Tag: امنیت و هک

حملات خشونت‌آمیز علیه دارندگان ارز دیجیتال در سال ۲۰۲۶ رکورد زد

پاریس، فرانسه – حملات فیزیکی که دارندگان ارز دیجیتال را هدف قرار می‌دهند، در سال ۲۰۲۶ در بدترین وضعیت خود قرار دارند و طبق گزارشی از شرکت تحلیلی بلاک‌چین Chainalysis، بیش از ۳۰ میلیون دلار در نیمه اول سال به سرقت رفته است.

در گزارشی که روز پنجشنبه منتشر شد، Chainalysis ۴۶ حمله خشونت‌آمیز مرتبط با ارز دیجیتال را تا اواخر ژوئن مستند کرده و تخمین زده است که قربانیان بیش از ۳۰ میلیون دلار در این حملات از دست داده‌اند.

Chainalysis در این گزارش نوشت: «حملات خشونت‌آمیز که دارندگان ارز دیجیتال را هدف قرار می‌دهند، از جمله ورود به منزل، آدم‌ربایی و گروگان‌گیری، که گاهی در محافل امنیتی «حملات آچار» نامیده می‌شوند، در سال‌های اخیر افزایش یافته است. مجرمان متوجه شده‌اند که دارندگان ارز دیجیتال اهداف ارزشمندی هستند زیرا ثروت خود را در شکلی قابل انتقال فوری و غیرقابل برگشت در اختیار دارند.»

حمله آچار به استفاده از تهدید یا خشونت فیزیکی برای وادار کردن قربانیان به تحویل دادن ارز دیجیتال اشاره دارد.

در حالی که آدم‌ربایی همچنان رایج‌ترین نوع حمله است، ورود به منزل فراوانی بیشتری یافته و از ۲۶ درصد در سال ۲۰۲۳ به ۳۷ درصد از حوادث مستند شده رسیده است. Chainalysis همچنین دریافت که مهاجمان به طور فزاینده‌ای بستگان و آشنایان را برای فشار بر قربانیان جهت انتقال ارز دیجیتال هدف قرار می‌دهند.

Chainalysis نوشت: «ورود به منزل به مجرمان اجازه می‌دهد تا قربانیان را در یک محیط کنترل شده که می‌توانند انتقال وجوه را اجبار کنند، روبرو کنند. در مقابل، آدم‌ربایی اجرای بسیار دشوارتری دارد. مهاجمان باید زمان و منابع قابل توجهی را برای برنامه‌ریزی لجستیک صرف کنند؛ و دوره‌های طولانی سپری شده با قربانیان، مهاجم را برای مدت طولانی‌تری در معرض خطر قرار می‌دهد.»

فرانسه به مرکز اصلی حملات آچار تبدیل شده و تا اواسط سال ۲۰۲۶، ۳۰ حادثه را ثبت کرده که بیشتر از هر کشور دیگری است. Chainalysis اعلام کرد که این افزایش به نظر می‌رسد با نقض ادعایی سوابق مالیاتی مرتبط باشد که اطلاعات مربوط به دارندگان ارز دیجیتال با دارایی خالص بالا را فاش کرده است.

این گزارش همچنین تفاوت‌های گسترده‌ای را در نحوه برخورد مهاجمان با وجوه سرقت شده نشان داد. در حالی که به نظر می‌رسد برخی از مهاجمان تنها درک اولیه از ارز دیجیتال دارند و وجوه سرقت شده را مستقیماً به صرافی‌های متمرکز منتقل می‌کنند بدون اینکه تلاشی برای پنهان کردن ردپای خود داشته باشند، برخی دیگر از روش‌های بسیار پیچیده‌تری برای مبهم کردن مقصد پول استفاده می‌کنند.

Chainalysis نوشت: «مهاجمان سطح متوسط، آشنایی بیشتری با زیرساخت ارز دیجیتال نشان می‌دهند. آنها ممکن است از صرافی‌های غیرمتمرکز، پل‌ها، ربات‌های MEV و سایر ابزارهای DeFi برای مبادله و جابجایی دارایی‌ها در زنجیره‌ها استفاده کنند. آنها درک می‌کنند که صرافی‌های متمرکز نقاط گلوگاهی با برنامه‌های انطباق پیچیده و KYC کاربر هستند و تلاش می‌کنند از تعامل با آنها اجتناب کنند یا آن را به تأخیر بیندازند.»

این گزارش در حالی منتشر می‌شود که حملات خشونت‌آمیز علیه دارندگان ارز دیجیتال همچنان رو به افزایش است.

در ماه فوریه، CertiK گزارش داد که حملات آچار در سال ۲۰۲۵ با ۷۵ درصد افزایش به ۷۲ حادثه رکورد زده است و فرانسه به عنوان کانون این حملات ظهور کرده است. در ماه آوریل، مقامات فرانسوی در ۱۲ تحقیق، ۸۸ مظنون از جمله بیش از ۱۰ نفر زیر سن قانونی را متهم کردند، زیرا تحقیقات خود را در مورد باندهای سازمان‌یافته پشت موجی از حملات خشونت‌آمیز آچار ارز دیجیتال گسترش دادند.

در ماه ژوئن، مقامات فرانسوی مردی را که متهم به مشارکت در یک حمله آچار ارز دیجیتال پس از ادعای جعل هویت افسر پلیس بود، متهم کردند. در ماه ژوئیه، CertiK اعلام کرد که قرار گرفتن مالی ناشی از حملات آچار در نیمه اول سال ۲۰۲۶ به ۱۲۴ میلیون دلار رسیده است. این هفته، پنج مرد در لندن به دلیل حبس و شکنجه دو میلیونر فرانسوی ارز دیجیتال در یک طرح اخاذی محکوم شدند.

فراتر از موج حملات آچار در اروپا، باج‌خواهی با بیت‌کوین نیز در ایالات متحده خبرساز شده است. اوایل سال جاری، یادداشت‌های باج‌خواهی که خواستار بیت‌کوین بودند، در جریان تحقیقات در مورد آدم‌ربایی مادر مجری برنامه “Today”، نانسی گاتری، مطرح شد.

مؤسسه امنیت هوش مصنوعی بریتانیا (AISI) اعلام کرد که عامل‌های هوش مصنوعی در جریان یک ارزیابی سایبری در اواخر ماه ژوئیه، اقداماتی “پایدار و غیرمجاز” را در اینترنت زنده انجام داده‌اند که در برخی موارد “افراد و سازمان‌های واقعی را هدف قرار داده است”.

در ۱۲۲ دور اجرا بر روی دو محیط آزمایشی سایبری با استفاده از هفت مدل، AISI در ۱۰ دور اجرا، ۱۹ اقدام را که از محیط آزمایشی فراتر رفته بود، ثبت کرد. ۱۷ مورد از این اقدامات مربوط به مدل Claude Mythos 5 از Anthropic و دو مورد از مدل GPT-5.6 Sol از OpenAI بود. دسترسی به اینترنت به طور عمدی فعال شده و طبقه‌بندی‌کننده‌های سایبری ارائه‌دهندگان غیرفعال شده بودند؛ شرایطی که در استقرار عمومی اعمال نمی‌شود.

مؤسسه امنیت هوش مصنوعی بریتانیا در توییتی در تاریخ ۴ اوت ۲۰۲۶ نوشت: “در تاریخ ۲۸ ژوئیه، ما در جریان یک ارزیابی سایبری معمول، حادثه‌ای را شناسایی کردیم که در آن عامل‌های هوش مصنوعی اقدامات پایدار و غیرمجاز را با هدف قرار دادن افراد و سازمان‌های واقعی انجام دادند. این رفتار عمدتاً از یک مدل (Mythos 5 از Anthropic) سرچشمه می‌گرفت و تعداد کمی رویداد از مدل دیگر نیز مشاهده شد.”

