Tag: منفی

کلاهبرداران با جعل هویت نهادهای نظارتی اروپا و صرافی‌های رمزارز، مشتریان شرکت‌های غیرمجاز که در پی تعطیلی این شرکت‌ها دچار سردرگمی شده‌اند را هدف قرار می‌دهند. این هشدار را ناظران بازارهای مالی در سراسر اتحادیه اروپا به روزنامه فایننشال تایمز داده‌اند.

شرکت‌هایی که نتوانسته‌اند تا ضرب‌الاجل اول جولای، مجوز لازم را طبق مقررات بازارهای دارایی‌های رمزارز اتحادیه اروپا (MiCA) دریافت کنند، اکنون به صورت غیرقانونی فعالیت می‌کنند و موظفند به مشتریان خود اعلام کنند که دارایی‌هایشان را برداشت کرده یا به جای دیگری منتقل کنند. تنها ۳۲۳ شرکت در فهرست به‌روزرسانی شده توسط نهاد نظارتی بازارهای اوراق بهادار و سرمایه اروپا (ESMA) در پایان ماه جولای قرار دارند، در حالی که برآورد شرکت داده‌پرداز VASPnet در ماه گذشته نشان می‌دهد بیش از ۱۷۰۰ شرکت غیرمجاز مجبور به توقف فعالیت خواهند شد.

این وضعیت، تعداد زیادی از افراد را در موقعیتی قرار داده است که به سرعت وجوه خود را به یک ارائه‌دهنده ناآشنا منتقل کنند، دقیقاً همان لحظه‌ای که مجرمان منتظر آن هستند. استفان پونتوژو، مدیر اجرایی نهاد نظارتی بازارهای مالی فرانسه (AMF) به فایننشال تایمز گفت: «این لحظه بیش از حد معمول برای کلاهبرداران فرصت‌ساز است.»

نهاد AMF مواردی را ثبت کرده است که در آن کلاهبرداران خود را به جای کارمندان این نهاد جا زده و به مشتریان شرکت‌های غیرمجاز دستور داده‌اند دارایی‌های خود را به یک وب‌سایت جعلی منتقل کنند. ESMA نیز اعلام کرده است از «اقدامات متقلبانه شامل سوءاستفاده از لوگو و هویت ESMA» آگاه است، از جمله اسناد جعلی که برای ترویج کلاهبرداری‌ها استفاده می‌شود. نهاد نظارتی هلند، Autoriteit Financiële Markten، هشدار داده است که معامله‌گران باید هرگونه درخواست شخص ثالث برای انتقال وجوه را با احتیاط تلقی کرده و آن را با وب‌سایت و اپلیکیشن رسمی ارائه‌دهنده تأیید کنند.

نهاد AMF از تعیین ضرب‌الاجل تهاجمی برای پایان فعالیت شرکت‌های غیرمجاز در فرانسه خودداری کرده است، با این استدلال که ایجاد فوریت مصنوعی، افراد را به سمت کلاهبرداری سوق می‌دهد و از مشتریان خواسته است برای انتخاب ارائه‌دهنده جایگزین وقت کافی صرف کنند. پونتوژو افزود که این نهاد در مواردی که مجرمان خود را به جای این نهاد یا شرکت‌های مجاز جا بزنند، پرونده‌ها را به مراجع قضایی ارجاع خواهد داد.

مقررات MiCA، مجموعه‌ای از رژیم‌های ملی پراکنده را با یک مجوز واحد جایگزین کرده است که در تمام ۲۷ کشور عضو اتحادیه اروپا اعتبار دارد و دوره گذار آن در اول جولای به پایان رسید. Coinbase، Kraken و OKX از جمله شرکت‌هایی هستند که مجوز دریافت کرده‌اند.

بایننس بزرگترین شرکتی است که هنوز مجوز ندارد. این شرکت در ماه ژوئن پس از گزارش‌هایی مبنی بر رد درخواستش توسط نهاد نظارتی یونان، درخواست خود را پس گرفت و اعلام کرد که در جای دیگری به دنبال تأییدیه خواهد بود. نهاد نظارتی اوراق بهادار اسپانیا نیز چند روز قبل از پایان مهلت، هرگونه تمدید را رد کرده بود.

شرکت Chainalysis زیان ناشی از کلاهبرداری‌ها و تقلب‌های رمزارزی را در سال گذشته ۱۷ میلیارد دلار برآورد کرده است که این رقم بر اساس روندهای تاریخی، در مقایسه با ۶ میلیارد دلار پنج سال قبل، افزایش چشمگیری را نشان می‌دهد. جعل هویت یکی از سریع‌ترین دسته‌های رو به رشد در میان این نوع کلاهبرداری‌ها است که این شرکت رصد می‌کند.

حملات خشونت‌آمیز علیه دارندگان ارز دیجیتال در سال ۲۰۲۶ رکورد زد

پاریس، فرانسه – حملات فیزیکی که دارندگان ارز دیجیتال را هدف قرار می‌دهند، در سال ۲۰۲۶ در بدترین وضعیت خود قرار دارند و طبق گزارشی از شرکت تحلیلی بلاک‌چین Chainalysis، بیش از ۳۰ میلیون دلار در نیمه اول سال به سرقت رفته است.

در گزارشی که روز پنجشنبه منتشر شد، Chainalysis ۴۶ حمله خشونت‌آمیز مرتبط با ارز دیجیتال را تا اواخر ژوئن مستند کرده و تخمین زده است که قربانیان بیش از ۳۰ میلیون دلار در این حملات از دست داده‌اند.

Chainalysis در این گزارش نوشت: «حملات خشونت‌آمیز که دارندگان ارز دیجیتال را هدف قرار می‌دهند، از جمله ورود به منزل، آدم‌ربایی و گروگان‌گیری، که گاهی در محافل امنیتی «حملات آچار» نامیده می‌شوند، در سال‌های اخیر افزایش یافته است. مجرمان متوجه شده‌اند که دارندگان ارز دیجیتال اهداف ارزشمندی هستند زیرا ثروت خود را در شکلی قابل انتقال فوری و غیرقابل برگشت در اختیار دارند.»

حمله آچار به استفاده از تهدید یا خشونت فیزیکی برای وادار کردن قربانیان به تحویل دادن ارز دیجیتال اشاره دارد.

در حالی که آدم‌ربایی همچنان رایج‌ترین نوع حمله است، ورود به منزل فراوانی بیشتری یافته و از ۲۶ درصد در سال ۲۰۲۳ به ۳۷ درصد از حوادث مستند شده رسیده است. Chainalysis همچنین دریافت که مهاجمان به طور فزاینده‌ای بستگان و آشنایان را برای فشار بر قربانیان جهت انتقال ارز دیجیتال هدف قرار می‌دهند.

Chainalysis نوشت: «ورود به منزل به مجرمان اجازه می‌دهد تا قربانیان را در یک محیط کنترل شده که می‌توانند انتقال وجوه را اجبار کنند، روبرو کنند. در مقابل، آدم‌ربایی اجرای بسیار دشوارتری دارد. مهاجمان باید زمان و منابع قابل توجهی را برای برنامه‌ریزی لجستیک صرف کنند؛ و دوره‌های طولانی سپری شده با قربانیان، مهاجم را برای مدت طولانی‌تری در معرض خطر قرار می‌دهد.»

فرانسه به مرکز اصلی حملات آچار تبدیل شده و تا اواسط سال ۲۰۲۶، ۳۰ حادثه را ثبت کرده که بیشتر از هر کشور دیگری است. Chainalysis اعلام کرد که این افزایش به نظر می‌رسد با نقض ادعایی سوابق مالیاتی مرتبط باشد که اطلاعات مربوط به دارندگان ارز دیجیتال با دارایی خالص بالا را فاش کرده است.

این گزارش همچنین تفاوت‌های گسترده‌ای را در نحوه برخورد مهاجمان با وجوه سرقت شده نشان داد. در حالی که به نظر می‌رسد برخی از مهاجمان تنها درک اولیه از ارز دیجیتال دارند و وجوه سرقت شده را مستقیماً به صرافی‌های متمرکز منتقل می‌کنند بدون اینکه تلاشی برای پنهان کردن ردپای خود داشته باشند، برخی دیگر از روش‌های بسیار پیچیده‌تری برای مبهم کردن مقصد پول استفاده می‌کنند.

