أوقفت محفظة زيوس (Zeus Wallet) بنيتها التحتية بعد تخفيف حادث أمن سيبراني، مؤكدة أنه لم يتم فقدان أي أموال للعملاء أو تعريضها للخطر أثناء إجرائها تدقيقًا كاملاً للأنظمة قبل استعادة الخدمات.
أعلنت محفظة زيوس عن الحادث في تحديث بتاريخ 5 أغسطس، قائلة إن الهجوم تم احتواؤه في غضون ساعات لكن البنية التحتية ستبقى غير متصلة بالإنترنت حتى يكتمل مراجعة شاملة لأنظمتها. وقالت محفظة شبكة لايتنينغ للبيتكوين ذاتية الحفظ إن تحقيقها لم يجد حتى الآن أي دليل على أن الحادث نبع من ثغرة أمنية في برمجيات عقدة لايتنينغ.
صرح المؤسس إيفان كالوديس في تدوينة مدونة للشركة أن المحققين يعتقدون حاليًا أن الهجوم اقتصر على البنية التحتية الخاصة بزيوس. وأضاف أن الشركة لم تحدد أي تأثير على أموال العملاء وتواصل تدقيق أنظمتها قبل إعادة الخدمات عبر الإنترنت.
لم يتم توفير جدول زمني لاستعادة العمليات.
بينما تظل البنية التحتية غير متاحة، قالت زيوس إن العملاء الذين أغلقت قنوات مزود خدمة لايتنينغ (LSP) الخاصة بهم خلال الحادث سيتلقون قنوات بديلة بمجرد استئناف الخدمات ومعالجة الطلبات.
كما طلبت الشركة من المستخدمين المتأثرين الاتصال بالدعم عبر قسم المساعدة في محفظة زيوس المحمولة، محذرة من أن أوقات الاستجابة قد تكون أطول من المعتاد مع تزايد طلبات الدعم خلال الانقطاع.
قال كالوديس إن الحادث عزز عمل زيوس المستمر على بيئات التنفيذ الموثوقة، والمعروفة أيضًا باسم "enclaves"، جنبًا إلى جنب مع مشروع توقيع لايتنينغ التحقق (VLS). ووفقًا للشركة، فإن تصميم البنية التحتية المخطط له يهدف إلى تخفيف هذه الفئة من الهجمات.
على الرغم من أن زيوس وصفت الحادث بأنه هجوم أمن سيبراني، إلا أنها لم تكشف عن كيفية حصول المهاجمين على الوصول أو ما إذا كانت أي أنظمة داخلية خارج بنيتها التحتية قد تأثرت.
يأتي انقطاع البنية التحتية بعد أيام فقط من إعلان زيوس عن تغيير آخر في الخدمة يؤثر على المستخدمين.
يوم الاثنين، قالت المحفظة إنها ستعطل وظيفة التبادل بعد أن أوقف مزود تبادل البيتكوين غير الاحتجازي بولتز (Boltz) منصته الخاصة حتى إشعار آخر. ربطت زيوس القرار مباشرة بإغلاق بولتز، على الرغم من أن تعليق التبادل وحادث الأمن السيبراني قد تم الإعلان عنهما بشكل منفصل.
لم تشر الشركة إلى أن الحدثين مرتبطان.
في الوقت الحالي، تظل الأولوية الحالية لزيوس هي استكمال تدقيقها الداخلي قبل استعادة البنية التحتية ومعالجة قنوات لايتنينغ البديلة للعملاء المتأثرين.
يأتي حادث زيوس خلال فترة من مراجعات الأمان المكثفة عبر النظام البيئي للبيتكوين بعد هجمات محفظة كولدكارد الأخيرة.
في وقت سابق من هذا الأسبوع، قال مطور البيتكوين كال (Calle) إن فريق بيتكوين الأحمر التطوعي قد بدأ بمراجعة محافظ البيتكوين والمكتبات وبرامج البنية التحتية ومشاريع مفتوحة المصدر الأخرى باستخدام تحليل بمساعدة الذكاء الاصطناعي جنبًا إلى جنب مع التحقق اليدوي بعد حادث كولدكارد.
