تمكنت الولايات المتحدة عن طريق الصدفة من فك مفاتيح خاصة لبيتكوين بقيمة 15 مليار دولار.

في أكتوبر 2025، كشفت المحكمة الفيدرالية للمنطقة الشرقية في نيويورك عن قضية مصادرة أصول رقمية غير مسبوقة، حيث صادرت الحكومة الأمريكية 127,271 بيتكوين، بقيمة سوقية تقارب 15 مليار دولار.

أشار Shen Yu، الشريك المؤسس لـ Cobo، إلى أن وكالات إنفاذ القانون لم تحصل على المفاتيح الخاصة من خلال اختراق عنيف أو هجوم إلكتروني، بل استغلت ثغرة في العشوائية. كما ذكرت بعض المنتديات أن السلطات صادرت عبارة الاسترداد أو ملفات المفاتيح الخاصة مباشرة من الخوادم ومحافظ الأجهزة التي يسيطر عليها Chen Zhi، المدير التنفيذي لمجموعة Prince Group وعائلته، لكن الحقائق الدقيقة لم تُعلن بعد في تقارير رسمية.

تم نقل هذه المحافظ المادية لاحقًا إلى مخزن بارد متعدد التوقيعات تديره US Marshals Service (USMS) التابعة لوزارة الخزانة الأمريكية. أما عملية التحويل التي تمت في 15 أكتوبر 2025، حيث تم نقل 9,757 بيتكوين بتوقيع USMS إلى عنوان الحفظ الرسمي، فقد جاءت من هذه الأصول. وصفت وزارة العدل الأمريكية في لائحة الاتهام Lubian كجزء من شبكة غسل الأموال التابعة لـ Prince Group في كمبوديا، وأكدت أن المجموعة الإجرامية حاولت تبييض أموال الاحتيال من خلال "عملات جديدة" تم تعدينها من مجمع التعدين.

تتبع بعض أعضاء المجتمع بيانات السلسلة واعتبروا أن هذه هي نفس دفعة البيتكوين التي سُرقت من مجمع Lubian في نهاية عام 2020 بسبب ثغرة أمنية. ظهر مجمع Lubian فجأة في عام 2020 دون أي معلومات عن الفريق أو نموذج التشغيل، لكنه أصبح في غضون أشهر قليلة من بين أكبر 10 مجمعات تعدين في العالم، واستحوذ في فترة ما على حوالي 6% من قوة الحوسبة العالمية.

ذكر التقرير أن Chen Zhi تفاخر أمام أعضاء آخرين من مجموعة Prince Group بأن "الأرباح ضخمة لأنه لا توجد تكلفة"، لكن لا يزال من غير الواضح ما إذا كان هو المؤسس أو أنه سيطر على المجمع لاحقًا. على أي حال، أعادت هذه القضية الحوت النائم إلى السطح، وجعلت الناس يعيدون النظر في كارثة أمان المفاتيح الخاصة التي حدثت في الفترة حول عام 2020.

عند إعادة التحقيق من قبل الباحثين لاحقًا، كان أول كلمتين في عبارة الاسترداد التي تم إنشاؤها بعملية مفاتيح تالفة هما Milk Sad، ومن هنا أطلق على الحادث اسم Milk Sad.

المخاطر الكامنة في العشوائية الضعيفة

كل شيء بدأ من Mersenne Twister MT19937-32، وهو مولد أرقام عشوائية زائفة.

يجب أن يتكون المفتاح الخاص للبيتكوين من رقم عشوائي بطول 256 بت، ويوجد نظريًا 2^256 تركيبة ممكنة. إذا أردت إنشاء تسلسل مطابق تمامًا، يجب أن تتطابق نتائج 256 "رمي عملة" بشكل كامل، واحتمالية ذلك ليست صفرًا لكنها قريبة جدًا من الصفر. أمان المحفظة لا يعتمد على الحظ، بل على هذا الفضاء الاحتمالي الهائل.