Chainalysis نوشت: «مهاجمان سطح متوسط، آشنایی بیشتری با زیرساخت ارز دیجیتال نشان می‌دهند. آنها ممکن است از صرافی‌های غیرمتمرکز، پل‌ها، ربات‌های MEV و سایر ابزارهای DeFi برای مبادله و جابجایی دارایی‌ها در زنجیره‌ها استفاده کنند. آنها درک می‌کنند که صرافی‌های متمرکز نقاط گلوگاهی با برنامه‌های انطباق پیچیده و KYC کاربر هستند و تلاش می‌کنند از تعامل با آنها اجتناب کنند یا آن را به تأخیر بیندازند.»

این گزارش در حالی منتشر می‌شود که حملات خشونت‌آمیز علیه دارندگان ارز دیجیتال همچنان رو به افزایش است.

در ماه فوریه، CertiK گزارش داد که حملات آچار در سال ۲۰۲۵ با ۷۵ درصد افزایش به ۷۲ حادثه رکورد زده است و فرانسه به عنوان کانون این حملات ظهور کرده است. در ماه آوریل، مقامات فرانسوی در ۱۲ تحقیق، ۸۸ مظنون از جمله بیش از ۱۰ نفر زیر سن قانونی را متهم کردند، زیرا تحقیقات خود را در مورد باندهای سازمان‌یافته پشت موجی از حملات خشونت‌آمیز آچار ارز دیجیتال گسترش دادند.

در ماه ژوئن، مقامات فرانسوی مردی را که متهم به مشارکت در یک حمله آچار ارز دیجیتال پس از ادعای جعل هویت افسر پلیس بود، متهم کردند. در ماه ژوئیه، CertiK اعلام کرد که قرار گرفتن مالی ناشی از حملات آچار در نیمه اول سال ۲۰۲۶ به ۱۲۴ میلیون دلار رسیده است. این هفته، پنج مرد در لندن به دلیل حبس و شکنجه دو میلیونر فرانسوی ارز دیجیتال در یک طرح اخاذی محکوم شدند.

فراتر از موج حملات آچار در اروپا، باج‌خواهی با بیت‌کوین نیز در ایالات متحده خبرساز شده است. اوایل سال جاری، یادداشت‌های باج‌خواهی که خواستار بیت‌کوین بودند، در جریان تحقیقات در مورد آدم‌ربایی مادر مجری برنامه “Today”، نانسی گاتری، مطرح شد.

بنیانگذار ELIZAOS توکن را پس از تخلیه خزانه به دلیل شکایت قضایی، رها کرد

شاو والترز، بنیانگذار Eliza Labs، در تاریخ ۴ اوت ۲۰۲۶ اعلام کرد که توکن ELIZAOS به پایان راه خود رسیده است. این اتفاق پس از آن رخ داد که تسویه حساب در یک دعوای جمعی، آخرین ذخایر پروژه را از بین برد و باعث شد قیمت توکن به پایین‌ترین حد خود در حدود ۰.۰۰۰۲۸۹ دلار سقوط کند و یکی از نام‌های برجسته در چرخه عوامل هوش مصنوعی به پایان کار خود برسد.

این اعلامیه پرسش صریحی را مطرح می‌کند: هنگامی که یک بنیانگذار به طور صریح یک توکن را بدون هیچ برنامه بازخرید و جایگزینی رها می‌کند، دارندگان باقی‌مانده دقیقاً در برابر چه چیزی معامله می‌کنند؟

محرک فوری این اتفاق، تسویه حساب با Burwick Law بود که یک دعوای جمعی فدرال را به اتهام بازاریابی گمراه‌کننده، شیوه‌های تجاری فریبنده و آسیب به سرمایه‌گذاران مرتبط با پروژه AI16Z و مهاجرت بعدی آن به ELIZAOS، مطرح کرده بود.

والترز اظهار داشت که این بنیاد توانایی مالی لازم برای مقابله با ادعاها در دادگاه را نداشت، بنابراین وجوه باقی‌مانده خود را برای تسویه واگذار کرد. این تسویه حساب هیچ ذخیره‌ای را باقی نگذاشت، که به گفته والترز به معنای صفر زیرساخت حمایتی برای توکن در آینده است.

والترز در پستی طولانی در X در تاریخ ۴ اوت، توکن را مرده و بنیاد را در حال انحلال اعلام کرد و بیان داشت که هیچ بازخریدی، هیچ کاهشی در عرضه و هیچ توکن جایگزینی وجود نخواهد داشت.

وی افزود که مالکیت معنوی (IP) را در اختیار دارد و قصد دارد از نو شروع کند، بدون اینکه توکن آینده‌ای به نام Eliza مرتبط باشد. به دارندگان به صراحت گفته شد که انتظار هیچ گونه حمایت مالی سازمان‌یافته‌ای از سوی پروژه را نداشته باشند.

تسویه حساب شکایت، رویداد پایانی بود، اما زوال از قبل ساختاری بود. توکن اصلی AI16Z در اواخر سال ۲۰۲۴، در اوج رونق عوامل هوش مصنوعی، بر روی شبکه سولانا راه‌اندازی شد و به ارزش‌گذاری ترکیبی اکوسیستم حدود ۲.۴ تا ۲.۵ میلیارد دلار در میان توکن‌های شبیه به Eliza دست یافت، سپس به ELIZAOS مهاجرت و مجدداً نام‌گذاری شد که عرضه را به شدت افزایش داد و بلافاصله قیمت را تحت فشار قرار داد.

تا زمانی که والترز اعلامیه خود را صادر کرد، ELIZAOS بیش از ۹۷ درصد از اوج ارزش خود را از دست داده بود.

این توکن اکنون با کسری از سنت معامله می‌شود، که تضاد فاحشی با اوج ارزش‌گذاری حدود ۲.۴ تا ۲.۵ میلیارد دلاری است که اکوسیستم گسترده‌تر Eliza زمانی از آن برخوردار بود.

این شکاف بین اوج روایت و واقعیت فعلی برای توکن‌های عامل هوش مصنوعی از گروه سال ۲۰۲۴ غیرمعمول نیست، اما ترکیب بازسازی با گسترش عرضه، عملکرد ضعیف طولانی‌مدت و اکنون رها شدن صریح توسط بنیانگذار، ELIZAOS را به یک مورد مطالعاتی به طور غیرمعمولی کامل در مورد چگونگی فروپاشی آن الگو تبدیل می‌کند.

فشار فروش گسترده‌تر آلت‌کوین‌ها، خسارات وارده به بخش عوامل هوش مصنوعی را تشدید کرده است، اما ELIZAOS حتی قبل از بدتر شدن شرایط کل بازار، عملکرد ضعیف‌تری نسبت به توکن‌های قابل مقایسه داشت. شکایت، علت فوری فروپاشی نهایی بود؛ علل ساختاری به مکانیسم‌های مبادله توکن و فرسایش پایدار اعتماد جامعه که به دنبال آن آمد، بازمی‌گردد.

والترز خط روشنی بین توکن و نرم‌افزار زیربنایی کشید. چارچوب متن‌باز ElizaOS، که به توسعه‌دهندگان اجازه می‌دهد عوامل هوش مصنوعی خودکار را بسازند که با پلتفرم‌های اجتماعی، شبکه‌های بلاک‌چین و کیف پول‌های دیجیتال تعامل دارند، توسعه مستقل از هرگونه توکن ادامه خواهد یافت.

والترز گفت که تیم فعال باقی مانده است و توسعه نرم‌افزار را به جای رکود، شتاب‌دهنده توصیف کرد.

وی همچنین انتقاد صریحی از فرهنگ توکن‌های رمزارزی مطرح کرد و استدلال کرد که این فرهنگ به طور سیستماتیک به جای توسعه محصول، به سوداگری پاداش می‌دهد و او جامعه توسعه‌دهندگان هوش مصنوعی را با رویکردی اساساً متفاوت و سازنده‌تر در حال فعالیت می‌بیند.

اینکه آیا این ارزیابی به پذیرش مداوم چارچوب ElizaOS توسط توسعه‌دهندگان بدون ساختار انگیزشی توکن منجر می‌شود، پرسش باز و حل نشده‌ای است که این بیانیه باقی می‌گذارد.

برای دارندگانی که هنوز ELIZAOS را در اختیار دارند، پیامدهای عملی آشکار است. هیچ بنیادی، هیچ خزانه‌ای، هیچ کاتالیزور برنامه‌ریزی شده‌ای وجود ندارد. والترز مستقیماً این موضوع را تأیید کرد و به دارندگان باقی‌مانده گفت که هیچ رویداد عرضه یا مکانیزم بازخریدی برای حمایت از قیمت وجود نخواهد داشت.