وفقًا للبيانات التي شاركها الفريق، قام المراجعون بفحص 390 مستودعًا متعلقًا بالبيتكوين خلال أول 29.8 ساعة من المبادرة، وحددوا 4962 مشكلة أمنية محتملة. وصنف الفريق 720 اكتشافًا على أنها ذات خطورة عالية أو حرجة، بينما أشار إلى أن 21.4% من المشكلات المحددة قد تم إعادة إنتاجها بالفعل من خلال التحقق اللاحق.
قال كال إن العديد من الثغرات الأمنية الحرجة قد تم الكشف عنها بالفعل بشكل خاص للمشرفين على المشروع المتأثرين بدلاً من نشرها علنًا بينما يتم إعداد إصلاحات البرامج.
يشمل الجهد التطوعي الرئيس التنفيذي لـ AnchorWatch، روب هاميلتون، ومساهمين آخرين في البيتكوين. كما قال كال إن المبادرة تستهلك حوالي 10,000 دولار يوميًا في تكاليف الحوسبة، مع تمويل OpenSats للجهد وتقديم Kimi Moonshot لحسابات الذكاء الاصطناعي والوصول إلى نموذجها Kimi K3.
تكثفت مراجعات الأمان بعد أن ربط المحققون سرقات البيتكوين الأخيرة بعيب في إصدارات معينة من البرامج الثابتة لمحافظ أجهزة كولدكارد.
كما ذكرت crypto.news سابقًا، أكدت Galaxy Research أن المهاجمين سرقوا 1596 بيتكوين من حوالي 7300 عنوان عبر ثلاث موجات هجوم مؤكدة. كما حددت شركة الأبحاث موجة رابعة منسقة مشتبه بها تتضمن 448.7 بيتكوين أخرى من 709 عناوين يحتمل أن تكون ضحية، على الرغم من أنها لم تضف هذه الخسائر بعد إلى أرقامها المؤكدة لأن التحقق الإضافي من الضحايا لا يزال مستمرًا.
أفاد المحققون بشكل منفصل أن حوالي 90% من البيتكوين المسروق لم يتحرك على السلسلة. في الوقت نفسه، لاحظ المحللون قيام أحد المهاجمين بتوجيه 64 بيتكوين عبر خلاط بيتكوين، بينما يستمر أكبر مهاجم تم تحديده في حيازة حوالي 1159 بيتكوين عبر سبعة عناوين.
وفقًا لشركة Coinkite المصنعة لمحافظ الأجهزة، نشأت الثغرة الأمنية الأساسية في كولدكارد من تعديل في البرامج الثابتة تم تقديمه في مارس 2021 أثناء دمج مكتبة تشفير جديدة. بدلاً من الاعتماد على مولد الأرقام العشوائية للأجهزة المقصود أثناء إنشاء المحفظة، استخدمت إصدارات البرامج الثابتة المتأثرة مولد أرقام شبه عشوائية حتمية تم توفيره بواسطة MicroPython.
وصل فريق الهندسة والأمن لبيتكوين في بلوك إلى نفس النتيجة بعد مراجعة مستقلة للبرامج الثابتة. على الرغم من أن الشركة قالت إنها لم تكمل الاختبار التجريبي عبر كل جهاز متأثر، إلا أن تحليلها وجد أن البرامج الثابتة المعرضة للخطر اعتمدت على الاحتياطي الحتمي أثناء توليد البذور بدلاً من مولد الأرقام العشوائية للأجهزة STM32.
أصدرت Coinkite منذ ذلك الحين تحديثات طارئة للبرامج الثابتة للأجهزة المتأثرة ولكنها حذرت من أن تثبيت البرامج المرقّعة وحدها لا يحمي المحافظ التي تم إنشاؤها ببرامج ثابتة ضعيفة. وبدلاً من ذلك، تم توجيه المستخدمين لإنشاء عبارات بذور جديدة تمامًا على الأجهزة المحدثة ونقل البيتكوين الخاص بهم إلى عناوين مشتقة من تلك المحافظ الجديدة.
وأضافت الشركة أن المحافظ التي تم إنشاؤها في الأصل باستخدام ما لا يقل عن 50 رمية نرد خاصة ليست متأثرة بهذا العيب المحدد في توليد الأرقام العشوائية، على الرغم من أنها لا تزال توصي بالترحيل إلى بذور تم إنشاؤها حديثًا.