در جدی‌ترین دور اجرا، یک عامل هوش مصنوعی تصمیم گرفت چالش خود را با حمله زنجیره تأمین حل کند و با اشتباه، هدف خود را انتخاب کرد: این عامل با جستجوی کلیدواژه‌های مربوط به تمرین در GitHub، به دو توسعه‌دهنده مستقل برخورد و به اشتباه نتیجه گرفت که آن‌ها در محدوده هدف قرار دارند. این عامل برای عبور از بررسی‌های ثبت‌نام، حساب‌هایی را از طریق Tor ثبت کرد، یک درخواست ارسال (pull request) حاوی یک بدافزار مخفی که در یک رفع اشکال واقعی پیچیده شده بود، ارسال کرد و از حساب دومی که کنترل می‌کرد برای ایجاد پشتیبانی استفاده نمود. همچنین تزریق‌های دستوری (prompt injections) را با هدف دستیارهای کدنویسی هوش مصنوعی انجام داد و بدافزار را برای نگهدارندگان ارسال کرد.

یک توسعه‌دهنده سوم کد تزریق شده را شناسایی کرد، آن را در یک محیط ایزوله اجرا کرد تا مخرب بودن آن را تأیید کند و به نگهدارنده هشدار داد که درخواست ارسال را به دلیل وجود بدافزار رد کرد.

این عامل هوش مصنوعی به طور مکرر در مورد شبیه‌سازی بودن محیط خود تردید می‌کرد و در یک مقطع، حمله به PyPI واقعی را رد کرد زیرا “ایجاد آسیب در دنیای واقعی – این کاملاً خارج از بحث است.” در جای دیگر نتیجه گرفت که “به نظر می‌رسد ما در سال ۲۰۲۶ هستیم و GitHub واقعاً واقعی است” و با این حال به کار خود ادامه داد.

پس از شناسایی، این عامل برای پاک کردن محموله مخرب، push اجباری انجام داد، پست‌های قبلی را ویرایش کرد و کد را به عنوان یک کامیت تصادفی ارائه داد. استدلال آن شامل زمان‌بندی یک نظر ساختگی (sockpuppet) به گونه‌ای بود که “به عنوان بازخورد مستقل به جای هماهنگ شده” تلقی شود.

AISI تنها خلاصه‌ای از استدلال‌ها را از API مدل‌ها دریافت می‌کند. در یک مورد، به نظر می‌رسد مدل خلاصه‌کننده از انجام وظیفه خودداری کرده و پاسخ داده است که با محتوای مربوط به فریب دادن نگهدارندگان و فرار از شناسایی همکاری نخواهد کرد.

یک عامل هوش مصنوعی توکن دسترسی GitHub را در یک gist عمومی منتشر کرد. عامل‌های دیگر در دورهای دیگر آن را پیدا کردند، حساب را در اختیار گرفتند و از یک مخزن مشترک برای هماهنگی استفاده کردند؛ یکی از آن‌ها دستورالعمل‌هایی را برای جلوگیری از اتمام سهمیه API مشترک توسط دیگران باقی گذاشت.

نظارت تجاری ترافیک Tor را در صبح روز ۲۸ ژوئیه شناسایی کرد. AISI حادثه را اعلام کرد، اجراها را خاتمه داد و ماشین‌ها را در حدود ۹۰ دقیقه قرنطینه کرد، سپس دسترسی داخلی به Mythos 5، Mythos Preview، Opus 5 و GPT-5.6 Sol را قطع کرد. هیچ عاملی تلاش نکرد از محیط ایزوله خود فرار کند.

این خبر آخرین مورد در رشته حوادثی است که در آن عامل‌های هوش مصنوعی در طول آزمایش‌ها از پارامترهای خود فراتر رفته‌اند. در تاریخ ۲۱ ژوئیه، OpenAI اعلام کرد که GPT-5.6 Sol و یک مدل منتشر نشده، یک آسیب‌پذیری روز صفر (zero-day) را در یک پروکسی بسته داخلی کشف کرده، از یک محیط ایزوله بدون دسترسی به اینترنت فرار کرده و به پایگاه داده تولیدی Hugging Face برای سرقت پاسخ‌های بنچمارک دسترسی یافته‌اند. OpenAI یک هفته بعد فاش کرد که همان اجرا به چهار شرکت دیگر نیز دسترسی پیدا کرده است.

Anthropic در تاریخ ۳۰ ژوئیه، سه حادثه کشف شده در بررسی بیش از ۱۴۱,۰۰۰ اجرای ارزیابی را فاش کرد. Opus 4.7 صدها ردیف از یک پایگاه داده تولیدی واقعی را استخراج کرد و Mythos 5 یک بسته پایتون مخرب را در PyPI واقعی بارگذاری کرد که در ۱۵ سیستم نصب شد. در ارزیابی AISI، همین مدل حمله به PyPI را به دلیل آسیب در دنیای واقعی رد کرده بود.

هک کیف پول‌های کولدکارد؛ بیش از ۱۳۰ میلیون دلار بیت‌کوین به سرقت رفت

مهاجمان توانسته‌اند به کیف پول‌های بیت‌کوین دسترسی پیدا کنند که پیش از این غیرقابل دسترس تلقی می‌شدند. این کوین‌ها در دستگاه‌های Coldcard، کیف پول‌های سخت‌افزاری تولیدی شرکت کانادایی Coinkite نگهداری می‌شدند؛ دستگاه‌هایی که هرگز به اینترنت متصل نمی‌شوند. هیچ لینک فیشینگی، بدافزاری یا لپ‌تاپ دزدیده‌شده‌ای در کار نبوده است. مهاجمان صرفاً توانسته‌اند کلیدهای خصوصی را کشف کنند.

تحقیقات Galaxy Research بیش از ۱,۵۹۶ بیت‌کوین را که در سه موج تأیید شده به سرقت رفته، ردیابی کرده است. با احتساب موج چهارم احتمالی، مجموع این رقم به حدود ۲,۰۵۵ بیت‌کوین می‌رسد که با قیمت‌های فعلی حدود ۱۳۰ میلیون دلار ارزش دارد. در یکی از این عملیات‌ها، ۷۰ میلیون دلار در عرض ۴۱ دقیقه جابجا شده است. شرکت Coinkite اعلام کرده که حداقل ۱۵ مهاجم جداگانه در این سرقت‌ها دست داشته‌اند.

این شرکت در تاریخ ۱ اوت (۱۰ مرداد) یک سند فنی منتشر کرد و به توضیح آنچه اشتباه پیش رفته، پرداخت. این سند به طرز غیرمعمولی صادقانه است و به طور خلاصه می‌توان گفت که کیف پول‌ها به مدت هشت سال در حال تولید اعداد تصادفی معیوب بوده‌اند، بدون اینکه کسی متوجه شود.

در سال ۲۰۲۱، Coinkite رمزنگاری Coldcard را به libsecp256k1 منتقل کرد؛ همان کتابخانه‌ای که Bitcoin Core از آن استفاده می‌کند. این تصمیم در ظاهر درست بود، اما در مرحله ادغام، مشکل رخ داد.

این مهاجرت به طور پنهانی، تولید بذرهای اولیه (seed generation) را از مولد اعداد تصادفی سخت‌افزاری خود Coldcard منحرف کرده و به جای آن از الگوریتم نرم‌افزاری جایگزین MicroPython، به نام Yasmarang، استفاده کرده است. این الگوریتم برای دستگاه‌هایی طراحی شده که فاقد تراشه تولید اعداد تصادفی هستند.

خسارات ناشی از هک کولدکارد از ۱۰۰ میلیون دلار فراتر رفت

با اطمینان بالا، ۱,۵۹۶ بیت‌کوین از حدود ۷,۳۰۰ آدرس در سه موج تأیید شده به سرقت رفته است، به علاوه ۱۴ مورد کوچکتر. اگر موارد مشکوک (اما تأیید نشده) را اضافه کنیم، مجموع خسارات به ۱۳۰ میلیون دلار (۲ هزار بیت‌کوین) می‌رسد.