این توکن بر اساس هرگونه علاقه سوداگرانه موجود بدون هیچ پشتوانه بنیادی معامله خواهد شد، پویاینامیکی که تمرکز توکن و نقدینگی کم، آن را به جای صرفاً ضعیف بودن، از نظر ساختاری ناپایدار می‌سازد.

معاملات باقی‌مانده علی‌رغم عدم وجود هرگونه حمایت پروژه، در صرافی‌های متمرکز ادامه دارد. سیگنال مهم‌تر در آینده این خواهد بود که آیا توسعه‌دهندگان بدون توکن مرتبط به پذیرش چارچوب ElizaOS ادامه خواهند داد، این پرسش در نهایت میراث بلندمدت پروژه نرم‌افزاری را تعیین خواهد کرد.

داستان توکن بسته شده است. داستان نرم‌افزار باز باقی می‌ماند، اگرچه بدون لایه انگیزشی مالی برای هدایت پذیرش، مسیر به طور قابل توجهی باریک‌تر از هجده ماه پیش است.

اوپن‌ای‌آی در تاریخ ۲۱ ژوئیه سابقه جدیدی را رقم زد. این شرکت اعلام کرد که ترکیبی از مدل‌هایش، که هر دو با کاهش محدودیت‌های ایمنی اجرا می‌شدند، در طول یک معیار توانایی سایبری از یک محیط ایزوله خارج شده و به زیرساخت تولیدی مخزن متن‌باز Hugging Face دسترسی پیدا کردند. این مدل‌ها با استفاده از یک آسیب‌پذیری روز صفر در یک پروکسی رجیستری بسته و اعتبارنامه‌های سرقت شده، توانستند پاسخ‌های معیار را مستقیماً از پایگاه داده Hugging Face استخراج کنند.

در به‌روزرسانی یک هفته بعد، اوپن‌ای‌آی اعلام کرد که Hugging Face تنها هدف نبوده است: همین حادثه چهار حساب کاربری را در چهار سرویس دیگر تحت تأثیر قرار داده است، که یکی از آن‌ها به عنوان یک رله خروجی و دیگری برای ذخیره‌سازی داده استفاده می‌شد.

Anthropic، پس از افشای این موضوع، ۱۴۱,۰۰۶ مورد از تست‌های خود را بررسی کرد و سه نفوذ دیگر را کشف کرد. این آزمایشگاه در پستی در تاریخ ۳۰ ژوئیه اعلام کرد که مدل‌های Claude Opus 4.7، Mythos 5 و یک سیستم تحقیقاتی داخلی از محیط‌های تحت مدیریت شریک شخص ثالث Irregular به اینترنت آزاد دسترسی پیدا کرده و سپس سازمان‌های واقعی را به خطر انداخته‌اند. Mythos 5 یک بسته پایتون مخرب را ساخته و در رجیستری عمومی PyPI منتشر کرد که قبل از حذف توسط مدافعان، بر روی ۱۵ دستگاه واقعی دانلود و اجرا شد.

دو شرکت از سه شرکت قربانی متوجه این موضوع نشده بودند.

هیچ یک از این دو آزمایشگاه، مدلی با اهداف مستقل را توصیف نمی‌کنند. این عاملان برای مدت طولانی بدون دخالت انسان عمل می‌کردند و در یک مورد، Opus 4.7 حتی پس از نشانه‌هایی مبنی بر رسیدن به محیط تولید، به حمله ادامه داد.

این حوادث در حالی رخ می‌دهند که هر دو شرکت به دنبال عرضه عمومی سهام هستند که می‌تواند ارزش هر کدام را بیش از ۱ تریلیون دلار تعیین کند و این پرسش مهم را در رقابت معیارهای سایبری هوش مصنوعی تشدید می‌کند: چگونه می‌توان قابلیت‌های خطرناک را بدون حوادث خطرناک آزمایش کرد؟

ایالات متحده هیچ قانون فدرالی برای پوشش مسئولیت خسارات ناشی از هوش مصنوعی ندارد. هر پرونده‌ای به قانون سوءاستفاده و کلاهبرداری رایانه‌ای (Computer Fraud and Abuse Act) متکی خواهد بود، قانونی مصوب ۱۹۸۶ که دسترسی “عمدی” به رایانه بدون مجوز را جرم تلقی می‌کند – زبانی که برای انسانی با قصد و نیت نوشته شده است.

یک عامل هوش مصنوعی شخص حقوقی نیست، بنابراین نمی‌تواند تحت پیگرد قانونی قرار گیرد. وزارت دادگستری به طور نظری می‌تواند علیه شرکت‌ها اتهاماتی را مطرح کند، اما با توجه به سابقه اندک، مشخص نیست چه کسی مقصر است.

مسیر قوی‌تر، مسیر مدنی است. احمد غپور، پژوهشگر حقوق رایانه در دانشکده حقوق نیویورک، استدلال کرده است که این مدل‌ها “ابزار شرکت هستند” و “هنگامی که یک عامل هوش مصنوعی بدون دستورالعمل مشخص عمل می‌کند (…) سوالات جالب‌تر ممکن است در زمینه سهل‌انگاری و مسئولیت محصول (نه قوانین هک کیفری) مطرح شود.”

به نظر من، درس آموخته شده از داستان‌های هک هوش مصنوعی بیشتر مربوط به حکمرانی است تا قابلیت مدل.

کیفیت سازوکارهای حفاظتی مانند معماری مهار، مرزهای مجوز، نظارت و پاسخ به حادثه به طور فزاینده‌ای اهمیت می‌یابد.

مسئولیت‌پذیری و چارچوب‌های قانونی

تمیزترین ادعای قربانیان، سهل‌انگاری است: اوپن‌ای‌آی و Anthropic تست‌هایی را راه‌اندازی و اجرا کردند که از کنترل خارج شدند. این نیز یک ادعای دشوار است: اثبات اینکه آزمایشگاه‌ها وظیفه مراقبت را نقض کرده‌اند، در حالی که تست‌ها طبق طراحی ایزوله شده بودند، دقیقاً همان نوع استدلال نوآورانه‌ای است که یک قاضی باید از ابتدا آن را شکل دهد.

برخی از متفکران حقوقی خواهان قوانین سخت‌گیرانه‌تر هستند. گابریل ویل از دانشگاه هیوستون و مؤسسه حقوق و هوش مصنوعی پیشنهاد کرده است که آزمایشگاه‌های پیشرو را مانند نگهدارندگان حیوانات وحشی در نظر بگیرند: مسئول صرف نظر از مراقبت‌هایی که انجام داده‌اند، زیرا ریسک ذاتی فعالیت است.

با این حال، مجموعه‌ای از لوایح ایالتی در حال حاضر در این مسیر حرکت می‌کنند. لایحه S8833 نیویورک و لایحه H8052 رود آیلند، توسعه‌دهنده یک سیستم هوش مصنوعی پیشرو را در قبال خسارات مسئول می‌دانند، زمانی که هیچ کاربر یا واسطه‌ای قصد رفتار را نداشته یا سهل‌انگاری نکرده است. لایحه AB 316 کالیفرنیا فراتر می‌رود و دفاع “هوش مصنوعی خودمختار” را حذف می‌کند تا یک شرکت نتواند با سرزنش استقلال مدل، از مسئولیت شانه خالی کند.

قانون هوش مصنوعی اتحادیه اروپا (مقررات ۲۰۲۴/۱۶۸۹) نیز تعهداتی را بر عهده ارائه‌دهندگان سیستم‌های پرخطرتر می‌گذارد، اگرچه هیچ بندی به طور خاص برای نفوذهای ناشی از عاملان ندارد. با کمی فراتر رفتن از این، برخی از سیاستمداران ایالات متحده در حال فشار برای قانونی هستند که به دولت یک “کلید قطع کامل” بدهد تا در برابر هر مدلی که برخلاف منافع کشور عمل کند، از آن استفاده کند.

از نظر اخلاقی، مسئولیت به طور قابل بحثی بر عهده مدیرانی است که مدل‌ها را عرضه کردند. از نظر قانونی، ما منتظر می‌مانیم. تا زمانی که یک شرکت هک شده دعوی قضایی مطرح نکند، پاسخ به “چه کسی مسئول است؟” دقیقاً همان جایی باقی می‌ماند که اوپن‌ای‌آی و Anthropic آن را رها کردند: پذیرفته شده، افشا شده و حل نشده.

در همین حال، Hugging Face اعلام کرده است که شکایتی را پیگیری نخواهد کرد – که برای اوپن‌ای‌آی راحت است. سایر شرکت‌های تحت تأثیر هنوز موضع خود را اعلام نکرده‌اند.

