تمكنت الولايات المتحدة عن طريق الصدفة من فك مفتاح خاص بـ Bitcoin بقيمة 15 مليار دولار.

المؤلف: BUBBLE

 

في أكتوبر 2025، كشفت المحكمة الفيدرالية للمنطقة الشرقية في نيويورك عن قضية مصادرة أصول رقمية غير مسبوقة، حيث صادرت الحكومة الأمريكية 127,271 بيتكوين، بقيمة سوقية تقارب 15 مليار دولار أمريكي.

أشار المؤسس المشارك لـ Cobo، Shen Yu، إلى أن وكالات إنفاذ القانون لم تحصل على المفاتيح الخاصة عن طريق الاختراق أو الهجمات الإلكترونية، بل استغلت ثغرة في العشوائية. كما ذكرت بعض المنتديات أن السلطات صادرت مباشرة عبارات الاسترداد أو ملفات المفاتيح الخاصة من الخوادم ومحافظ الأجهزة التي يسيطر عليها المدير التنفيذي لمجموعة Prince Group، Chen Zhi، وعائلته، لكن الحقائق الدقيقة لم تُعلن بعد.

تم نقل هذه المحافظ لاحقًا إلى مخزن بارد متعدد التوقيعات تديره US Marshals Service (USMS) التابعة لوزارة الخزانة الأمريكية. وكانت عملية التحويل التي تمت في 15 أكتوبر 2025 بقيمة 9,757 BTC إلى عنوان الحفظ الرسمي من توقيع USMS جزءًا من هذه العملية. في لائحة الاتهام، وصفت وزارة العدل الأمريكية Lubian كجزء من شبكة غسل الأموال التابعة لمجموعة Prince Group في كمبوديا، وأكدت أن المجموعة الإجرامية حاولت غسل أموال الاحتيال من خلال "عملات جديدة" تم تعدينها عبر مجمع التعدين.

تتبع بعض أعضاء المجتمع بيانات السلسلة واعتبروا أن هذه هي نفس دفعة البيتكوين التي سُرقت من مجمع Lubian في نهاية عام 2020 بسبب ثغرة. ظهر مجمع Lubian فجأة في عام 2020 دون أي معلومات عن الفريق أو نموذج التشغيل، لكنه أصبح في غضون أشهر قليلة من أكبر 10 مجمعات تعدين في العالم، واحتل ما يقرب من 6% من قوة الحوسبة العالمية.

ذكر التقرير أن Chen Zhi تفاخر أمام أعضاء آخرين من مجموعة Prince Group بأن "الأرباح ضخمة لأنه لا توجد تكلفة"، لكن لا يزال من غير الواضح ما إذا كان هو المؤسس أو أنه سيطر على المجمع لاحقًا. على أي حال، أعادت هذه القضية الحوت النائم إلى الواجهة، وأعادت تسليط الضوء على كارثة أمان المفاتيح الخاصة التي حدثت في الفترة المحيطة بعام 2020.

عند إعادة التحقيق من قبل الباحثين، كان أول كلمتين في عبارة الاسترداد التي تم إنشاؤها باستخدام عملية مفاتيح تالفة هما Milk Sad، ومنذ ذلك الحين أُطلق على الحادث اسم Milk Sad.

مخاطر الأرقام العشوائية الضعيفة

كل شيء بدأ مع Mersenne Twister MT19937-32، وهو مولد أرقام عشوائية زائف.

من المفترض أن يتكون المفتاح الخاص للبيتكوين من رقم عشوائي بطول 256 بت، ويوجد نظريًا 2^256 احتمال مختلف. إذا أردت إنشاء تسلسل مطابق تمامًا، يجب أن تتطابق نتائج 256 "رمي عملة" بشكل كامل، وهو أمر شبه مستحيل. أمان المحفظة لا يعتمد على الحظ، بل على هذا الفضاء الاحتمالي الهائل.