دلیل اصلی مشکل: یک خطای کوچک در کد

دستگاه Coldcard دارای تراشه تولید اعداد تصادفی است، اما به نظر می‌رسد این تراشه دیگر مورد استفاده قرار نگرفته است. دلیل این امر به طرز باورنکردنی کوچک است. یک ابزار بررسی کد (build guard) از دستور #ifndef استفاده کرده که وجود یک تنظیم را بررسی می‌کند، نه فعال بودن آن را. Coinkite این تنظیم را روی صفر (به معنی “خاموش”) قرار داده بود. از آنجایی که صفر همچنان به عنوان یک مقدار تعریف شده محسوب می‌شود، بررسی ایمنی با موفقیت انجام شده و ساخت کد تکمیل شده است. هر دو نسخه تابع، امضاهای یکسانی داشتند، بنابراین هیچ چیز غیرعادی به نظر نمی‌رسید.

شرکت Coinkite در این باره نوشته است: “بخش عمده‌ای از تصادفی بودن در COLDCARD از یک مولد اعداد شبه تصادفی (PRNG) تأمین می‌شد که من نمی‌دانستم واقعاً در پایگاه کد منبع وجود دارد.” مولدهای اعداد شبه تصادفی، اعدادی را تولید می‌کنند که ظاهراً تصادفی هستند اما از یک دستورالعمل ثابت از یک مقدار اولیه پیروی می‌کنند.

اگر دستورالعمل یکسان با همان مقدار اولیه تغذیه شود، خروجی همیشه یکسان خواهد بود.

در دستگاه‌های Mk2 و Mk3 با سیستم‌عامل‌های ۴.۰.۱ تا ۴.۱.۹، مقدار اولیه از شماره سریال تراشه و ساعت آن گرفته می‌شد. Coinkite تخمین می‌زند که فضای جستجوی حاصل حدود ۴۰ بیت بوده است. مدل‌های جدیدتر کمی آنتروپی از عنصر امن (secure-element) را نیز اضافه کرده‌اند که این رقم را به حدود ۷۲ بیت افزایش داده است.

هیچ‌کدام از این اعداد به ۱۲۸ بیت، که هدف مورد نظر است، نمی‌رسد.

این اختلاف مهم‌تر از آن چیزی است که به نظر می‌رسد. بیت‌ها توان هستند. فضای جستجوی ۱۲۸ بیتی، ترکیبات بیشتری نسبت به تعداد اتم‌های موجود در جهان قابل مشاهده دارد و هیچ‌کس قادر به جستجوی آن نیست. چهل بیت حدود یک تریلیون است؛ عددی که یک لپ‌تاپ معمولی می‌تواند آن را پردازش کند. هر بیت از دست رفته، کار مورد نیاز را نصف می‌کند.

تیم مهندسی Block، که تحلیل خود را منتشر کرده، فضای جستجوی مؤثر عنصر امن در دستگاه‌های جدیدتر را ۲ به توان ۳۲ نامزد و به طور متوسط حدود ۲ به توان ۳۱ آزمایش تخمین زده است. ارزیابی آن‌ها برای بردهای قدیمی‌تر صریح‌تر است: برای یک شناسه دستگاه، وضعیت تایمر و تاریخچه تماس مشخص، تولید کیف پول قطعی (deterministic) است.

و قطعی بودن، دقیقاً مخالف تصادفی بودن است که برای رمزنگاری ضروری است.

Coinkite گمان می‌کند که این مشکل توسط ماشین کشف شده است. این شرکت نوشته است: “ما باید فرض کنیم که کسی از هوش مصنوعی برای بررسی نسخه‌های قبلی سیستم‌عامل ما استفاده کرده و به این مشکل برخورده است.” آن‌ها افزودند که اخیراً یکی از بهترین مدل‌های هوش مصنوعی موجود را روی همین کد اجرا کرده‌اند و هیچ چیز پیدا نکرده‌اند. “مهاجمان و مدافعان هر دو از ابزارهای هوش مصنوعی یکسانی استفاده می‌کنند، اما امروز این ابزار به ما کمکی نکرد و فقط به نفع افراد بدکار بود.”

سیستم‌عامل اصلاح شده برای تمام مدل‌های تحت تأثیر منتشر شده است. این به‌روزرسانی بذرهای موجود را ترمیم نمی‌کند؛ آن کیف پول‌ها باید دوباره تولید شده و وجوه آن‌ها منتقل شوند. Decrypt پیش از این چگونگی تغییر ذخیره‌سازی هوا-ایزوله (air-gapped) پس از چنین بهره‌برداری و افزایش خسارات به بیش از ۱۱۴ میلیون دلار را پوشش داده است.

آنتروپی: معیاری از عدم قطعیت

آنتروپی معیاری است از اینکه مهاجم چقدر نمی‌داند. به عبارت دیگر، اساساً عدم قطعیت است که بر حسب بیت شمارش می‌شود. یک بیت معادل یک پرتاب سکه است: دو نتیجه، و یک حدس‌زننده نیمی از مواقع درست حدس می‌زند. ده بیت برابر با ۱,۰۲۴ نتیجه است. هر بیت، حجم کار حدس‌زننده را دو برابر می‌کند.

کیف پول بیت‌کوین یک عدد بسیار بزرگ است که مخفی نگه داشته می‌شود. آدرسی که افراد کوین‌ها را به آن ارسال می‌کنند، از طریق ریاضی از آن مشتق می‌شود و این مشتق فقط در یک جهت عمل می‌کند – شما می‌توانید از کلید به آدرس بروید، اما هرگز برعکس.

بنابراین، امنیت هر کیف پول بر یک سؤال متکی است: مهاجم باید چند عدد را امتحان کند؟

اگر عدد با ۱۲۸ بیت آنتروپی انتخاب شده باشد، پاسخ این است: “بیشتر از آنچه فیزیک اجازه می‌دهد.” اگر با ۴۰ بیت انتخاب شده باشد، پاسخ این است: “کمی وقت به من بدهید.”

این همان ویژگی است که تهدید محاسبات کوانتومی را قابل بحث می‌کند – یک ماشین کوانتومی به ریاضیاتی حمله می‌کند که کلید را به آدرس مرتبط می‌کند. باگ Coldcard هرگز نیازی به این کار نداشت. این باگ، کلیدها را قابل حدس می‌زد، پیش از آنکه آن ریاضیات درگیر شود.

اینجاست که واژگان لغزنده می‌شود. یک مولد اعداد شبه تصادفی خروجی تولید می‌کند که از آزمون‌های آماری برای تصادفی بودن عبور می‌کند، بنابراین اساساً چیزی نیست که یک صفحه گسترده آن را پرچم‌گذاری کند. این خروجی همچنان به طور کامل توسط مقدار اولیه آن تعیین می‌شود. تصادفی به نظر می‌رسد، اما نیست.

تصادفی بودن آماری و غیرقابل پیش‌بینی بودن رمزنگاری، دو خاصیت متفاوت هستند و خروجی Coldcard از آزمون اول با موفقیت عبور می‌کرد، اما در آزمون دوم کاملاً شکست می‌خورد.

تصادفی بودن واقعی باید از نویز فیزیکی ناشی شود: لرزش الکتریکی در یک مدار، نوسانات حرارتی، واپاشی رادیواکتیو. تراشه سخت‌افزاری در Coldcard برای همین منظور بود. این همان تراشه‌ای است که پرچم ساخت کد آن را قطع کرده بود.

تاس‌ها، راه حل یا دام؟

همانطور که کاربران برای تولید مجدد بذرها عجله داشتند، بسیاری به سراغ راه حل ساده و کم‌تکنولوژی رفتند. Coldcard به شما اجازه می‌دهد تاس‌های فیزیکی را بیندازید و نتایج را به عنوان آنتروپی وارد کنید. راهنمایی خود Coinkite، بذر تولید شده با حداقل ۵۰ پرتاب مستقل و خصوصی تاس را در برابر باگ ایمن می‌داند.