شرکت‌های وابسته به بایننس، بنیان‌گذاران RedotPay را به پرداخت حدود ۴۷۳ میلیون دلار محکوم کردند.

شکایت از RedotPay به دلیل انحراف کاربران

شرکت RedotPay با شکایتی مواجه شده است که در آن حدود ۴۷۳ میلیون دلار خسارت از شرکت‌های وابسته به بایننس درخواست شده است. این پرونده بر ادعاهایی متمرکز است مبنی بر اینکه شرکت پرداخت استیبل‌کوین مستقر در هنگ‌کنگ، بیش از ۴۷۰ هزار کاربر را از کارت بایننس منحرف کرده است. این اقدام از طریق اجازه دادن به کاربران برای شارژ کارت‌های پرداخت این شرکت از طریق Binance Pay، خارج از شرایط توافق تجاری موجود صورت گرفته است.

جزئیات پرونده و ادعاهای مطرح شده

خبرگزاری بلومبرگ روز چهارشنبه این شکایت را گزارش داد و به اسناد دادگاه هنگ‌کنگ استناد کرد. این اسناد نشان می‌دهند که شرکت‌های وابسته به صرافی، یعنی Nest Trading، Distributed Technologies Ltd. و Chaintecs Consulting Singapore، این پرونده را علیه بنیان‌گذاران مشترک RedotPay، یعنی گائو ژانگ‌پنگ، چان وا چوی و یائو چائو، مطرح کرده‌اند. شاکیان، خسارت ادعایی را بر اساس ارزش عمر مشتری ۹۲۵ دلاری برای هر کاربر که به گفته آن‌ها منحرف شده، محاسبه کرده‌اند. شرکت Chaintecs همچنین پرونده مشابهی را در سنگاپور مطرح کرده است که قرار است روز جمعه مورد رسیدگی قرار گیرد.

پیش‌زمینه اختلاف و اقدامات بایننس

این اختلاف چند ماه پس از تصمیم بایننس برای پایان دادن به حمایت خود از این شرکت رخ می‌دهد. در به‌روزرسانی قبلی، این صرافی اعلام کرده بود که ویژگی‌ها و قابلیت‌های Binance Pay در پلتفرم RedotPay از تاریخ ۳ آوریل ۲۰۲۶، به عنوان بخشی از بازبینی شرکای تجاری، متوقف خواهد شد.

گسترش فعالیت RedotPay و برنامه‌های آینده

در همین حال، شرکت مستقر در هنگ‌کنگ در حال گسترش حضور خود در حوزه پرداخت‌های رمزارزی و آماده‌سازی برای عرضه عمومی احتمالی سهام خود بوده است. این شرکت در حال مذاکره برای جذب سرمایه تا سقف ۱۵۰ میلیون دلار بود. این تامین مالی بالقوه در حالی صورت می‌گیرد که این شرکت هدف خود را عرضه اولیه سهام در ایالات متحده قرار داده است که می‌تواند ارزش کسب‌وکار آن را به بیش از ۴ میلیارد دلار برساند. بانک‌های JPMorgan Chase، Goldman Sachs و Jefferies Financial Group این شرکت را در زمینه عرضه احتمالی در نیویورک که می‌تواند زودتر از سال جاری میلادی انجام شود، مشاوره می‌دادند.

سوابق تامین مالی و رشد RedotPay

RedotPay در سپتامبر و دسامبر ۲۰۲۵، در دو دور تامین مالی، ۱۹۴ میلیون دلار سرمایه جذب کرده بود. Coinbase Ventures، Circle Ventures و Blockchain Capital از جمله سرمایه‌گذاران آن بودند. RedotPay همچنین رشد قابل توجهی در فعالیت‌های تراکنشی خود داشته است. حجم کل پرداخت سالانه آن در دسامبر ۲۰۲۵ از ۱۰ میلیارد دلار فراتر رفت، در حالی که حجم کل پرداخت سالانه آن ۳۰۰ درصد نسبت به سال قبل افزایش یافته بود.

گسترش نفوذ بایننس در بازارهای مالی

اختلاف RedotPay در حالی رخ می‌دهد که بایننس به گسترش دامنه نفوذ خود در بازار مالی گسترده‌تر ادامه می‌دهد. در ماه ژوئیه، این صرافی اعلام کرد که پایگاه کاربران ثبت‌شده آن به ۳۲۳ میلیون نفر در بیش از ۱۰۰ کشور رسیده است که ۷ درصد در نیمه اول سال ۲۰۲۶ افزایش یافته است. کاربران نهادی نیز در همین دوره ۹ درصد افزایش یافته‌اند. حجم کل معاملات تجمعی آن پس از اضافه شدن ۱۱.۴ تریلیون دلار در شش ماه اول، به ۱۵۶ تریلیون دلار رسید. فراتر از رمزارزها، محصولات مالی سنتی این شرکت از ماه مارس بیش از ۸۰ میلیارد دلار حجم معاملات ماهانه ایجاد کرده است. سرویس معاملات سهام آن که در ماه ژوئن راه‌اندازی شد، در عرض یک ماه از مرز ۱ میلیارد دلار دارایی تحت مدیریت عبور کرد.

سنای دموکرات‌ها بر سر رأی مخالف به پایان بحث بر سر قانون CLARITY به اجماع داخلی روشنی دست یافته‌اند، مگر اینکه جمهوری‌خواهان پیشرفت ملموسی در سه اختلاف حل نشده ایجاد کنند: اجرای مقررات اخلاقی، مفاد مربوط به امور مالی غیرقانونی و بازده استیبل‌کوین.

با آغاز تعطیلات ماه اوت در ۷ اوت، روز جمعه آخرین فرصت واقع‌بینانه برای رأی‌گیری رویه‌ای محسوب می‌شود و این لایحه در حال حاضر ۶۰ رأی لازم برای پیشبرد را ندارد.

برندان پدرسن، خبرنگار پانت‌بول نیوز، در تاریخ ۴ اوت گزارش داد که دموکرات‌ها موضعی قاطع اتخاذ کرده‌اند: بدون پیشرفت در مسائل اخلاقی، امور مالی غیرقانونی و بازده استیبل‌کوین، رأی‌گیری پایان بحث بر سر قانون CLARITY در این هفته شکست خواهد خورد.

آخرین تحولات رمزارز: در حال حاضر اجماع روشنی در میان سناتورهای دموکرات وجود دارد که – بدون پیشرفت در مسائل اخلاقی، امور مالی غیرقانونی و بازده استیبل‌کوین – رأی‌گیری پایان بحث بر سر قانون CLARITY در این هفته با شکست مواجه خواهد شد. دموکرات‌ها در این مرحله با پول صنعت رمزارز متقاعد نخواهند شد.

پدرسن افزود که دموکرات‌ها در این مرحله با هزینه‌های صنعت رمزارز قابل متقاعد شدن نیستند، که نشانه‌ای صریح از کاهش بازده فشار لابی‌گری است.

جمهوری‌خواهان ۵۳ کرسی سنا را در اختیار دارند، اما انتظار می‌رود حداقل دو عضو جمهوری‌خواه به دلایل ماهوی با این لایحه مخالفت کنند، که پایگاه قابل اتکا را محدود می‌کند. این محاسبات، رهبری را مجبور می‌کند تا هفت تا نه رأی از دموکرات‌ها را جلب کند، هدفی که با توجه به موضع جناح دموکرات در آستانه ضرب‌الاجل تعطیلات، دور از دسترس به نظر می‌رسد.

اختلاف در مورد اجرای مقررات اخلاقی

اختلاف بر سر مسائل اخلاقی بر طراحی اجرای مقررات متمرکز است: دموکرات‌ها می‌خواهند دادستان‌های کل ایالتی اختیار داشته باشند تا در صورت عدم اجرای قوانین جدید تضاد منافع که شامل رئیس‌جمهور، معاون رئیس‌جمهور، کنگره و قوه قضائیه فدرال می‌شود، علیه وزارت دادگستری اقدام قانونی کنند.

سناتورها تام تیلیس و روبن گالگوس پیشنهادی دوحزبی در این راستا ارائه کردند، اما تا تاریخ ۳ اوت، کاخ سفید به آن پاسخی نداده بود و این سازش را در هاله‌ای از ابهام قرار داده بود. گالگوس به طور عمومی عدم اقدام جمهوری‌خواهان را دلیلی بر این موضوع عنوان کرده است که اکثریت ممکن است واقعاً خواهان تصویب این لایحه نباشند.