ومع ذلك، فإن مولد الأرقام العشوائية Mersenne Twister MT19937-32 المستخدم في أدوات مثل مجمع Lubian ليس "آلة رمي عملة" عادلة حقًا، بل هو جهاز معطل يختار الأرقام دائمًا من نطاق محدود ومنتظم.

بمجرد أن فهم القراصنة هذا النمط، تمكنوا من سرد جميع المفاتيح الخاصة الضعيفة بسرعة عن طريق التجربة العنيفة، وبالتالي فتح محافظ البيتكوين المقابلة.

بسبب سوء فهم بعض مستخدمي المحافظ أو مجمعات التعدين لمفهوم الأمان، تم تخزين ثروات ضخمة في محافظ بيتكوين تم إنشاؤها باستخدام هذا "الخوارزمية العشوائية الضعيفة" بين عامي 2019 و2020، حيث تدفقت أموال ضخمة إلى هذه المنطقة الهشة.

وفقًا لإحصاءات فريق Milk Sad، بلغ إجمالي عدد البيتكوين المحتفظ بها في هذه المحافظ الضعيفة بين عامي 2019 و2020 أكثر من 53,500 بيتكوين.

مصادر الأموال شملت تحويلات ضخمة من الحيتان، حيث تلقت أربعة محافظ ضعيفة حوالي 24,999 بيتكوين في فترة قصيرة في أبريل 2019. كما شملت عائدات التعدين اليومية، حيث تلقت بعض العناوين أكثر من 14,000 مكافأة تعدين موسومة بـ "lubian.com" خلال عام واحد. تم اكتشاف أن هناك 220,000 من هذه المحافظ، ويبدو أن أصحابها لم يدركوا مخاطر عملية إنشاء المفاتيح الخاصة، وما زالوا يودعون أصولهم فيها حتى اليوم.

الانسحاب الجماعي في نهاية 2020

انفجرت المخاطر الأمنية الكامنة في نهاية عام 2020. في 28 ديسمبر 2020، ظهرت معاملات غير طبيعية على السلسلة، حيث تم إفراغ عدد كبير من محافظ Lubian ذات المفاتيح الضعيفة في غضون ساعات، وتم تحويل حوالي 136,951 بيتكوين دفعة واحدة، بقيمة تقارب 3.7 مليار دولار بسعر 26,000 دولار للبيتكوين آنذاك.

كانت رسوم التحويل ثابتة عند 75,000 ساتوشي، بغض النظر عن المبلغ، مما يشير إلى أن المنفذ كان على دراية تامة بعمليات شبكة البيتكوين. أعيد جزء من الأموال لاحقًا إلى مجمع Lubian كمكافآت تعدين لاحقة، مما يدل على أن ليس كل الأصول المسحوبة وقعت في أيدي القراصنة. لكن بالنسبة للضحايا، كانت الخسارة واقعة لا محالة.

الأغرب من ذلك، أن بعض المعاملات على السلسلة تضمنت رسائل مثل "إلى القبعة البيضاء التي أنقذت أصولنا، يرجى التواصل على 1228btc@gmail.com". وبما أن عناوين المفاتيح الضعيفة أصبحت مكشوفة، يمكن لأي شخص إرسال معاملات مع رسائل إلى هذه العناوين، وهذه الرسائل قد لا تكون من الضحايا الحقيقيين.

لا يزال من غير المعروف ما إذا كانت هذه رسائل سخرية من القراصنة أو استغاثة من الضحايا. الأمر الخطير هو أن هذه التحويلات الضخمة لم تُعتبر سرقة في البداية.

اعترف باحثو Milk Sad في تحليلات لاحقة بأنهم لم يكونوا متأكدين مما إذا كان ذلك من فعل القراصنة أو أن إدارة Lubian باعت الأصول وأعادت هيكلة المحافظ عند ارتفاع الأسعار، خاصة مع ارتفاع سعر البيتكوين وتوقف عائدات التعدين. وأشاروا إلى أنه "إذا حدثت السرقة في عام 2020، فسيكون ذلك قبل الجدول الزمني المؤكد لهجمات المفاتيح الضعيفة لـ Mersenne Twister، لكن لا يمكننا استبعاد هذا الاحتمال".