ممکن است احمقانه به نظر برسد، اما این شرکت در واقع یک کیسه حاوی “۱۰۰ تاس کوچک و بامزه” می‌فروشد تا این فرآیند را برای شما آسان‌تر کند.

در ۳۱ ژوئیه (۹ مرداد)، لوک دش‌جر، توسعه‌دهنده Bitcoin Core، هشداری منتشر کرد: “تعداد زیادی از افراد پیشنهاد استفاده از تاس برای کاهش آسیب‌پذیری Coldcard را می‌دهند. توجه داشته باشید که تاس‌های معمولی برای امنیت رمزنگاری طراحی نشده‌اند. اگر قصد انجام این کار را دارید، احتمالاً باید تاس‌های دقیق کازینویی بخرید. و حتی در این صورت، منبع دیگری از آنتروپی داشته باشید.”

توییتر بیت‌کوین با آرامش با این موضوع برخورد نکرد.

یکی از کاربران نوشت: “هاها، حالا دیگر نمی‌توانید تاس هم بیندازید. خودحفاظتی تمام شد…” دیگری پرسید که آیا باید کسی را با پارکینسون استخدام کند تا تاس‌ها را بیندازد؟ (کار جالبی نبود.)

احتمالاً مفیدترین پاسخ، پاسخی بود که با محاسبات همراه بود. جاستین شارپ، توسعه‌دهنده، اعداد را محاسبه کرد که هر تاس معیوب چقدر هزینه دارد:

“زیاده‌روی است. یک تاس شش وجهی کامل در هر پرتاب ۲.۵۸۵ بیت آنتروپی می‌دهد. یک تاس با انحراف قابل توجه، مثلاً با یک وجه که ۲۰٪ مواقع به جای ۱۶.۷٪ فرود می‌آید، همچنان حدود ۲.۵۵ بیت می‌دهد. در ۹۹ پرتاب، این تفاوت بین حدود ۲۵۶ بیت و حدود ۲۵۲ بیت آنتروپی است.”

چهار بیت از ۲۵۶ بیت. این کل جریمه برای یک تاس با انحراف قابل مشاهده است.

دش‌جر در این مورد اشتباه نمی‌کند که تاس‌های ارزان قیمت انحراف قابل اندازه‌گیری دارند – پین‌های قالب‌گیری شده پلاستیک مقادیر متفاوتی از هر وجه را حذف می‌کنند، دقیقاً به همین دلیل است که کازینوها از تاس‌های دقیق و هم‌سطح استفاده می‌کنند. او در مورد فیزیک درست می‌گوید، اما در مورد اهمیت موضوع اشتباه می‌کند. از دست دادن چهار بیت از ۲۵۶ بیت، شما را در ۲۵۲ بیت قرار می‌دهد. باگ Coldcard کاربران را در ۴۰ بیت قرار داده بود.

با این حال، استدلال قوی‌تری در توصیه او نهفته است، و آن در مورد تلورانس تولید نیست. بلکه در مورد عدم اعتماد به یک منبع واحد است. شکست Coldcard این نبود که آنتروپی آن کمی منحرف شده بود – بلکه این بود که یک جزء به طور خاموش کار نمی‌کرد و هیچ چیز آن را تشخیص نداد.

اگر بذری را در یک Coldcard تحت تأثیر، بدون پرتاب تاس (واقعاً) یا یک عبارت عبور قوی BIP-39 تولید کرده‌اید، آن بذر در معرض خطر است.

سیستم‌عامل را به‌روزرسانی کنید، یک بذر جدید تولید کنید، اثر انگشت (fingerprint) را تأیید کنید، یک تراکنش آزمایشی ارسال کنید، و سپس همه چیز را منتقل کنید. راهنمایی Coinkite این مراحل را برای هر مدل توضیح می‌دهد. بذرهای صادر شده، نقص را با خود حمل می‌کنند – انتقال یک بذر معیوب به یک برنامه کیف پول دیگر مشکلی را حل نمی‌کند.

برای بقیه، نکته این نیست که کیف پول‌های سخت‌افزاری خراب هستند یا تاس‌ها یک دام هستند.

بلکه این است که “تصادفی” یک ادعا است و ادعاها نیاز به بررسی دارند. کد منبع Coldcard در تمام این مدت عمومی بود. مولد سخت‌افزاری مورد نظر دقیقاً در باینری وجود داشت. بازبینان وجود آن را تأیید کردند، اما هرگز تأیید نکردند که مولد بذر واقعاً آن را فراخوانی کرده است.

هشت سال ممیزی به کد صحیح نگاه کرده بود. هیچ‌کس بررسی نکرد که آیا واقعاً اجرا می‌شود یا خیر.

کُلدکارد کاربران را به «انتقال محتاطانه وجوه» فرا می‌خواند؛ خسارات ناشی از سوءاستفاده افزایش می‌یابد

تنها چند روز پس از اعتراف به یک آسیب‌پذیری کلیدی که میلیون‌ها بیت‌کوین را در معرض خطر قرار داد، تیم سازنده کیف پول سخت‌افزاری بیت‌کوین که خود را «بهترین کیف پول سخت‌افزاری بیت‌کوین» می‌نامد، پیامی مهم منتشر کرد و از کاربران خواست تا وجوه خود را منتقل کنند.

حساب رسمی کُلدکارد در پلتفرم X (توییتر سابق) به مشتریان خود اطلاع داد که باید «این موضوع را فوری تلقی کنند» و وجوه خود را جابجا نمایند. در این پست‌ها آمده است که کاربران باید دستورالعمل‌های مربوط به مدل دستگاه خود را دنبال کنند، دستگاه‌های خود را ارتقا دهند، یک سید (Seed) جدید تولید کنند و «با دقت» وجوه خود را منتقل نمایند.

«لطفاً این موضوع را فوری تلقی کنید. وجوه خود را منتقل کنید. دستورالعمل‌های مربوط به مدل خود را دنبال کنید، دستگاه خود را ارتقا دهید، یک سید جدید تولید کنید و با دقت وجوه خود را منتقل کنید.
به انتشار این خبر کمک کنید، به‌ویژه به افرادی که کمتر آنلاین هستند و ممکن است این به‌روزرسانی را نبینند.
خطر همچنان ادامه دارد.»
— COLDCARD (@COLDCARDwallet) August 4, 2026

ماجرای کُلدکارد در اواخر ماه ژوئیه آشکار شد. برخی از کاربران ابتدا هشدارهایی را به صورت آنلاین منتشر کردند مبنی بر اینکه وجوه آن‌ها که در کیف پول سخت‌افزاری نگهداری می‌شد، ناپدید شده است؛ پیش از آنکه تیم سازنده به یک آسیب‌پذیری حیاتی در کد اعتراف کند.

بر اساس آخرین برآوردهای گلکسی ریسرچ (Galaxy Research)، میزان تأیید شده وجوه سرقت شده بیش از ۱۰۰ میلیون دلار است. برخی گزارش‌ها حاکی از آن است که این رقم واقعی ممکن است حدود ۱۳۰ میلیون دلار باشد.

جو کنسورتی، مفسر بازار، پیشتر استدلال کرده بود که مهاجم ممکن است در خرج کردن بخش بزرگی از بیت‌کوین‌های سرقت شده با مشکل مواجه شود، زیرا هر بیت‌کوین در بلاک‌چین عمومی قابل ردیابی است.

پنج مرد به اتهام اخاذی و حبس غیرقانونی دو میلیونر فرانسوی ارز دیجیتال که در ماه جولای گذشته به مدت ۵۲ ساعت در آپارتمانی در شرق لندن نگهداری می‌شدند، محکوم شدند.