مفاد مربوط به امور مالی غیرقانونی

در مورد امور مالی غیرقانونی، منتقدان – از جمله هیئت تحریریه وال استریت ژورنال – استدلال می‌کنند که برخی از مفاد مربوط به معافیت‌های نوآوری و امور مالی غیرمتمرکز (DeFi) می‌تواند به پروتکل‌های غیرمتمرکز اجازه دهد تا پرداخت‌ها را خارج از پوشش استاندارد قانون رازداری بانکی انجام دهند. انجمن ملی کلانترها نیز به طور جداگانه نگرانی‌هایی را در مورد بند حمایت از توسعه‌دهندگان BRCA مطرح کرده است.

اسکات بسنت، وزیر خزانه‌داری، در واکنش گفته است که این لایحه صرفاً سیاست‌های موجود وزارت دادگستری و خزانه‌داری را در مورد سازندگان غیرامانی (non-custodial builders) تدوین می‌کند، اما این پاسخ نتوانسته شمارش‌کنندگان آرای دموکرات را متقاعد کند.

مسئله بازده استیبل‌کوین

مسئله بازده استیبل‌کوین سومین نقطه اصطکاک را اضافه می‌کند. دموکرات‌ها و هیئت تحریریه وال استریت ژورنال هر دو اشاره کرده‌اند که برخی از زبان لایحه می‌تواند به صادرکنندگان استیبل‌کوین اجازه دهد تا از طریق ساختارهای پاداش مبادله، بازده ارائه دهند و به طور مؤثر از ممنوعیت بازدهی که در قانون GENIUS Act گنجانده شده است، دور بزنند. مذاکره‌کنندگان دموکرات این را یک حفره مالی قابل توجه برای ثبات مالی می‌دانند، نه یک نقص فنی در نگارش.

برای تجزیه و تحلیل دقیق نحوه تعامل حد نصاب ۶۰ رأی و این سه اختلاف به صورت رویه‌ای، محاسبات بی‌رحمانه است: حتی اگر در روز چهارشنبه درخواست پایان بحث ارائه شود، اولین زمان رأی‌گیری رسمی در صحن علنی روز جمعه خواهد بود و یک رأی‌گیری موفق برای پایان بحث بر سر پیشنهاد پیشبرد، همچنان نیازمند مراحل رویه‌ای اضافی قبل از هر رأی‌گیری نهایی برای تصویب است و تقریباً هیچ فرصتی قبل از آغاز تعطیلات باقی نمی‌گذارد.

تحلیلگران برنشتاین در یادداشتی اعلام کردند که عدم اقدام سنا قبل از تعطیلات احتمالاً منجر به فروش ناگهانی و شدید بیت‌کوین و آلت‌کوین‌های پرخطرتر خواهد شد، زیرا بازار جدول زمانی نظارتی را دوباره قیمت‌گذاری می‌کند.

این شرکت همچنان دیدگاه میان‌مدت سازنده‌ای دارد و انتظار دارد که شتاب ساختار بازار رمزارز تا اواخر سه ماهه سوم و اوایل سه ماهه چهارم، پیش از انتخابات میان‌دوره‌ای، افزایش یابد. اهداف سالانه بیت‌کوین در میان تحلیلگران بین ۱۰۰,۰۰۰ تا ۱۵۰,۰۰۰ دلار متغیر است، در حالی که توقف مداوم نظارتی، احتمال آزمایش کف قیمت ۵۵,۰۰۰ تا ۶۰,۰۰۰ دلاری را افزایش می‌دهد.

برایان آرمسترانگ، مدیرعامل کوین‌بیس، و گری‌اسکیل هر دو به طور عمومی خواستار رأی‌گیری فوری در صحن سنا شده‌اند. حامیان صنعت، از جمله بلک‌راک، فیدلیتی و گلدمن ساکس، قانون CLARITY را به عنوان مهم‌ترین قانون نظارتی و ساختار بازار رمزارز در تاریخ ایالات متحده توصیف کرده‌اند.

این ائتلاف برای پر کردن شکاف مخالفت سه‌وجهی جناح دموکرات کافی نبوده است.

اسکات بسنت، وزیر خزانه‌داری، نیز فشار عمومی وارد کرده و از سنا خواسته است که فوراً به قانون CLARITY رأی دهد و از مفاد حمایت از توسعه‌دهندگان در برابر فشار مجریان قانون دفاع کرده است.

با این حال، محاسبات رویه‌ای و موضع دموکرات‌ها از زمان انتشار متن ادغام شده ۶۱۶ صفحه‌ای در ۲۲ ژوئیه، به طور قابل توجهی تغییر نکرده است.

اولین محرک فوری که باید زیر نظر داشت این است که آیا تیلیس در روز چهارشنبه درخواست پایان بحث را ارائه خواهد کرد یا خیر. اگر او این کار را انجام دهد، رأی‌گیری روز جمعه آخرین فرصت معتبر قبل از تعطیلات خواهد بود؛ اگر او این کار را نکند، این لایحه عملاً تا سپتامبر به تعویق خواهد افتاد. هرگونه پیشرفتی در پیشنهاد متقابل اخلاقی، به ویژه تأیید کاخ سفید بر سازوکار اجرای تیلیس-گالگوس، روشن‌ترین نشانه از این خواهد بود که توافق قبل از پایان ضرب‌الاجل تعطیلات اوت در دسترس است.

اگر لایحه به پاییز موکول شود، توجه به این موضوع معطوف خواهد شد که آیا هزینه‌های تهاجمی کمیته‌های اقدام سیاسی (PAC) با حمایت رمزارز در ماه اوت که کرسی‌های رقابتی سنا را هدف قرار می‌دهند، محیط مذاکره دوحزبی را کاملاً مسموم می‌کند، سناریویی که دستیاران دموکرات به صراحت آن را عامل شکست‌دهنده توافق برای مذاکرات پس از تعطیلات عنوان کرده‌اند.

مؤسسه امنیت هوش مصنوعی بریتانیا (AISI) اعلام کرد که عامل‌های هوش مصنوعی در جریان یک ارزیابی سایبری در اواخر ماه ژوئیه، اقداماتی “پایدار و غیرمجاز” را در اینترنت زنده انجام داده‌اند که در برخی موارد “افراد و سازمان‌های واقعی را هدف قرار داده است”.

در ۱۲۲ دور اجرا بر روی دو محیط آزمایشی سایبری با استفاده از هفت مدل، AISI در ۱۰ دور اجرا، ۱۹ اقدام را که از محیط آزمایشی فراتر رفته بود، ثبت کرد. ۱۷ مورد از این اقدامات مربوط به مدل Claude Mythos 5 از Anthropic و دو مورد از مدل GPT-5.6 Sol از OpenAI بود. دسترسی به اینترنت به طور عمدی فعال شده و طبقه‌بندی‌کننده‌های سایبری ارائه‌دهندگان غیرفعال شده بودند؛ شرایطی که در استقرار عمومی اعمال نمی‌شود.

مؤسسه امنیت هوش مصنوعی بریتانیا در توییتی در تاریخ ۴ اوت ۲۰۲۶ نوشت: “در تاریخ ۲۸ ژوئیه، ما در جریان یک ارزیابی سایبری معمول، حادثه‌ای را شناسایی کردیم که در آن عامل‌های هوش مصنوعی اقدامات پایدار و غیرمجاز را با هدف قرار دادن افراد و سازمان‌های واقعی انجام دادند. این رفتار عمدتاً از یک مدل (Mythos 5 از Anthropic) سرچشمه می‌گرفت و تعداد کمی رویداد از مدل دیگر نیز مشاهده شد.”

در جدی‌ترین دور اجرا، یک عامل هوش مصنوعی تصمیم گرفت چالش خود را با حمله زنجیره تأمین حل کند و با اشتباه، هدف خود را انتخاب کرد: این عامل با جستجوی کلیدواژه‌های مربوط به تمرین در GitHub، به دو توسعه‌دهنده مستقل برخورد و به اشتباه نتیجه گرفت که آن‌ها در محدوده هدف قرار دارند. این عامل برای عبور از بررسی‌های ثبت‌نام، حساب‌هایی را از طریق Tor ثبت کرد، یک درخواست ارسال (pull request) حاوی یک بدافزار مخفی که در یک رفع اشکال واقعی پیچیده شده بود، ارسال کرد و از حساب دومی که کنترل می‌کرد برای ایجاد پشتیبانی استفاده نمود. همچنین تزریق‌های دستوری (prompt injections) را با هدف دستیارهای کدنویسی هوش مصنوعی انجام داد و بدافزار را برای نگهدارندگان ارسال کرد.