وبسبب هذا الغموض، لم يطلق الانسحاب الجماعي في نهاية 2020 إنذارًا في الصناعة، وظلت كمية ضخمة من البيتكوين خاملة على السلسلة لسنوات، لتصبح لغزًا معلقًا.

لم يكن Lubian هو الضحية الوحيدة، بل أيضًا النسخة القديمة من Trust Wallet. في 17 نوفمبر 2022، أبلغ فريق الأمان Ledger Donjon شركة Binance عن ثغرة في العشوائية في Trust Wallet، واستجاب فريق المشروع بسرعة، حيث تم إصلاح الخلل في اليوم التالي على GitHub وإبلاغ المستخدمين المتأثرين تدريجيًا.

لكن حتى 22 أبريل 2023، لم تعلن Trust Wallet رسميًا عن تفاصيل الثغرة وإجراءات التعويض. خلال هذه الفترة، استغل القراصنة الثغرة في عدة هجمات، بما في ذلك سرقة حوالي 50 بيتكوين في 11 يناير 2023.

إنذار متأخر

في الوقت نفسه، كانت الثغرة تتطور في مشروع آخر.

أمر bx seed في إصدار Libbitcoin Explorer 3.x كان يستخدم خوارزمية MT19937 للعشوائية الزائفة مع توقيت النظام 32 بت كبذرة، مما يجعل مساحة المفاتيح الممكنة 2^32 فقط.

بدأ القراصنة بسرعة في تنفيذ هجمات تجريبية، ومنذ مايو 2023 ظهرت عدة سرقات صغيرة على السلسلة. في 12 يوليو، بلغت الهجمات ذروتها حيث تم إفراغ عدد كبير من المحافظ التي أنشأها bx دفعة واحدة. في 21 يوليو، اكتشف باحثو Milk Sad أثناء مساعدتهم للمستخدمين في تتبع الخسائر أن السبب الجذري هو العشوائية الضعيفة في bx seed، وأبلغوا فريق Libbitcoin على الفور.

لكن نظرًا لأن الأمر كان يعتبر أداة اختبار رسمية، لم تكن الاتصالات الأولية سلسة، وفي النهاية تجاوز الفريق المشروع وأعلن عن الثغرة علنًا في 8 أغسطس وطلب رقم CVE.

وبفضل هذا الاكتشاف في عام 2023، بدأ فريق Milk Sad في التنقيب العكسي في البيانات التاريخية. فوجئوا بأن منطقة المفاتيح الضعيفة التي تراكمت فيها أموال ضخمة بين عامي 2019 و2020 مرتبطة بـ Lubian، وأن التحويل الضخم الذي حدث في 28 ديسمبر 2020 كان كما ذُكر أعلاه.

في ذلك الوقت، كان هناك حوالي 136,951 بيتكوين في هذه المحافظ الضعيفة، وقيمة التحويل الجماعي في ذلك اليوم كانت حوالي 3.7 مليار دولار، وكان آخر نشاط معروف هو دمج المحافظ في يوليو 2024.

بمعنى آخر، لم تظهر الشكوك حول قضية Lubian إلا بعد الكشف عن ثغرة العشوائية الضعيفة، وقد ضاع وقت الإنذار حينها، كما اختفى مصير البيتكوين في ذلك الوقت. وبعد خمس سنوات، لم تتضح الأمور إلا بعد أن رفعت وزارة العدل الأمريكية (DOJ) والسلطات البريطانية دعوى مشتركة ضد مجموعة Prince Group وChen Zhi.

أما بالنسبة لنا، فإن عبارة "Not your Wallet, Not Your Money" لا تنطبق إلا إذا كانت العشوائية مضمونة بالفعل.