# أزمة البذور الضعيفة في Coldcard: التعقيد ليس مرادفًا للأمن

- Canonical URL: https://aperturex.io/ar/articles/coldcard-weak-seed-crisis-complexity-verifiable-wallet-security/
- Language: ar
- Category: الأمن
- Author: Aperture Research
- Published: 2026-09-03T10:58:31+00:00
- Updated: 2026-09-03T12:01:03+00:00
- Reading time: 18 minutes
- Topics: Coldcard, المحافظ العتادية, Bitcoin, الإنتروبيا, المصدر المفتوح, عمليات التدقيق, عمليات البناء القابلة لإعادة الإنتاج, الأمن المادي

لم تتعرض أجهزة Coldcard للاختراق عن بُعد في حادثة عام 2026. بل كشفت الحادثة عن أمر أكثر جوهرية: لا يستطيع غلاف متطور حماية بذرة كان من الممكن التنبؤ بها منذ لحظة إنشائها.

![منحوتة تحريرية لمتاهة كثيفة بلون الغرافيت تحيط بحقل من القطع العشوائية، مع مسار واحد قابل للتنبؤ يخرج عبر الغلاف](https://rfjdenxkgjgepgbmxxkd.supabase.co/storage/v1/object/public/article-images/af89b673-a767-4029-b24e-76c41eb2b445/coldcard-weak-seed-crisis/coldcard-weak-seed-crisis-cover.webp)

ملاحظة بحثية، 3 سبتمبر 2026. يميّز هذا المقال بين الحقائق المؤكدة، وتصريحات المورّد، والتقديرات المستندة إلى بيانات السلسلة، وتحليلنا الخاص. ولم يكن التقرير الفني الرسمي لما بعد الحادثة من Coinkite قد نُشر بعد عند إعداد هذا المقال. وقد تغيّرت إجماليات الخسائر مع إسناد المحققين معاملات إضافية إلى الحادثة؛ لذا فإن الأرقام أدناه لقطات مؤرخة وليست حصرًا نهائيًا.

في يوليو 2026، اختفت عملات Bitcoin من آلاف العناوين التي كان أصحابها يعتقدون أن مفاتيحهم محمية بمحافظ Coldcard العتادية. وأول تصحيح، وهو أهمها، الأكثر دلالة أيضًا: لم يُستولَ على الأجهزة عن بُعد؛ إذ أضعف خطأ في البرنامج الثابت العشوائية المستخدمة عند إنشاء بعض المحافظ. وكان بوسع المهاجمين البحث في فضاء المفاتيح المصغّر في مكان آخر، واسترداد مفاتيح خاصة مرشحة، ومقارنة العناوين المشتقة بسلسلة كتل Bitcoin العامة، وإنفاق الأموال المطابقة من دون لمس العتاد.

> قد تكون الخزنة منيعة ماديًا، ومع ذلك تفشل إذا كان السر المودَع فيها قابلًا للتنبؤ منذ البداية.

لهذا تتجاوز أهمية هذه الحادثة مورّدًا واحدًا بكثير. فهي تتحدى اختزالًا مريحًا مفاده أن العتاد يساوي الأمان، وأن زيادة المكوّنات تعني حماية أكبر، وأن قائمة الميزات الطويلة تعني ضمانًا عاليًا. ولا تمثل أي من هذه العبارات نموذجًا للتهديد. فالأمن ينبع من المنظومة الكاملة—الإنتروبيا، والبرنامج الثابت، والعتاد، وعملية البناء، والتوزيع، والواجهة، والنسخ الاحتياطية، وسلوك المشغّل، والسلامة المادية—ومن الأدلة التي تتيح للجهات الخارجية اختبار ادعاءاتها.

## ما الذي حدث لـ Coldcard

وفقًا لـ التنبيه الرسمي من Coinkite، استخدم البرنامج الثابت المتأثر مسارًا معيبًا لتوليد البذرة. وكانت بذور المحافظ التي أُنشئت على البرنامج الثابت للإصدارين Mk2 أو Mk3 من 4.0.1 إلى 4.1.9 عرضة للخطر، ما لم تكن قد أُضيفت إنتروبيا كافية ومستقلة وخاصة من رميات النرد، أو أنشأت عبارة مرور BIP39 قوية وفريدة حاجزًا إضافيًا. ويتناول التنبيه أيضًا البذور التي وُلّدت على أجهزة Mk4 وMk5 وQ قبل إصداراتها المصححة ضمن مساري Standard أو Edge. وبالنسبة إلى تلك الأجهزة الأحدث، أفادت Coinkite بوجود نحو 72 بتًا من الإنتروبيا بدلًا من 128 بتًا المقصودة.