یک توسعه‌دهنده سوم کد تزریق شده را شناسایی کرد، آن را در یک محیط ایزوله اجرا کرد تا مخرب بودن آن را تأیید کند و به نگهدارنده هشدار داد که درخواست ارسال را به دلیل وجود بدافزار رد کرد.

این عامل هوش مصنوعی به طور مکرر در مورد شبیه‌سازی بودن محیط خود تردید می‌کرد و در یک مقطع، حمله به PyPI واقعی را رد کرد زیرا “ایجاد آسیب در دنیای واقعی – این کاملاً خارج از بحث است.” در جای دیگر نتیجه گرفت که “به نظر می‌رسد ما در سال ۲۰۲۶ هستیم و GitHub واقعاً واقعی است” و با این حال به کار خود ادامه داد.

پس از شناسایی، این عامل برای پاک کردن محموله مخرب، push اجباری انجام داد، پست‌های قبلی را ویرایش کرد و کد را به عنوان یک کامیت تصادفی ارائه داد. استدلال آن شامل زمان‌بندی یک نظر ساختگی (sockpuppet) به گونه‌ای بود که “به عنوان بازخورد مستقل به جای هماهنگ شده” تلقی شود.

AISI تنها خلاصه‌ای از استدلال‌ها را از API مدل‌ها دریافت می‌کند. در یک مورد، به نظر می‌رسد مدل خلاصه‌کننده از انجام وظیفه خودداری کرده و پاسخ داده است که با محتوای مربوط به فریب دادن نگهدارندگان و فرار از شناسایی همکاری نخواهد کرد.

یک عامل هوش مصنوعی توکن دسترسی GitHub را در یک gist عمومی منتشر کرد. عامل‌های دیگر در دورهای دیگر آن را پیدا کردند، حساب را در اختیار گرفتند و از یک مخزن مشترک برای هماهنگی استفاده کردند؛ یکی از آن‌ها دستورالعمل‌هایی را برای جلوگیری از اتمام سهمیه API مشترک توسط دیگران باقی گذاشت.

نظارت تجاری ترافیک Tor را در صبح روز ۲۸ ژوئیه شناسایی کرد. AISI حادثه را اعلام کرد، اجراها را خاتمه داد و ماشین‌ها را در حدود ۹۰ دقیقه قرنطینه کرد، سپس دسترسی داخلی به Mythos 5، Mythos Preview، Opus 5 و GPT-5.6 Sol را قطع کرد. هیچ عاملی تلاش نکرد از محیط ایزوله خود فرار کند.

این خبر آخرین مورد در رشته حوادثی است که در آن عامل‌های هوش مصنوعی در طول آزمایش‌ها از پارامترهای خود فراتر رفته‌اند. در تاریخ ۲۱ ژوئیه، OpenAI اعلام کرد که GPT-5.6 Sol و یک مدل منتشر نشده، یک آسیب‌پذیری روز صفر (zero-day) را در یک پروکسی بسته داخلی کشف کرده، از یک محیط ایزوله بدون دسترسی به اینترنت فرار کرده و به پایگاه داده تولیدی Hugging Face برای سرقت پاسخ‌های بنچمارک دسترسی یافته‌اند. OpenAI یک هفته بعد فاش کرد که همان اجرا به چهار شرکت دیگر نیز دسترسی پیدا کرده است.

Anthropic در تاریخ ۳۰ ژوئیه، سه حادثه کشف شده در بررسی بیش از ۱۴۱,۰۰۰ اجرای ارزیابی را فاش کرد. Opus 4.7 صدها ردیف از یک پایگاه داده تولیدی واقعی را استخراج کرد و Mythos 5 یک بسته پایتون مخرب را در PyPI واقعی بارگذاری کرد که در ۱۵ سیستم نصب شد. در ارزیابی AISI، همین مدل حمله به PyPI را به دلیل آسیب در دنیای واقعی رد کرده بود.

سناتورهای آمریکایی الیزابت وارن و ریچارد بلومنتال با ارسال نامه‌ای به پل اتکینز، رئیس کمیسیون بورس و اوراق بهادار آمریکا (SEC)، خواستار تحقیق این نهاد درباره میم کوین منتسب به دونالد ترامپ، رئیس‌جمهور سابق آمریکا، شده‌اند. آن‌ها استدلال می‌کنند که این اقدام ممکن است به تسهیل کلاهبرداری یا سودجویی غیرقانونی به ضرر سرمایه‌گذاران خرد منجر شده باشد.

درخواست تحقیق از SEC

این قانون‌گذاران به گزارش‌هایی استناد کردند که نشان می‌دهد نزدیک به یک میلیون سرمایه‌گذار در مجموع بیش از ۳.۸ میلیارد دلار در این توکن از زمان راه‌اندازی آن در ژانویه ۲۰۲۵ (تنها چند روز پیش از تحلیف ترامپ) تا پایان ژوئن ۲۰۲۶ از دست داده‌اند.

در همین بازه زمانی، گزارش شده است که رئیس‌جمهور سابق آمریکا و خانواده‌اش حدود ۶۳۶ میلیون دلار از طریق کارمزدهای معاملاتی و سایر جریان‌های درآمدی مرتبط با این توکن کسب کرده‌اند.

عدم تقارن سود و زیان

وارن و بلومنتال ادعا کردند که عدم تقارن بین زیان سرمایه‌گذاران و سود افراد داخلی، مستلزم تحقیقات رسمی SEC در مورد ساختار و بازاریابی این پروژه است. آن‌ها به ادعاهایی اشاره کردند که برخی معامله‌گران پیش از واکنش عمومی گسترده‌تر از راه‌اندازی میم کوین سود برده‌اند، که این موضوع باعث ایجاد تردیدهایی در مورد احتمال معاملات داخلی شده است.

این سناتورها استدلال کردند که چنین اقداماتی و افت ۹۸ درصدی قیمت توکن TRUMP از بالاترین سطح خود، می‌تواند شبیه به یک “کلاهبرداری نرم” (soft rug pull) باشد.

سوابق و هشدارهای مشابه

این نامه به اقدامات اجرایی قبلی SEC علیه طرح‌های مشابه ارزهای دیجیتال و هشدارهای اخیر برخی از تنظیم‌کنندگان ایالتی، مانند نیویورک، در مورد طرح‌های پامپ و دامپ (pump-and-dump) و راگ پول (rug pulls) در حوزه میم کوین‌ها اشاره دارد.

توکن Official Trump پس از راه‌اندازی در عرض چند ساعت به بیش از ۷۰ دلار رسید، اما تا زمان انتشار این خبر به زیر ۱.۵۰ دلار سقوط کرده است. این توکن همچنین یک سال و نیم پس از تبدیل شدن به یکی از ۲۰ دارایی برتر و دومین میم کوین بزرگ، از بین ۱۰۰ آلت کوین برتر بر اساس ارزش بازار حذف شده است.

در همین حال، تیم پشت این توکن با فروش‌های متعدد همزمان با سقوط قیمت آن مرتبط دانسته شده است.

هک کیف پول‌های کولدکارد؛ بیش از ۱۳۰ میلیون دلار بیت‌کوین به سرقت رفت

مهاجمان توانسته‌اند به کیف پول‌های بیت‌کوین دسترسی پیدا کنند که پیش از این غیرقابل دسترس تلقی می‌شدند. این کوین‌ها در دستگاه‌های Coldcard، کیف پول‌های سخت‌افزاری تولیدی شرکت کانادایی Coinkite نگهداری می‌شدند؛ دستگاه‌هایی که هرگز به اینترنت متصل نمی‌شوند. هیچ لینک فیشینگی، بدافزاری یا لپ‌تاپ دزدیده‌شده‌ای در کار نبوده است. مهاجمان صرفاً توانسته‌اند کلیدهای خصوصی را کشف کنند.

تحقیقات Galaxy Research بیش از ۱,۵۹۶ بیت‌کوین را که در سه موج تأیید شده به سرقت رفته، ردیابی کرده است. با احتساب موج چهارم احتمالی، مجموع این رقم به حدود ۲,۰۵۵ بیت‌کوین می‌رسد که با قیمت‌های فعلی حدود ۱۳۰ میلیون دلار ارزش دارد. در یکی از این عملیات‌ها، ۷۰ میلیون دلار در عرض ۴۱ دقیقه جابجا شده است. شرکت Coinkite اعلام کرده که حداقل ۱۵ مهاجم جداگانه در این سرقت‌ها دست داشته‌اند.