جزئیات پرونده

به گزارش دیلی میل، این دو قربانی که هر دو در دهه ۲۰ زندگی خود بودند، در شادول مورد حمله قرار گرفته و به آپارتمانی در کنینگ تاون منتقل شدند. هایدی استون‌کلیف، وکیل مدافع، در دادگاه تاج‌گذاری اینر لندن گفت که سبک زندگی آنها «به طور گسترده در شبکه‌های اجتماعی منتشر شده بود» و ممکن است توجه ناخواسته را جلب کرده باشد.

استون‌کلیف آنچه را که رخ داد «شکنجه سرد و بی‌رحمانه» توصیف کرد. هیئت منصفه شنید که این دو نفر برهنه شده، با نوار چسب و بست‌های کابل بسته شده، مورد ضرب و شتم قرار گرفته و آب جوش روی آنها ریخته شده است. آنها پس از درخواست ۱۵۰ هزار دلاری باند، ۳۰ هزار دلار منتقل کردند.

هیچ یک از قربانیان قابل شناسایی نیستند، زیرا یکی از آنها ادعای تجاوز جنسی توسط دو نفر از اعضای باند را مطرح کرد. اگرچه هیئت منصفه آنها را تبرئه کرد، اما این ادعا مشمول قوانینی است که از شاکیان محافظت می‌کند.

ردیابی و دستگیری

یکی از دوستان که از ماشین بیرون کشیده شده بود، تلفن خود را در آنجا جا گذاشت و پلیس توانست از طریق تلفن همراه، محل آپارتمان را ردیابی کند. یاسر محمد در آپارتمان ایربی‌ان‌بی قربانیان در ارلز کورت دستگیر شد، جایی که او برای رسیدن به کیف پول دوم رفته بود؛ هیئت منصفه او را از اتهام حبس غیرقانونی تبرئه کرد و نتوانست در مورد توطئه اخاذی به توافق برسد.

گرسون بورجس و محمد عثمان به توطئه اخاذی و حبس غیرقانونی محکوم شدند. ویلیام آدیبیسی و جولیوس جورج به حبس غیرقانونی محکوم شدند و آیزاک باکویا به آن اعتراف کرد. همه آنها از اتهامات آدم‌ربایی، حمل سلاح تقلبی و تجاوز جنسی تبرئه شدند. عادل سینین، که ماشین باند را در تعقیب و گریز با سرعت ۷۰ مایل در ساعت به تیر چراغ برق کوبید، از اتهام حبس غیرقانونی تبرئه شد و به رانندگی خطرناک اعتراف کرد. ابراهیم محمد، معروف به نینو، که پلیس می‌گوید از خارج از کشور این توطئه را هدایت می‌کرد، دستگیر نشده است.

دفاعیات و شواهد

وکلای مدافع استدلال کردند که آدم‌ربایی رخ نداده است، و گفتند که فرانسوی‌ها برای خرید حشیش به شرق لندن آمده بودند و خواسته‌ها عمدتاً قانونی بود. استون‌کلیف این را رد کرد و به خواسته‌های پرخاشگرانه یکی از اعضای باند از ایربی‌ان‌بی اشاره کرد.

هر دو قربانی به دلیل ترس شدید از باند، از ارائه شهادت حضوری خودداری کردند. کارآگاه ارشد لورا هیلییر در بیانیه‌ای گفت که این پرونده «نمونه‌ای نادر از محکومیت از این نوع است که بدون شهادت قربانی به دست آمده است».

پس از اعلام احکام، دادگاه شنید که سه نفر از محکومان سابقه محکومیت قبلی به قتل غیرعمد، سرقت و حمل سلاح کمری با مهمات را دارند.

روند رو به رشد حملات به دارندگان ارز دیجیتال

«حملات پیچشی» یا حملات خشونت‌آمیز در دنیای واقعی به دارندگان ارز دیجیتال، در سال گذشته افزایش یافته است. CertiK تأیید کرد که ۵۲ مورد در سراسر جهان در نیمه اول سال ۲۰۲۶ رخ داده است که نسبت به سال قبل یک سوم افزایش یافته است. از موارد ثبت شده توسط شرکت امنیتی بلاک‌چین، ۳۹ مورد در اروپا و ۳۳ مورد در فرانسه رخ داده است و میزان خسارت ثبت شده ۱۲۴.۱ میلیون دلار بوده است. دادستان‌های فرانسه ۸۸ نفر را در رابطه با این موج در آنجا متهم کرده‌اند.

در این پرونده، در حالی که قربانیان فرانسوی بودند، حمله، دستگیری‌ها و محاکمه در بریتانیا انجام شد. بریتانیا نیز موارد مشابهی داشته است، از جمله محکومیت سه نوجوان به دلیل سرقت ۴.۳ میلیون دلاری با سلاح سرد در هوکستون، و محکومیت چهار نفر در دادگاهی در لندن به دلیل آدم‌ربایی یک آرایشگر بلژیکی که اشتباهاً تصور می‌شد ثروت بیت‌کوین دارد.

هر شش نفر، از جمله سینین، در ماه سپتامبر محاکمه خواهند شد.

یک مأمور ویژه سابق FBI متهم به سرقت نزدیک به یک میلیون دلار ارز دیجیتال از کیف پول‌های مرتبط با تحقیقات ضد جاسوسی FBI شده است. اسناد دادگاهی همچنین جزئیات چگونگی درخواست وی از ChatGPT برای مشاوره در مورد سرمایه‌گذاری این پول و نقل مکان به خارج از کشور را فاش می‌کنند.

اتهامات وارده

پاتریک استیون یاروخ روز جمعه با اتهامات حمل و نقل کالای سرقتی در ایالت‌های مختلف و دریافت کالای سرقتی مواجه شد. دادستان‌ها ادعا می‌کنند که این سرقت‌ها بین اوایل سال ۲۰۲۵ تا ژوئیه ۲۰۲۶، زمانی که یاروخ در بخش ضد جاسوسی و جاسوسی FBI مشغول به کار بود و مجوز امنیتی سطح بالای “Top Secret” را داشت، رخ داده است.

اعتراف به سرقت

بر اساس گزارش دادستان‌ها در شکایت‌نامه، یاروخ در بعدازظهر ۲۸ ژوئیه ۲۰۲۶ از طریق سیگنال با یکی از کارکنان وزارت دادگستری (DOJ Employee 1) تماس گرفت و درخواست ملاقات برای گفتگو در مورد مسائل شخصی را مطرح کرد. دادستان‌ها در شکایت‌نامه خود آورده‌اند: “هنگامی که یاروخ در مقر FBI با کارمند وزارت دادگستری ملاقات کرد، بلافاصله شروع به فروپاشی کرد و داستان خود را بازگو نمود.”

به گفته بازرسان، یاروخ اعتراف کرده است که برای دسترسی به عبارات بازیابی کیف پول‌های ارز دیجیتال مرتبط با تحقیقات مربوط به یک دشمن خارجی ناشناس، به سیستم‌های FBI نفوذ کرده است. او ادعا شده است که این عبارات بازیابی را به خاطر سپرده، کیف پول ارز دیجیتال خود را ایجاد کرده و حدود ۱۰ بار وجوه را به حساب‌های تحت کنترل خود منتقل کرده است. او به بازرسان گفته است که این دارایی‌ها در نهایت به حدود یک میلیون دلار رسیده است.

کشف شواهد

در جریان بازرسی منزل و دستگاه‌های وی، بازرسان یک کیف پول سخت‌افزاری Trezor و عبارات بازیابی ارز دیجیتال دست‌نویس را کشف کردند. طبق سوگندنامه، مأموران حساب Kraken با موجودی حدود ۱۸۸,۵۷۰ دلار را کشف کردند که شامل حدود ۱۶۶,۰۰۰ دلار به صورت دلار آمریکا و نزدیک به ۱۸,۰۰۰ دلار به صورت USDC، همراه با مقادیر کمی بیت‌کوین و سایر ارزهای دیجیتال بود.