ومع ذلك، فإن مولد الأرقام العشوائية Mersenne Twister MT19937-32 المستخدم في أدوات مثل مجمع Lubian ليس "آلة رمي عملة" عادلة حقًا، بل هو جهاز معطل يختار الأرقام دائمًا من نطاق محدود ومنتظم.

بعد أن فهم القراصنة هذا النمط، أصبح بإمكانهم تعداد جميع المفاتيح الخاصة الضعيفة بسرعة من خلال الهجوم بالقوة الغاشمة، وبالتالي فتح محافظ البيتكوين المرتبطة بها.

بسبب سوء فهم بعض مستخدمي المحافظ أو مجمعات التعدين لمفهوم الأمان، تم تخزين ثروات هائلة في محافظ بيتكوين تم إنشاؤها بواسطة هذا "الخوارزمية العشوائية الضعيفة" بين عامي 2019 و2020، حيث تدفقت أموال ضخمة إلى هذا النطاق الهش.

وفقًا لإحصائيات فريق Milk Sad، بلغ عدد البيتكوين المحتفظ بها في هذه المحافظ ذات المفاتيح الضعيفة أكثر من 53,500 بيتكوين بين عامي 2019 و2020.

مصادر الأموال شملت تحويلات ضخمة من الحيتان، ففي أبريل 2019 تلقت أربعة محافظ ضعيفة حوالي 24,999 بيتكوين في وقت قصير. كما شملت أرباح التعدين اليومية، حيث تلقت بعض العناوين أكثر من 14,000 مكافأة تعدين موسومة بـ "lubian.com" خلال عام واحد. وقد تم اكتشاف أن هناك الآن 220,000 محفظة من هذا النوع، ويبدو أن حامليها لم يدركوا مخاطر توليد المفاتيح الخاصة، ولا يزالون حتى اليوم يودعون أصولهم فيها باستمرار.

الانسحاب الجماعي في نهاية 2020

انفجرت المخاطر الأمنية الكامنة في نهاية عام 2020. في 28 ديسمبر 2020 (UTC+8)، ظهرت معاملات غير طبيعية على السلسلة، حيث تم تفريغ عدد كبير من المحافظ في نطاق المفاتيح الضعيفة لمجمع Lubian خلال ساعات قليلة، وتم تحويل حوالي 136,951 بيتكوين دفعة واحدة، بقيمة تقارب 3.7 مليار دولار بسعر 26,000 دولار للبيتكوين حينها.

كانت رسوم التحويل ثابتة عند 75,000 ساتوشي، بغض النظر عن حجم المبلغ، مما يشير إلى أن المنفذ كان على دراية تامة بتشغيل شبكة البيتكوين. وعاد جزء من الأموال لاحقًا إلى مجمع Lubian كمكافآت تعدين لاحقة، مما يدل على أن ليس كل الأصول المنقولة وقعت في أيدي القراصنة. لكن بالنسبة للضحايا، فقد وقعت الخسارة بالفعل.

الأغرب من ذلك أن بعض المعاملات على السلسلة حملت رسائل نصية.

لا يزال من غير المعروف ما إذا كانت هذه رسائل ساخرة من القراصنة أو نداء استغاثة من الضحايا. الأمر الخطير هو أن هذه التحويلات الضخمة لم تُعتبر سرقة على الفور في ذلك الوقت.

اعترف باحثو Milk Sad في تحليلات لاحقة بأنهم لم يكونوا متأكدين ما إذا كان الفاعل قراصنة أم إدارة Lubian التي باعت الأصول عند الذروة وأعادت هيكلة المحافظ، خاصة مع ارتفاع سعر البيتكوين وتوقف أرباح التعدين. وأشاروا إلى أنه "إذا حدثت السرقة في عام 2020، فستكون أسبق من الجدول الزمني المؤكد لهجمات المفاتيح الضعيفة لـ Mersenne Twister، لكن لا يمكننا استبعاد هذا الاحتمال".