این شرکت در تاریخ ۱ اوت (۱۰ مرداد) یک سند فنی منتشر کرد و به توضیح آنچه اشتباه پیش رفته، پرداخت. این سند به طرز غیرمعمولی صادقانه است و به طور خلاصه می‌توان گفت که کیف پول‌ها به مدت هشت سال در حال تولید اعداد تصادفی معیوب بوده‌اند، بدون اینکه کسی متوجه شود.

در سال ۲۰۲۱، Coinkite رمزنگاری Coldcard را به libsecp256k1 منتقل کرد؛ همان کتابخانه‌ای که Bitcoin Core از آن استفاده می‌کند. این تصمیم در ظاهر درست بود، اما در مرحله ادغام، مشکل رخ داد.

این مهاجرت به طور پنهانی، تولید بذرهای اولیه (seed generation) را از مولد اعداد تصادفی سخت‌افزاری خود Coldcard منحرف کرده و به جای آن از الگوریتم نرم‌افزاری جایگزین MicroPython، به نام Yasmarang، استفاده کرده است. این الگوریتم برای دستگاه‌هایی طراحی شده که فاقد تراشه تولید اعداد تصادفی هستند.

خسارات ناشی از هک کولدکارد از ۱۰۰ میلیون دلار فراتر رفت

با اطمینان بالا، ۱,۵۹۶ بیت‌کوین از حدود ۷,۳۰۰ آدرس در سه موج تأیید شده به سرقت رفته است، به علاوه ۱۴ مورد کوچکتر. اگر موارد مشکوک (اما تأیید نشده) را اضافه کنیم، مجموع خسارات به ۱۳۰ میلیون دلار (۲ هزار بیت‌کوین) می‌رسد.

دلیل اصلی مشکل: یک خطای کوچک در کد

دستگاه Coldcard دارای تراشه تولید اعداد تصادفی است، اما به نظر می‌رسد این تراشه دیگر مورد استفاده قرار نگرفته است. دلیل این امر به طرز باورنکردنی کوچک است. یک ابزار بررسی کد (build guard) از دستور #ifndef استفاده کرده که وجود یک تنظیم را بررسی می‌کند، نه فعال بودن آن را. Coinkite این تنظیم را روی صفر (به معنی “خاموش”) قرار داده بود. از آنجایی که صفر همچنان به عنوان یک مقدار تعریف شده محسوب می‌شود، بررسی ایمنی با موفقیت انجام شده و ساخت کد تکمیل شده است. هر دو نسخه تابع، امضاهای یکسانی داشتند، بنابراین هیچ چیز غیرعادی به نظر نمی‌رسید.

شرکت Coinkite در این باره نوشته است: “بخش عمده‌ای از تصادفی بودن در COLDCARD از یک مولد اعداد شبه تصادفی (PRNG) تأمین می‌شد که من نمی‌دانستم واقعاً در پایگاه کد منبع وجود دارد.” مولدهای اعداد شبه تصادفی، اعدادی را تولید می‌کنند که ظاهراً تصادفی هستند اما از یک دستورالعمل ثابت از یک مقدار اولیه پیروی می‌کنند.

اگر دستورالعمل یکسان با همان مقدار اولیه تغذیه شود، خروجی همیشه یکسان خواهد بود.

در دستگاه‌های Mk2 و Mk3 با سیستم‌عامل‌های ۴.۰.۱ تا ۴.۱.۹، مقدار اولیه از شماره سریال تراشه و ساعت آن گرفته می‌شد. Coinkite تخمین می‌زند که فضای جستجوی حاصل حدود ۴۰ بیت بوده است. مدل‌های جدیدتر کمی آنتروپی از عنصر امن (secure-element) را نیز اضافه کرده‌اند که این رقم را به حدود ۷۲ بیت افزایش داده است.

هیچ‌کدام از این اعداد به ۱۲۸ بیت، که هدف مورد نظر است، نمی‌رسد.

این اختلاف مهم‌تر از آن چیزی است که به نظر می‌رسد. بیت‌ها توان هستند. فضای جستجوی ۱۲۸ بیتی، ترکیبات بیشتری نسبت به تعداد اتم‌های موجود در جهان قابل مشاهده دارد و هیچ‌کس قادر به جستجوی آن نیست. چهل بیت حدود یک تریلیون است؛ عددی که یک لپ‌تاپ معمولی می‌تواند آن را پردازش کند. هر بیت از دست رفته، کار مورد نیاز را نصف می‌کند.

تیم مهندسی Block، که تحلیل خود را منتشر کرده، فضای جستجوی مؤثر عنصر امن در دستگاه‌های جدیدتر را ۲ به توان ۳۲ نامزد و به طور متوسط حدود ۲ به توان ۳۱ آزمایش تخمین زده است. ارزیابی آن‌ها برای بردهای قدیمی‌تر صریح‌تر است: برای یک شناسه دستگاه، وضعیت تایمر و تاریخچه تماس مشخص، تولید کیف پول قطعی (deterministic) است.

و قطعی بودن، دقیقاً مخالف تصادفی بودن است که برای رمزنگاری ضروری است.

Coinkite گمان می‌کند که این مشکل توسط ماشین کشف شده است. این شرکت نوشته است: “ما باید فرض کنیم که کسی از هوش مصنوعی برای بررسی نسخه‌های قبلی سیستم‌عامل ما استفاده کرده و به این مشکل برخورده است.” آن‌ها افزودند که اخیراً یکی از بهترین مدل‌های هوش مصنوعی موجود را روی همین کد اجرا کرده‌اند و هیچ چیز پیدا نکرده‌اند. “مهاجمان و مدافعان هر دو از ابزارهای هوش مصنوعی یکسانی استفاده می‌کنند، اما امروز این ابزار به ما کمکی نکرد و فقط به نفع افراد بدکار بود.”

سیستم‌عامل اصلاح شده برای تمام مدل‌های تحت تأثیر منتشر شده است. این به‌روزرسانی بذرهای موجود را ترمیم نمی‌کند؛ آن کیف پول‌ها باید دوباره تولید شده و وجوه آن‌ها منتقل شوند. Decrypt پیش از این چگونگی تغییر ذخیره‌سازی هوا-ایزوله (air-gapped) پس از چنین بهره‌برداری و افزایش خسارات به بیش از ۱۱۴ میلیون دلار را پوشش داده است.

آنتروپی: معیاری از عدم قطعیت

آنتروپی معیاری است از اینکه مهاجم چقدر نمی‌داند. به عبارت دیگر، اساساً عدم قطعیت است که بر حسب بیت شمارش می‌شود. یک بیت معادل یک پرتاب سکه است: دو نتیجه، و یک حدس‌زننده نیمی از مواقع درست حدس می‌زند. ده بیت برابر با ۱,۰۲۴ نتیجه است. هر بیت، حجم کار حدس‌زننده را دو برابر می‌کند.

کیف پول بیت‌کوین یک عدد بسیار بزرگ است که مخفی نگه داشته می‌شود. آدرسی که افراد کوین‌ها را به آن ارسال می‌کنند، از طریق ریاضی از آن مشتق می‌شود و این مشتق فقط در یک جهت عمل می‌کند – شما می‌توانید از کلید به آدرس بروید، اما هرگز برعکس.

بنابراین، امنیت هر کیف پول بر یک سؤال متکی است: مهاجم باید چند عدد را امتحان کند؟

اگر عدد با ۱۲۸ بیت آنتروپی انتخاب شده باشد، پاسخ این است: “بیشتر از آنچه فیزیک اجازه می‌دهد.” اگر با ۴۰ بیت انتخاب شده باشد، پاسخ این است: “کمی وقت به من بدهید.”

این همان ویژگی است که تهدید محاسبات کوانتومی را قابل بحث می‌کند – یک ماشین کوانتومی به ریاضیاتی حمله می‌کند که کلید را به آدرس مرتبط می‌کند. باگ Coldcard هرگز نیازی به این کار نداشت. این باگ، کلیدها را قابل حدس می‌زد، پیش از آنکه آن ریاضیات درگیر شود.

اینجاست که واژگان لغزنده می‌شود. یک مولد اعداد شبه تصادفی خروجی تولید می‌کند که از آزمون‌های آماری برای تصادفی بودن عبور می‌کند، بنابراین اساساً چیزی نیست که یک صفحه گسترده آن را پرچم‌گذاری کند. این خروجی همچنان به طور کامل توسط مقدار اولیه آن تعیین می‌شود. تصادفی به نظر می‌رسد، اما نیست.