درخواست مشاوره از ChatGPT

بازرسان همچنین چندین مکالمه ChatGPT را از تلفن یاروخ بازیابی کردند. طبق سوگندنامه، در ۲۸ مه، او پرسیده بود که چگونه باید یک میلیون دلار را “برای حداکثر کردن سود و بازده” سرمایه‌گذاری یا خرج کند. کمتر از یک هفته بعد، او پرسید که فردی با حدود یک میلیون دلار برای خروج از ایالات متحده و تبدیل شدن به مقیم یا شهروند یکی از کشورهای اتحادیه اروپا چه کاری باید انجام دهد. جستجوهای بعدی شامل این بود که آیا آمریکایی‌ها هنگام اتصال از طریق ترکیه به ویزا نیاز دارند و کمک به پیش‌نویس ایمیل پیگیری در مورد فرصت شغلی و زندگی در یونان.

برنامه‌ریزی برای سفر خارجی

بازرسان همچنین شواهدی از یک سفر خانوادگی برنامه‌ریزی شده به پرتغال، اسناد وکالت‌نامه مربوط به پرتغال و آنچه دادستان‌ها “سفرهای خارجی که قبلاً گزارش نشده بود” توصیف کردند، کشف کردند. دادستان‌ها استدلال می‌کنند که این شواهد، همراه با اعترافات یاروخ و ارز دیجیتال کشف شده، دلیل کافی برای دستگیری وی در ۳۱ ژوئیه را فراهم کرده است.

اظهارات در مورد پرتغال

در شکایت‌نامه آمده است که مأموران FBI به یاروخ اشاره کردند که فرم‌های وکالت‌نامه برای پرتغال را پیدا کرده‌اند. یاروخ اظهار داشت که قصد ندارد پول را به پرتغال منتقل کند. یاروخ به مأموران FBI گفت که خانواده‌اش سفری را برای سپتامبر ۲۰۲۶ برای ملاقات با دوستان به پرتغال برنامه‌ریزی کرده‌اند. یاروخ متوجه شد که ممکن است نتواند در این سفر شرکت کند، اما ابراز امیدواری کرد که همسر و فرزندش همچنان به این سفر بروند.

صبح بخیر!

خبرهای داغ امروز:

🚩 هک Coldcard پیش از موج چهارم از مرز ۸۹ میلیون دلار گذشت

Coldcard یکی از مورد اعتمادترین کیف پول‌های سخت‌افزاری بیت‌کوین است؛ نوعی دستگاه آفلاین و ایزوله که سرمایه‌گذاران جدی از آن برای نگهداری امن کوین‌ها در سردخانه عمیق استفاده می‌کنند. هفته گذشته، این کیف پول به مرکز یکی از بزرگترین سرقت‌های تاریخ در حوزه خودحفاظتی تبدیل شد. مهاجمان با سوءاستفاده از یک نقص امنیتی که به آن‌ها اجازه می‌داد کلیدهای خصوصی کاربران را بدون لمس دستگاه فیزیکی بازسازی کنند، شروع به تخلیه سیستماتیک بیت‌کوین از کیف پول‌های Coldcard کردند.

علت این مشکل، نقص در سفت‌افزار (firmware) است، نه فیشینگ. یک به‌روزرسانی Coldcard در مارس ۲۰۲۱، بذرهای کیف پول را از یک پشتیبان نرم‌افزاری ضعیف به جای مولد تصادفی سخت‌افزاری دریافت کرده بود که امنیت کلیدهای Mk3 را از ۱۲۸ بیت مورد نظر به حدود ۴۰ بیت کاهش داده بود. این امر حدس زدن کلیدها را ممکن ساخت و به همین دلیل است که کوین‌هایی که سال‌ها بدون دست‌خوردگی باقی مانده بودند، از کیف پول‌هایی که هرگز به اینترنت متصل نشده بودند، برداشت شدند. یکی از قربانیان کانادایی ۱۸.۲۵ بیت‌کوین را از کلیدهایی که در یک صندوق امانات نگهداری می‌شد، از دست داد و نوشت که سخت‌ترین بخش این بود که او «همه کارها را درست انجام داده بود».

میزان سرقت در طول آخر هفته افزایش یافت. آنچه در روز پنجشنبه با تخمین ۳۸ میلیون دلار شروع شده بود، با ردیابی بیشتر توسط محققان، همچنان رو به افزایش بود. Galaxy Research در حال حاضر حدود ۱,۳۶۷ بیت‌کوین به ارزش تقریبی ۸۸.۶ میلیون دلار را در ۴,۵۸۵ آدرس در سه موج مجزا ردیابی کرده و موج جدیدی را در روز شنبه شناسایی کرده است. Galaxy هشدار می‌دهد که این سوءاستفاده همچنان ادامه دارد و تمام دستگاه‌های آسیب‌پذیر در نهایت تخلیه خواهند شد. این شرکت حدود ۶۰۰ آدرس مظنون به مهاجم را به بازرسان فدرال تحویل داده است. موج چهارم احتمالی حملات، خسارت را به نزدیک ۱۱۴ میلیون دلار رسانده است، اگرچه محققان می‌گویند برخی از آخرین حملات را می‌توان با پیش‌دستی در تسویه تراکنش‌ها در ممپول (mempool) اجتناب کرد.

Coinkite، سازنده Coldcard، اعلام کرده است که باید فرض کند مهاجم از هوش مصنوعی برای جستجوی سفت‌افزار متن‌باز آن برای یافتن این نقص استفاده کرده است و اذعان داشت که بررسی هوش مصنوعی خودشان از همین کدها در هفته‌های قبل «این باگ یا هیچ مورد جدی دیگری را پیدا نکرده بود». الکس تورن، رئیس بخش تحقیقات Galaxy، گفت که این برداشت‌ها به صورت برنامه‌ریزی شده به نظر می‌رسند و «احتمالاً با یک مدل زبان بزرگ (LLM) سازماندهی شده‌اند». مدافعان و مهاجمان ابزار یکسانی داشتند، اما این بار فقط برای مهاجم کار کرد.

در کمتر از یک هفته، یک مدل هوش مصنوعی کاندیدای رمزنگاری پسا-کوانتومی را که انسان‌ها قادر به شکستن آن نبودند، شکست، مدل‌های OpenAI از محیط ایزوله خود فرار کرده و به سرورهای شرکت‌های دیگر نفوذ کردند، و اکنون مهاجمان از هوش مصنوعی برای تخلیه ۸۹ میلیون دلار از کیف پول‌هایی که به عنوان استاندارد طلایی خودحفاظتی فروخته می‌شدند، استفاده کرده‌اند. هوش مصنوعی به سرعت به بزرگترین دشمن ارز دیجیتال تبدیل می‌شود. و یکی از ستون‌های اساسی ارز دیجیتال، یعنی ذخیره‌سازی شخصی که فرد را مستقل و کنترل‌کننده ثروت خود می‌سازد، تحت حمله جدی قرار گرفته است.

خزانه‌های شرکتی و ETFها
ردیاب سکه‌های میم

نیمه اول سال ۲۰۲۶، فعال‌ترین دوره شش ماهه در تاریخ سوءاستفاده‌های ارز دیجیتال بود.

گزارش بلاک‌اید: ۱.۱ میلیارد دلار در ۲۱۲ حادثه به سرقت رفت

بر اساس گزارشی جدید از Blockaid، هکرها در نیمه اول سال ۲۰۲۶ موفق به سرقت ۱.۱ میلیارد دلار ارز دیجیتال در قالب ۲۱۲ حادثه امنیتی شدند. این رقم، رکورد بیشترین میزان خسارت در یک دوره شش ماهه را شکسته است.