وبسبب هذا الغموض، لم يثر الانسحاب الجماعي للأموال في نهاية 2020 إنذارًا في القطاع، وظلت كمية ضخمة من البيتكوين خاملة على السلسلة لسنوات، لتصبح لغزًا معلقًا.

لم يكن الضحايا فقط من Lubian بل أيضًا من النسخ القديمة لـ Trust Wallet. ففي 17 نوفمبر 2022 (UTC+8)، أبلغ فريق الأمان Ledger Donjon لأول مرة Binance عن ثغرة في العشوائية في Trust Wallet، واستجاب فريق المشروع بسرعة، حيث دفعوا إصلاحًا على GitHub في اليوم التالي وأبلغوا المستخدمين المتأثرين تدريجيًا.

لكن حتى 22 أبريل 2023 (UTC+8)، أعلنت Trust Wallet رسميًا عن تفاصيل الثغرة وإجراءات التعويض. وخلال هذه الفترة، استغل القراصنة الثغرة في عدة هجمات، بما في ذلك سرقة حوالي 50 بيتكوين في 11 يناير 2023 (UTC+8).

إنذار متأخر

في الوقت نفسه، كانت الثغرة تتطور في مشروع آخر.

أمر bx seed في إصدار Libbitcoin Explorer 3.x استخدم خوارزمية MT19937 للعشوائية الزائفة مع توقيت النظام 32-بت كبذرة، مما جعل فضاء المفاتيح الممكنة لا يتجاوز 2^32 تركيبة.

بدأ القراصنة بسرعة في شن هجمات تجريبية، وظهرت عدة سرقات صغيرة على السلسلة منذ مايو 2023. وفي 12 يوليو (UTC+8)، بلغت الهجمات ذروتها حيث تم تفريغ عدد كبير من المحافظ التي أنشأها bx دفعة واحدة. وفي 21 يوليو (UTC+8)، اكتشف باحثو Milk Sad أثناء تتبع خسائر المستخدمين أن السبب الجذري هو العشوائية الضعيفة في bx seed، وأبلغوا فريق Libbitcoin على الفور.

لكن نظرًا لأن الأمر كان يعتبر أداة اختبار رسمية، لم تكن الاتصالات الأولية سلسة، وفي النهاية تجاوز الفريق المشروع وأعلن عن الثغرة علنًا في 8 أغسطس (UTC+8) وطلب رقم CVE.

وبفضل هذا الاكتشاف في 2023، بدأ فريق Milk Sad في التنقيب العكسي في البيانات التاريخية. وقد فوجئوا بأن نطاق المفاتيح الضعيفة الذي تراكمت فيه أموال ضخمة بين 2019 و2020 مرتبط بـ Lubian، وأن التحويل الضخم المذكور أعلاه حدث في 28 ديسمبر 2020 (UTC+8).

في ذلك الوقت، كان هناك حوالي 136,951 بيتكوين في هذه المحافظ الضعيفة، وتم تحويلها دفعة واحدة بقيمة حوالي 3.7 مليار دولار، وكان آخر نشاط معروف هو دمج المحافظ في يوليو 2024 (UTC+8).

بعبارة أخرى، لم تظهر الشكوك حول حادثة Lubian إلا بعد الكشف عن ثغرة العشوائية الضعيفة، وقد ضاع حينها نافذة الإنذار، كما اختفى مصير البيتكوين في ذلك الوقت. وبعد خمس سنوات، بدأت الأمور تتضح فقط بعد أن رفعت وزارة العدل الأمريكية (DOJ) والسلطات البريطانية دعوى مشتركة ضد Prince Group وChen Zhi.

أما بالنسبة لنا، فإن عبارة "Not your Wallet, Not Your Money" لا يمكن أن تتحقق إلا في ظل افتراض العشوائية القوية.