تسريب مفتاح خاص لـ Bitcoin بقيمة 15 مليار دولار عن طريق الخطأ يؤدي إلى اختراق

في أكتوبر 2025، كشفت محكمة المقاطعة الشرقية في نيويورك عن قضية مصادرة عملات مشفرة غير مسبوقة من حيث الحجم، حيث صادرت الحكومة الأمريكية 127,271 بيتكوين، تقدر قيمتها بحوالي 15 مليار دولار أمريكي حسب سعر السوق.

ذكر المؤسس المشارك لـ Cobo، Fish God، أن وكالات إنفاذ القانون لم تحصل على المفاتيح الخاصة من خلال الاختراق العنيف أو القرصنة، بل استغلت ثغرة في العشوائية. كما ادعت بعض المنتديات أن وكالات إنفاذ القانون صادرت مباشرة عبارة الاستذكار أو ملف المفتاح الخاص للمحفظة من الخوادم ومحافظ الأجهزة التي يسيطر عليها المدير التنفيذي لـ Prince Group، Chen Zhi، وعائلته، لكن الحقائق المحددة لم يتم الإبلاغ عنها علنًا بعد.

تم نقل هذه المحافظ لاحقًا إلى تخزين بارد متعدد التوقيعات تحت إشراف U.S. Marshals Service (USMS) التابع لوزارة الخزانة الأمريكية. وجاء نقل 9,757 BTC إلى عنوان الحفظ الرسمي في 15 أكتوبر 2025، بتوقيع USMS، من هذا السياق. وصفت وزارة العدل الأمريكية Lubian كجزء من شبكة غسيل الأموال التابعة لـ Prince Group الكمبودية في لائحة الاتهام، مشددة على أن المجموعة الإجرامية حاولت غسل أموال الاحتيال من خلال عملات "تم تعدينها حديثًا" تم الحصول عليها من مجمعات التعدين.

تتبع بعض أعضاء المجتمع بيانات السلسلة واستنتجوا أن هذه هي دفعة البيتكوين التي سُرقت سابقًا بسبب ثغرة في مجمع تعدين Lubin في نهاية عام 2020. ظهر مجمع Lubin فجأة في عام 2020 دون أي معلومات عن خلفية الفريق أو نموذج تشغيلي معلن، ومع ذلك ارتفع معدل التجزئة لديه بسرعة ليصبح من بين أفضل 10 مجمعات في العالم خلال بضعة أشهر، حيث شكل في وقت ما ما يقرب من 6% من معدل التجزئة العالمي.

ذكر التقرير أن Chen Zhi تفاخر للآخرين في Prince Group بشأن "الأرباح الضخمة لأنه لا توجد تكاليف"، لكن لا يزال من غير الواضح ما إذا كان قد أسسه Chen Zhi أو تمت السيطرة عليه لاحقًا. ومع ذلك، أعادت هذه القضية الحوت النائم إلى السطح، مما دفع إلى إعادة فحص كارثة أمان المفاتيح الخاصة للمحفظة التي كانت كامنة في نهاية عام 2020.

عند المزيد من التحقيق من قبل الباحثين، كانت أول كلمتين في عبارة الاستذكار باستخدام عملية توليد المفاتيح المعيبة هما "Milk Sad"، مما أدى إلى تسميتها بحدث Milk Sad.

مخاطر مولد الأرقام العشوائية الضعيف

وكل هذا نشأ من Mersenne Twister MT19937-32، وهو مولد أرقام عشوائية زائفة.

يجب أن يتكون المفتاح الخاص للبيتكوين من رقم عشوائي بطول 256 بت، نظريًا لديه 2^256 احتمال مختلف. لإنشاء تسلسل متطابق تمامًا، يحتاج المرء إلى تطابق مثالي في 256 "رمي عملة"، وبينما الاحتمال ليس صفرًا تمامًا، إلا أنه قريب جدًا من الصفر. أمان المحفظة لا يعتمد على الحظ بل على هذا الفضاء الاحتمالي الهائل.