تصادفی بودن آماری و غیرقابل پیش‌بینی بودن رمزنگاری، دو خاصیت متفاوت هستند و خروجی Coldcard از آزمون اول با موفقیت عبور می‌کرد، اما در آزمون دوم کاملاً شکست می‌خورد.

تصادفی بودن واقعی باید از نویز فیزیکی ناشی شود: لرزش الکتریکی در یک مدار، نوسانات حرارتی، واپاشی رادیواکتیو. تراشه سخت‌افزاری در Coldcard برای همین منظور بود. این همان تراشه‌ای است که پرچم ساخت کد آن را قطع کرده بود.

تاس‌ها، راه حل یا دام؟

همانطور که کاربران برای تولید مجدد بذرها عجله داشتند، بسیاری به سراغ راه حل ساده و کم‌تکنولوژی رفتند. Coldcard به شما اجازه می‌دهد تاس‌های فیزیکی را بیندازید و نتایج را به عنوان آنتروپی وارد کنید. راهنمایی خود Coinkite، بذر تولید شده با حداقل ۵۰ پرتاب مستقل و خصوصی تاس را در برابر باگ ایمن می‌داند.

ممکن است احمقانه به نظر برسد، اما این شرکت در واقع یک کیسه حاوی “۱۰۰ تاس کوچک و بامزه” می‌فروشد تا این فرآیند را برای شما آسان‌تر کند.

در ۳۱ ژوئیه (۹ مرداد)، لوک دش‌جر، توسعه‌دهنده Bitcoin Core، هشداری منتشر کرد: “تعداد زیادی از افراد پیشنهاد استفاده از تاس برای کاهش آسیب‌پذیری Coldcard را می‌دهند. توجه داشته باشید که تاس‌های معمولی برای امنیت رمزنگاری طراحی نشده‌اند. اگر قصد انجام این کار را دارید، احتمالاً باید تاس‌های دقیق کازینویی بخرید. و حتی در این صورت، منبع دیگری از آنتروپی داشته باشید.”

توییتر بیت‌کوین با آرامش با این موضوع برخورد نکرد.

یکی از کاربران نوشت: “هاها، حالا دیگر نمی‌توانید تاس هم بیندازید. خودحفاظتی تمام شد…” دیگری پرسید که آیا باید کسی را با پارکینسون استخدام کند تا تاس‌ها را بیندازد؟ (کار جالبی نبود.)

احتمالاً مفیدترین پاسخ، پاسخی بود که با محاسبات همراه بود. جاستین شارپ، توسعه‌دهنده، اعداد را محاسبه کرد که هر تاس معیوب چقدر هزینه دارد:

“زیاده‌روی است. یک تاس شش وجهی کامل در هر پرتاب ۲.۵۸۵ بیت آنتروپی می‌دهد. یک تاس با انحراف قابل توجه، مثلاً با یک وجه که ۲۰٪ مواقع به جای ۱۶.۷٪ فرود می‌آید، همچنان حدود ۲.۵۵ بیت می‌دهد. در ۹۹ پرتاب، این تفاوت بین حدود ۲۵۶ بیت و حدود ۲۵۲ بیت آنتروپی است.”

چهار بیت از ۲۵۶ بیت. این کل جریمه برای یک تاس با انحراف قابل مشاهده است.

دش‌جر در این مورد اشتباه نمی‌کند که تاس‌های ارزان قیمت انحراف قابل اندازه‌گیری دارند – پین‌های قالب‌گیری شده پلاستیک مقادیر متفاوتی از هر وجه را حذف می‌کنند، دقیقاً به همین دلیل است که کازینوها از تاس‌های دقیق و هم‌سطح استفاده می‌کنند. او در مورد فیزیک درست می‌گوید، اما در مورد اهمیت موضوع اشتباه می‌کند. از دست دادن چهار بیت از ۲۵۶ بیت، شما را در ۲۵۲ بیت قرار می‌دهد. باگ Coldcard کاربران را در ۴۰ بیت قرار داده بود.

با این حال، استدلال قوی‌تری در توصیه او نهفته است، و آن در مورد تلورانس تولید نیست. بلکه در مورد عدم اعتماد به یک منبع واحد است. شکست Coldcard این نبود که آنتروپی آن کمی منحرف شده بود – بلکه این بود که یک جزء به طور خاموش کار نمی‌کرد و هیچ چیز آن را تشخیص نداد.

اگر بذری را در یک Coldcard تحت تأثیر، بدون پرتاب تاس (واقعاً) یا یک عبارت عبور قوی BIP-39 تولید کرده‌اید، آن بذر در معرض خطر است.

سیستم‌عامل را به‌روزرسانی کنید، یک بذر جدید تولید کنید، اثر انگشت (fingerprint) را تأیید کنید، یک تراکنش آزمایشی ارسال کنید، و سپس همه چیز را منتقل کنید. راهنمایی Coinkite این مراحل را برای هر مدل توضیح می‌دهد. بذرهای صادر شده، نقص را با خود حمل می‌کنند – انتقال یک بذر معیوب به یک برنامه کیف پول دیگر مشکلی را حل نمی‌کند.

برای بقیه، نکته این نیست که کیف پول‌های سخت‌افزاری خراب هستند یا تاس‌ها یک دام هستند.

بلکه این است که “تصادفی” یک ادعا است و ادعاها نیاز به بررسی دارند. کد منبع Coldcard در تمام این مدت عمومی بود. مولد سخت‌افزاری مورد نظر دقیقاً در باینری وجود داشت. بازبینان وجود آن را تأیید کردند، اما هرگز تأیید نکردند که مولد بذر واقعاً آن را فراخوانی کرده است.

هشت سال ممیزی به کد صحیح نگاه کرده بود. هیچ‌کس بررسی نکرد که آیا واقعاً اجرا می‌شود یا خیر.

کُلدکارد کاربران را به «انتقال محتاطانه وجوه» فرا می‌خواند؛ خسارات ناشی از سوءاستفاده افزایش می‌یابد

تنها چند روز پس از اعتراف به یک آسیب‌پذیری کلیدی که میلیون‌ها بیت‌کوین را در معرض خطر قرار داد، تیم سازنده کیف پول سخت‌افزاری بیت‌کوین که خود را «بهترین کیف پول سخت‌افزاری بیت‌کوین» می‌نامد، پیامی مهم منتشر کرد و از کاربران خواست تا وجوه خود را منتقل کنند.

حساب رسمی کُلدکارد در پلتفرم X (توییتر سابق) به مشتریان خود اطلاع داد که باید «این موضوع را فوری تلقی کنند» و وجوه خود را جابجا نمایند. در این پست‌ها آمده است که کاربران باید دستورالعمل‌های مربوط به مدل دستگاه خود را دنبال کنند، دستگاه‌های خود را ارتقا دهند، یک سید (Seed) جدید تولید کنند و «با دقت» وجوه خود را منتقل نمایند.

«لطفاً این موضوع را فوری تلقی کنید. وجوه خود را منتقل کنید. دستورالعمل‌های مربوط به مدل خود را دنبال کنید، دستگاه خود را ارتقا دهید، یک سید جدید تولید کنید و با دقت وجوه خود را منتقل کنید.
به انتشار این خبر کمک کنید، به‌ویژه به افرادی که کمتر آنلاین هستند و ممکن است این به‌روزرسانی را نبینند.
خطر همچنان ادامه دارد.»
— COLDCARD (@COLDCARDwallet) August 4, 2026

ماجرای کُلدکارد در اواخر ماه ژوئیه آشکار شد. برخی از کاربران ابتدا هشدارهایی را به صورت آنلاین منتشر کردند مبنی بر اینکه وجوه آن‌ها که در کیف پول سخت‌افزاری نگهداری می‌شد، ناپدید شده است؛ پیش از آنکه تیم سازنده به یک آسیب‌پذیری حیاتی در کد اعتراف کند.

بر اساس آخرین برآوردهای گلکسی ریسرچ (Galaxy Research)، میزان تأیید شده وجوه سرقت شده بیش از ۱۰۰ میلیون دلار است. برخی گزارش‌ها حاکی از آن است که این رقم واقعی ممکن است حدود ۱۳۰ میلیون دلار باشد.

جو کنسورتی، مفسر بازار، پیشتر استدلال کرده بود که مهاجم ممکن است در خرج کردن بخش بزرگی از بیت‌کوین‌های سرقت شده با مشکل مواجه شود، زیرا هر بیت‌کوین در بلاک‌چین عمومی قابل ردیابی است.