware) است، نه فیشینگ. یک به‌روزرسانی Coldcard در مارس ۲۰۲۱، بذرهای کیف پول را از یک پشتیبان نرم‌افزاری ضعیف به جای مولد تصادفی سخت‌افزاری دریافت کرده بود که امنیت کلیدهای Mk3 را از ۱۲۸ بیت مورد نظر به حدود ۴۰ بیت کاهش داده بود. این امر حدس زدن کلیدها را ممکن ساخت و به همین دلیل است که کوین‌هایی که سال‌ها بدون دست‌خوردگی باقی مانده بودند، از کیف پول‌هایی که هرگز به اینترنت متصل نشده بودند، برداشت شدند. یکی از قربانیان کانادایی ۱۸.۲۵ بیت‌کوین را از کلیدهایی که در یک صندوق امانات نگهداری می‌شد، از دست داد و نوشت که سخت‌ترین بخش این بود که او «همه کارها را درست انجام داده بود».

میزان سرقت در طول آخر هفته افزایش یافت. آنچه در روز پنجشنبه با تخمین ۳۸ میلیون دلار شروع شده بود، با ردیابی بیشتر توسط محققان، همچنان رو به افزایش بود. Galaxy Research در حال حاضر حدود ۱,۳۶۷ بیت‌کوین به ارزش تقریبی ۸۸.۶ میلیون دلار را در ۴,۵۸۵ آدرس در سه موج مجزا ردیابی کرده و موج جدیدی را در روز شنبه شناسایی کرده است. Galaxy هشدار می‌دهد که این سوءاستفاده همچنان ادامه دارد و تمام دستگاه‌های آسیب‌پذیر در نهایت تخلیه خواهند شد. این شرکت حدود ۶۰۰ آدرس مظنون به مهاجم را به بازرسان فدرال تحویل داده است. موج چهارم احتمالی حملات، خسارت را به نزدیک ۱۱۴ میلیون دلار رسانده است، اگرچه محققان می‌گویند برخی از آخرین حملات را می‌توان با پیش‌دستی در تسویه تراکنش‌ها در ممپول (mempool) اجتناب کرد.

Coinkite، سازنده Coldcard، اعلام کرده است که باید فرض کند مهاجم از هوش مصنوعی برای جستجوی سفت‌افزار متن‌باز آن برای یافتن این نقص استفاده کرده است و اذعان داشت که بررسی هوش مصنوعی خودشان از همین کدها در هفته‌های قبل «این باگ یا هیچ مورد جدی دیگری را پیدا نکرده بود». الکس تورن، رئیس بخش تحقیقات Galaxy، گفت که این برداشت‌ها به صورت برنامه‌ریزی شده به نظر می‌رسند و «احتمالاً با یک مدل زبان بزرگ (LLM) سازماندهی شده‌اند». مدافعان و مهاجمان ابزار یکسانی داشتند، اما این بار فقط برای مهاجم کار کرد.

در کمتر از یک هفته، یک مدل هوش مصنوعی کاندیدای رمزنگاری پسا-کوانتومی را که انسان‌ها قادر به شکستن آن نبودند، شکست، مدل‌های OpenAI از محیط ایزوله خود فرار کرده و به سرورهای شرکت‌های دیگر نفوذ کردند، و اکنون مهاجمان از هوش مصنوعی برای تخلیه ۸۹ میلیون دلار از کیف پول‌هایی که به عنوان استاندارد طلایی خودحفاظتی فروخته می‌شدند، استفاده کرده‌اند. هوش مصنوعی به سرعت به بزرگترین دشمن ارز دیجیتال تبدیل می‌شود. و یکی از ستون‌های اساسی ارز دیجیتال، یعنی ذخیره‌سازی شخصی که فرد را مستقل و کنترل‌کننده ثروت خود می‌سازد، تحت حمله جدی قرار گرفته است.

خزانه‌های شرکتی و ETFها
ردیاب سکه‌های میم