ومع ذلك، فإن مولد الأرقام العشوائية Mersenne Twister MT19937-32 المستخدم من قبل أدوات مثل مجمع Lubian ليس "آلة رمي عملة" عادلة حقًا، بل يتصرف كجهاز عالق يختار باستمرار أرقامًا ضمن نطاق محدود ويمكن التنبؤ به.

بمجرد أن يفهم القراصنة هذا النمط، يمكنهم بسرعة تعداد جميع المفاتيح الخاصة الضعيفة الممكنة من خلال القوة الغاشمة، وبالتالي فتح محافظ البيتكوين المقابلة.

بسبب سوء الفهم حول الأمان من قبل بعض مستخدمي المحافظ أو مجمعات التعدين، من 2019 إلى 2020، تراكمت ثروة كبيرة في محافظ بيتكوين تم إنشاؤها باستخدام هذا "الخوارزمية العشوائية الضعيفة"، مما تسبب في تدفق كبير للأموال إلى هذا النطاق الضعيف.

وفقًا لإحصائيات فريق Milk Sad، بين عامي 2019 و2020، تجاوز إجمالي حيازات البيتكوين في هذه المحافظ ذات المفاتيح الضعيفة 53,500 عملة في وقت ما.

مصدر الأموال يشمل تحويلات مركزة على مستوى الحيتان. في أبريل 2019، تلقت أربع محافظ ضعيفة حوالي 24,999 بيتكوين في فترة زمنية قصيرة. كما كانت هناك مكافآت تعدين يومية، حيث تلقت بعض العناوين أكثر من 14,000 بيتكوين تم تمييزها كمكافآت تعدين "lubian.com" خلال عام واحد. تم العثور الآن على أن عدد هذه المحافظ 220,000، ويبدو أن الحائزين لا يزالون غير مدركين للثغرة في عملية توليد المفاتيح الخاصة، ويواصلون ضخ الأصول فيها حتى اليوم.

خروج جماعي ضخم في نهاية 2020

انفجرت ثغرة أمنية طويلة الأمد في نهاية عام 2020. في 28 ديسمبر 2020، حدثت معاملات غير طبيعية على السلسلة، وتم استنزاف عدد كبير من المحافظ ضمن نطاق المفاتيح الضعيفة لـ Lubian خلال بضع ساعات، حيث تم تحويل حوالي 136,951 بيتكوين في عملية واحدة، بقيمة تقارب 3.7 مليار دولار بناءً على سعر حوالي 26,000 دولار في ذلك الوقت.

كانت رسوم المعاملة ثابتة عند 75,000 ساتوشي، وظلت ثابتة بغض النظر عن المبلغ، مما يشير إلى أن المشغل كان لديه سيطرة كاملة على شبكة البيتكوين. تمت إعادة بعض الأموال لاحقًا إلى مجمع Lubian كمكافآت تعدين لاحقة، مما يشير إلى أن جميع الأصول المحولة لم تنتهِ في يد القراصنة. ومع ذلك، بالنسبة للضحايا، كانت الخسائر قد تحققت بالفعل.

والأكثر غرابة، أن بعض المعاملات على السلسلة حملت رسائل.

سواء كان ذلك مزحة من القراصنة أو استغاثة من ضحية، لا يزال غير معروف. المهم هو أنه في ذلك الوقت، لم يتم التعرف على هذا التحويل الكبير فورًا كسرقة.

في تحليل لاحق، اعترف باحثو Milk Sad أنه خلال الفترة التي ارتفع فيها سعر البيتكوين وتوقفت عائدات مجمع التعدين، لم يكونوا متأكدين مما إذا كان ذلك من عمل القراصنة أو أن إدارة Lubian باعت في القمة وأعادت توزيع المحافظ. وأشاروا إلى أنه "إذا حدثت السرقة في عام 2020، فسيكون ذلك قبل الجدول الزمني المؤكد لهجوم المفاتيح الضعيفة لـ Mersenne Twister، لكن لا يمكننا استبعاد هذا الاحتمال".