چهار حادثه بزرگ، ۷۰۷ میلیون دلار خسارت

گزارش Blockaid نشان می‌دهد که چهار حادثه بزرگ شامل KelpDAO، Drift، Resolv و CoW Swap، حدود ۷۰۷ میلیون دلار از کل خسارات را به خود اختصاص داده‌اند.

KelpDAO با ۲۹۲ میلیون دلار، بیشترین زیان را متحمل شد. هکرها با جعل پیام‌های بین زنجیره‌ای، توانستند ذخایر اتریوم این پروتکل را تخلیه کنند. پروتکل Drift، یک صرافی پرپچوال مبتنی بر زنجیره سولانا، نیز در عرض ۱۲ دقیقه متحمل ضرر ۲۸۵ میلیون دلاری شد.

ارتباط حملات با گروه لازاروس

Blockaid هر دو مورد KelpDAO و Drift را به گروه TraderTraitor، زیرمجموعه‌ای از گروه لازاروس که گفته می‌شود تحت حمایت کره شمالی است، نسبت داده است. خسارت ۳۲ میلیون دلاری پروتکل Humanity نیز به همین گروه حمله‌کننده مرتبط دانسته شده است. در مجموع، خسارات مرتبط با کره شمالی به ۶۰۹ میلیون دلار رسید که حدود ۵۵ درصد از کل وجوه سرقت شده در این دوره را شامل می‌شود.

افزایش چشمگیر حملات ماهانه

روند حملات در طول سال نیز شتاب گرفت؛ تعداد حوادث ماهانه از ۱۸ مورد در ژانویه به ۵۷ مورد در ژوئن افزایش یافت. ماه آوریل دردناک‌ترین ماه بود، زیرا هک‌های KelpDAO و Drift Protocol در مجموع ۵۷۷ میلیون دلار را از بین بردند و کل خسارات آن ماه را به ۶۳۵ میلیون دلار رساندند.

سوءاستفاده از کلیدهای ممتاز، پرهزینه‌ترین نوع حمله

بر اساس گزارش Blockaid، سوءاستفاده از کلیدهای ممتاز (privileged key misuse) پرهزینه‌ترین نوع حمله در نیمه اول سال ۲۰۲۶ بود و حدود ۷۹۰ میلیون دلار خسارت به بار آورد که نزدیک به سه چهارم کل وجوه سرقت شده در این دوره است. پس از آن، اکسپلویت‌های انتشار بدون پشتوانه (unbacked mint exploits) در رتبه دوم قرار گرفتند که حمله ۸۰ میلیون دلاری به Resolve برجسته‌ترین مورد آن بود. با این حال، هک‌های سطح کد، بیشترین تعداد حملات را به خود اختصاص دادند و نزدیک به چهار پنجم کل حملات را شامل شدند.

عوامل هوش مصنوعی، هدف جدید هکرها

این گزارش به عوامل هوش مصنوعی به عنوان یک هدف جدید اشاره کرده است. در ماه مه، هکرها با استفاده از حمله تزریق پرامپت (prompt injection)، عامل هوش مصنوعی Bankr را فریب دادند تا یک تراکنش غیرمجاز به ارزش حدود ۲۱۶ هزار دلار را تأیید کند.

پل‌های بین زنجیره‌ای در تیررس حملات

پل‌های بین زنجیره‌ای (cross-chain bridges) نیز متحمل خسارات قابل توجهی شدند. مهاجمان با جعل اثبات‌ها و گواهی‌ها که توسط زنجیره‌های مقصد پذیرفته شد، سیستم‌های تأیید KelpDAO و Taiko را مورد نفوذ قرار دادند.

روش‌های حمله جدید و آسیب‌پذیری‌های قدیمی

تیم‌های امنیتی در سال ۲۰۲۶ با روش‌های حمله جدیدتری روبرو شدند. Blockaid چهار حادثه مرتبط با حملات تفویض اختیار کیف پول EIP-7702 را شناسایی کرد، که در آن یک کیف پول می‌تواند کنترل خود را به یک قرارداد هوشمند واگذار کند. قراردادهای هوشمند قدیمی نیز همچنان یک آسیب‌پذیری رایج باقی مانده‌اند و داده‌ها نشان می‌دهند که در ماه‌های مه و ژوئن حدود پنج مورد از این نوع حملات رخ داده است، از جمله دو مورد مربوط به Aztec Connect و یک مورد هدف قرار دادن AMM V3 ریوم.

فشارهای ادامه‌دار بر زیرساخت‌های ارز دیجیتال

حوادث اخیر خارج از دوره گزارش شده نیز نشان‌دهنده فشارهای مشابه بر زیرساخت‌های ارز دیجیتال است. به عنوان مثال، در ۲۳ ژوئیه، AFX Trade، BSquaredNetwork و Verus در حملات جداگانه‌ای در یک روز هدف قرار گرفتند که در مجموع بیش از ۳۵ میلیون دلار خسارت به بار آورد. لازم به ذکر است که Verus حدود دو ماه قبل نیز مورد یک سوءاستفاده دیگر قرار گرفته بود و Blockaid هر دو حادثه را به یک قرارداد پل (bridge contract) و کلاس باگ مشابه نسبت داده است.

نتایج متفاوت بازیابی وجوه

نتایج بازیابی وجوه بسته به نوع حمله متفاوت بود. طبق گزارش، حوادث مرتبط با کد گاهی اوقات به تیم‌ها اجازه می‌داد تا وجوه را مسدود کنند یا بازگشت آن‌ها را مذاکره کنند، در حالی که حملات شامل کلیدهای دزدیده شده معمولاً با انتقال پول از طریق میکسرها یا مسیرهای بین زنجیره‌ای به پایان می‌رسید.

سرمایه‌گذاران ارز دیجیتال در نیمه اول سال ۲۰۲۶ نزدیک به یک میلیارد دلار متضرر شدند و ابزارهای امنیتی رایج نیز نتوانستند مانع این خسارت شوند.

خسارات سنگین در نیمه اول ۲۰۲۶

شرکت تحقیقات امنیتی ack3، از ژانویه تا ژوئن، ۱۳۵ مورد سوءاستفاده را تأیید کرده که منجر به خساراتی به ارزش ۹۳۹.۸۶ میلیون دلار شده است. این بدان معناست که به طور متوسط در هر مورد، ۶.۹۶ میلیون دلار از دست رفته است. این شرکت مجموعه داده‌های حوادث خود را به صورت عمومی منتشر کرده تا امکان بررسی دقیق تمامی اعداد فراهم باشد.

نکته‌ای که باید برای سرمایه‌گذاران خرد نگران‌کننده باشد این است که از مجموع پول‌های به سرقت رفته از پروژه‌هایی که مورد حسابرسی قرار گرفته بودند، ۹۴.۴ درصد از طریق کدهایی یا زیرساخت‌هایی که حسابرسان هرگز بررسی نکرده بودند، خارج شده است. به عبارت دیگر، گواهی سبز حسابرسی فقط درهای اصلی را پوشش داده بود، در حالی که سارقان از طریق ورودی بارگیری وارد شده بودند.

دو سرقت بزرگ، بخش عمده‌ای از خسارات

دو سرقت عظیم، بخش عمده‌ای از این خسارات را تشکیل می‌دهند و هیچ‌کدام ناشی از باگی نبوده که حسابرسان از قلم انداخته باشند.

در ماه آوریل، پروتکل Kelp DAO با از دست دادن ۲۹۲ میلیون دلار در بخش rsETH مواجه شد. مهاجمان با به خطر انداختن تنها تأییدکننده پیام پروتکل LayerZero، یک پیام بین‌زنجیره‌ای را جعل کردند؛ این یک نقطه ضعف واحد و بدون پشتیبان بود.

