في الساعة الثانية صباحًا، أضاءت شاشة الهاتف فجأة - أداة مراقبة داخل السلسلة كانت كالمجنونة، حيث ظهرت 22 معاملة تحويل على الفور. تم نقل أكثر من 40,000 عملة رئيسية بشكل جماعي، ويبلغ حجمها تقريبًا 2.4 مليار دولار.

والأكثر غرابة هو أن صلاحيات نقل هذه الأصول ليست في يد المالك الأصلي.

وزارة العدل الأمريكية حصلت على المفاتيح الخاصة لهذه العناوين، ولكن ليس من خلال اختراق تقليدي أو أساليب تصيد، بل من خلال "الحساب الصعب" بواسطة قوة الحوسبة. لا خدع في الهندسة الاجتماعية، ولا زرع للبرمجيات الخبيثة، بل كسر رياضي بحت. هذه الأخبار جعلتني أشعر بالاستيقاظ التام.

بعد أن قضيت ثماني سنوات في هذا المجال، هذه هي المرة الأولى التي أواجه فيها مثل هذا الأمر. بسرعة، اتصلت بأصدقائي الفنيين للتحقق من الوضع، وبعد الكثير من المتاعب حتى الفجر، فهمت أخيراً ما هو السبب.

هذه العناوين التي واجهت المشكلة، تم إنشاؤها بين عامي 2020 و2021 باستخدام إصدارات قديمة من المحفظة. ما هو الإصدار المحدد؟ imToken 2.8.1 وTrust Wallet 5.14 - نعم، هذان هما الإصداران اللذان خرجا من الساحة التاريخية. لديهم عيب تصميم قاتل: قوة مولد الأرقام العشوائية غير كافية، حيث بلغت قيمة الإنتروبيا 112 بت فقط.

قد يعتقد البعض أن 112 بت تبدو كبيرة أيضًا. لكن المشكلة هي أن الحد الأدنى المقبول من الأمان حسب اعتراف الصناعة هو 128 بت، والمعيار الأعلى هو 256 بت. كم هو الفرق هنا؟ لنأخذ مثالاً: 112 بت مثل استخدامك 8 أرقام فقط ككلمة مرور، في حين أن 256 بت تعادل 32 حرفًا مختلطًا - أحرف كبيرة، أحرف صغيرة، أرقام، ورموز كلها موجودة.

لقد اختبر فريق تقني: استئجار قوة حوسبة سحابية، باستثمار حوالي 32000 دولار أمريكي، يمكن أن يستعرض في فترة زمنية مقبولة مساحة التركيب من الدرجة 2 إلى 32. بعبارة أخرى، فإن هذا المستوى من "الحماية" أمام الأجهزة الاحترافية هو مجرد وهم.

هذا الأمر كان بمثابة جرس إنذار للجميع - لا تظن أن الاحتفاظ بالأصول في محفظة باردة يعني أنك في أمان تام. إذا كانت الأدوات الأساسية تعاني من عيوب، فلن يكون هناك فائدة من اتخاذ الحيطة. تحقق بسرعة من إصدار المحفظة التي تستخدمها، إذا كان هناك حاجة للتحديث فقم بالتحديث بسرعة، وإذا كان هناك حاجة للانتقال فلا تتردد. في النهاية، إذا حدث شيء ما، سيكون الوقت قد فات على الندم.