بسبب هذا الغموض، لم تؤدِ عملية سحب الأموال في نهاية عام 2020 إلى إطلاق إنذار على مستوى الصناعة، وظل عدد كبير من البيتكوين خاملاً على السلسلة لسنوات، ليصبح لغزًا معلقًا.

وهكذا، لم يكن Lubian فقط هو الضحية، بل أيضًا الإصدار القديم من Trust Wallet. في 17 نوفمبر 2022، كشف فريق أبحاث الأمان Ledger Donjon لـ Binance لأول مرة عن ثغرة في الأرقام العشوائية في Trust Wallet. استجاب الفريق بسرعة، ودفع الإصلاح إلى GitHub في اليوم التالي وبدأ بإبلاغ المستخدمين المتأثرين تدريجيًا.

ومع ذلك، لم تكشف Trust Wallet رسميًا عن تفاصيل الثغرة وتدابير التعويض حتى 22 أبريل 2023. خلال هذه الفترة، استغل القراصنة الثغرة في عدة هجمات، بما في ذلك سرقة حوالي 50 بيتكوين في 11 يناير 2023.

تنبيه متأخر

في الوقت نفسه، كانت ثغرة تتشكل في مشروع آخر.

أمر bx seed في إصدار Libbitcoin Explorer 3.x استخدم خوارزمية الأرقام العشوائية الزائفة MT19937 مع وقت النظام 32-بت كبذرة، مما أدى إلى وجود 2^32 احتمال فقط لتوليد المفاتيح.

بدأ القراصنة بسرعة في تنفيذ هجمات استكشافية. بدءًا من مايو 2023، حدثت عدة سرقات صغيرة على السلسلة. في 12 يوليو، بلغت الهجمات ذروتها، وتم إفراغ عدد كبير من المحافظ التي تم إنشاؤها بواسطة bx دفعة واحدة. في 21 يوليو، وأثناء مساعدة المستخدمين في التحقيق في خسائرهم، حدد باحثو Milk Sad السبب الجذري، مشيرين إلى ضعف الأرقام العشوائية في bx seed، مما سمح بكسر المفاتيح الخاصة بالقوة الغاشمة. أبلغوا فريق Libbitcoin على الفور.

ومع ذلك، نظرًا لأن الأمر كان يعتبر أداة اختبار رسمية، لم تكن الاتصالات الأولية سلسة. في النهاية، تجاوز الفريق المشروع وكشف عن الثغرة علنًا في 8 أغسطس، وقدم طلبًا للحصول على رقم CVE.

كان هذا الاكتشاف في عام 2023 هو الذي دفع فريق Milk Sad لبدء التنقيب العكسي في البيانات التاريخية. فوجئوا بالعثور على ارتباط قوي بين فترة المفاتيح الضعيفة، التي تراكمت خلالها كمية كبيرة من الأموال من 2019 إلى 2020، وحادثة Lubian، التي بلغت ذروتها في التحويل الضخم المذكور سابقًا في 28 ديسمبر 2020.

في ذلك الوقت، كان حوالي 136,951 بيتكوين محتفظًا بها في هذه المحافظ الضعيفة، وتم نقل ما قيمته حوالي 3.7 مليار دولار في معاملة واسعة النطاق في ذلك اليوم. كانت آخر حركة معروفة هي دمج المحافظ في يوليو 2024.

بعبارة أخرى، لم تظهر الطبيعة المشبوهة لحادثة Lubian إلا بعد الكشف عن ثغرة المفاتيح العشوائية الضعيفة. نافذة التنبيه الضائعة لم يكن من الممكن استعادتها، واختفت وجهة البيتكوين في ذلك الوقت دون أثر. بعد خمس سنوات، لم تبدأ الأمور في الوضوح إلا بعد الملاحقة القضائية المشتركة من وزارة العدل الأمريكية (DOJ) والسلطات البريطانية ضد Prince Group وChen Zhi.

بالنسبة لنا، أصبحت عبارة "Not your Wallet, Not Your Money" صحيحة فقط في ظل شرط العشوائية.