دو هفته قبل از آن، Drift، پلتفرم معاملات آتی بزرگ در شبکه سولانا، ۲۸۵ میلیون دلار را از دست داد. تحقیقات نشان می‌دهد که عاملان این حمله که با کره شمالی مرتبط دانسته شده‌اند، ماه‌ها صرف مهندسی اجتماعی برای دستیابی به کلیدهای مدیریتی کرده بودند. مجموع این دو سرقت به ۵۷۷ میلیون دلار می‌رسد که حدود ۶۱ درصد از کل مبالغ به سرقت رفته در این نیمه سال است. این نه تنها شکست ریاضی، بلکه شکست اعتماد و کلیدها بود.

الگوهای تکراری و نقاط ضعف

این الگو در سایر موارد نیز تکرار شده است. Step Finance (۴۰ میلیون دلار)، Humanity Protocol (۳۲ میلیون دلار) و استیبل‌کوین USR متعلق به Resolv (۲۴.۵ میلیون دلار) همگی از طریق کلیدهای خصوصی به خطر افتاده و زیرساخت‌های امضا، یعنی توسط انسان‌ها و نه قراردادهای هوشمند، تخلیه شدند. پل‌های بین‌زنجیره‌ای نیز میدان دیگری برای این حملات بودند، از Verus (۱۱.۵ میلیون دلار) گرفته تا Syscoin (۸ میلیون دلار) و Taiko (۱.۷ میلیون دلار).

هیچ مکانی امن نبود، حتی پروژه‌های بزرگ و شناخته شده. Polymarket دو بار مورد حمله قرار گرفت: در ماه مه یک کیف پول داخلی با ۷۰۰ هزار دلار تخلیه شد و در ماه ژوئن، یک حمله زنجیره تأمین به رابط کاربری (front-end) به ارزش ۳.۱ میلیون دلار رخ داد که وب‌سایت خودشان را به یک ابزار تخلیه کیف پول تبدیل کرد.

دامنه CoW Swap نیز ربوده شد. و در جالب‌ترین اتفاق این نیمه سال، ربات معروف MEV به نام jaredfromsubway.eth که سال‌ها صرف سود بردن از معامله‌گران خرد می‌کرد، خود قربانی یک توکن طعمه (honeypot) شد و ۷.۵ میلیون دلار از دست داد.

حتی پروژه‌هایی که حسابرسی نشده بودند نیز وضعیت بهتری نداشتند. Truebit مبلغ ۲۶.۴ میلیون دلار را به دلیل یک خطای سرریز عدد صحیح (integer overflow) در قیمت‌گذاری توکن‌های جدید خود از دست داد.

حسابرسی‌های قدیمی و ناکارآمد

در مواردی که حسابرسان کد مورد سوءاستفاده را بررسی کرده بودند، گزارش‌ها عمدتاً قدیمی بودند؛ ۱۷ مورد از ۲۰ حسابرسی اخیر، حداقل شش ماه قبل از وقوع حمله هکرها انجام شده بود.

جوزف گاتمایر، مدیرعامل و بنیانگذار Ack3، در پیش‌بینی نگران‌کننده‌ای درباره افزایش ابزارهای هوش مصنوعی گفت:

نکته کلیدی به طرز وحشیانه‌ای ساده است. “حسابرسی شده” یک کلمه بازاریابی است، مگر اینکه سه سوال را بپرسید: دقیقاً چه چیزی بررسی شده، چه زمانی، و امروز چه کسی کلیدها را کنترل می‌کند؟ در نیمه اول سال ۲۰۲۶، پاسخ‌های صادقانه اغلب این بود: این بخش نه، بیش از یک سال پیش، و یک کلید به خطر افتاده که منجر به فاجعه شد.

حسابرسان می‌توانند تمام خطوط کد را بخوانند. اما نمی‌توانند ذهن توسعه‌دهنده را هنگام کلیک کردن روی لینکی از “منابع انسانی” بخوانند.

پلیس سئول اعلام کرد که یک وب‌سایت جعلی استیکینگ که در ماه اکتبر گذشته به مدت هشت روز فعال بود، ۳.۴ میلیون XRP را از ۷۱ سرمایه‌گذار به ارزش ۱۲.۳ میلیارد وون (۸.۵ میلیون دلار) برداشت کرده است. بر اساس گزارش روز پنجشنبه رسانه‌های محلی، دو مرد ۲۹ ساله به اتهام کلاهبرداری تشدید شده به دادستان‌ها ارجاع شده‌اند.

به گفته پلیس، این وب‌سایت با نام Fxrpntwork.com، شبکه Flare و توکن FXRP آن را که هر دو پروژه‌های قانونی هستند، جعل کرده و وعده بازده ماهانه ۱.۵ تا ۱.۸ درصد با تضمین اصل سرمایه را داده بود. گفته می‌شود سرمایه‌گذاران تشویق شده بودند تا XRP را از صرافی‌های داخلی خارج کرده، از طریق پلتفرم‌های خارجی منتقل کنند و به کیف پول‌هایی که این گروه کنترل می‌کردند، واریز نمایند، پیش از آنکه وب‌سایت در ۲۳ اکتبر تعطیل شده و عاملان آن ناپدید شوند.

پلیس اظهار داشت که این گروه اطلاعات نادرستی را در وبلاگ‌های پورتال، مقالات خبری آنلاین و ویکی‌پدیا منتشر کرده و ویدئوهایی در یوتیوب با حضور یک بازیگر اجیر شده تولید کرده بود، تا هر کسی که در مورد پروژه تحقیق می‌کرد، شواهدی به ظاهر مستقل پیدا کند. این طرح پس از راه‌اندازی واقعی FXRP در ماه قبل از آن صورت گرفته بود.

بازیگر ۳۴ ساله نیز به اتهام کلاهبرداری متهم شده است. پلیس میانگین زیان هر قربانی را در طول هفته‌ای که وب‌سایت فعال بود، ۱۷۳ میلیون وون (۱۱۹,۰۰۰ دلار) اعلام کرد.

پلیس بلافاصله پس از شناسایی این طرح، ۱۷.۳ میلیارد وون از دارایی‌ها را در صرافی‌های خارجی مسدود کرد. آن‌ها همچنین اعلام کردند که ۱۰ میلیارد وون دیگر در طول تحقیقات جابجا شده و مفقود است. مجموع این مبالغ به ۲۷.۳ میلیارد وون (۱۸.۸ میلیون دلار) می‌رسد که بازرسان از طریق کیف پول‌های مرتبط با این گروه ردیابی کرده‌اند و این مبلغ به مراتب بیشتر از ۱۲.۳ میلیارد وون تایید شده است که ۷۱ قربانی شناخته شده از دست داده‌اند، که به گفته پلیس نشان‌دهنده قربانیان بیشتر است.

یک صرافی خارجی در ماه اکتبر گذشته پلیس را از افزایش کلاهبرداری‌های استیکینگ مطلع کرده بود. بازرسان ۵۴ حکم بازرسی و توقیف را اجرا کردند، یک مظنون را پس از بازگشت از خارج در مخفیگاهش دستگیر کردند و سایرین را به ترتیب بازداشت نمودند. مرد چهارمی که او نیز ۲۹ ساله است، تحت اعلامیه قرمز اینترپل در خارج از کشور قرار دارد. هیچ یک از این چهار نفر محاکمه نشده‌اند و پلیس هویت آن‌ها را عمومی نکرده است.

پلیس کره جنوبی امسال پرونده‌های متعددی در زمینه ارزهای دیجیتال را پیگیری کرده است، از جمله در ماه ژوئن، اتهاماتی علیه ۲۳ نفر به دلیل پولشویی ۱۱.۱ میلیون دلاری USDT برای یک حلقه فیشینگ مستقر در کامبوج. بازرسان اعلام کرده‌اند که با کلاهبرداری‌های ارز دیجیتال با “تحمل صفر” برخورد خواهند کرد و از سرمایه‌گذاران خواسته‌اند قبل از ارسال وجوه، منابع رسمی را بررسی کنند.