نشأ الخلل في برنامج ثابت صدر في مارس 2021 وظل كامنًا لسنوات. وقد أدت الحماية العتادية وظيفتها على السر الذي أُعطي لها؛ لكن المشكلة أن عملية توليد السر لم توفر مقدار عدم اليقين المتوقع. وما إن أصبح بمقدور المهاجم تعداد البذور المحتملة بتكلفة عملية، حتى أتاحت سلسلة الكتل العامة اختبار عضوية مثاليًا: اشتقاق العناوين، والبحث عن قيمة، والتوقيع بأي مفتاح مسترد. ولم يلزم طلب تصيد، أو جلسة USB، أو طرد مسروق، أو وصول مادي.

### لماذا تكون الإنتروبيا الضعيفة كارثية

لا تكون بذرة المحفظة آمنة لمجرد أنها تبدو عشوائية للإنسان. بل تكون آمنة عندما يتعذر عمليًا على أي خصم تمييز الاحتمالات الكامنة أو تعدادها. فكل بت من الإنتروبيا يضاعف فضاء البحث. والانتقال من 128 بتًا إلى 72 بتًا لا يجعل البذرة «أضعف قليلًا»؛ بل يلغي 56 مضاعفة متتالية لمقدار العمل. ويحوّل فضاء بحث فعّال أصغر من ذلك عمليةً يستحيل تنفيذها فلكيًا إلى مشروع هندسي.

تظل كلمات الاسترداد سليمة من حيث البنية. وتبدو العناوين عادية. ويوقّع العتاد على نحو طبيعي. وتنجح استعادة النسخ الاحتياطية. هذا إخفاق صامت: يمكن لكل إجراء ظاهر أن ينجح في حين تكون فرضية الأمان قد انهارت بالفعل. ولهذا تحديدًا يحتاج توليد الأرقام العشوائية إلى اختبارات حتمية لمسار التوصيل، وقياسات على أجهزة فعلية حول مصدر الإنتروبيا، وأدلة إصدار تربط المصدر الذي خضع للمراجعة بالبرنامج الثابت الموزّع.

### وقعت السرقة على موجات

في 30 يوليو، نقلت أول عملية سحب شامل مُبلّغ عنها نحو 594 BTC من قرابة 500 عنوان خلال نحو 25 دقيقة. ثم وسّعت عمليات الإسناد اللاحقة نطاق الحادثة. وقد وصف تقييم نشرته TRM Labs في 5 أغسطس حصيلة جارية تقارب 1,816 BTC—أي نحو 116 مليون USD في تلك اللقطة الزمنية—من أكثر من 5,200 عنوان عبر أربع موجات. واستخدم محققون آخرون قواعد تأكيد مختلفة، ثم أبلغوا عن إجماليات مختلفة بعض الشيء. لذا ينبغي قراءة هذه الأرقام بوصفها دليلًا على الحجم، لا سجلًا نهائيًا مستقرًا.

وتنص صفحة حالة الأمن الحالية لدى Coinkite صراحةً على أن التقرير الرسمي لما بعد الحادثة لا يزال قيد الإعداد، ولا تدّعي أن كل خسارة مُبلّغ عنها قد أُسندت على حدة. وليس هذا الغموض سببًا للتقليل من شأن الحادثة، بل سبب للحفاظ على التمييز بين الآلية المتحقق منها، والمعاملات المرصودة، والإسناد التحليلي، والخلاصة الجنائية النهائية.

## تحديث البرنامج الثابت لا يُصلح بذرة قديمة

هذه هي الحقيقة التشغيلية التي لا يجوز أن يغفل عنها المستخدمون المتأثرون. فالبرنامج الثابت المصحح يصلح توليد البذور مستقبلًا؛ لكنه لا يستطيع إضافة إنتروبيا بأثر رجعي إلى بذرة موجودة بالفعل. وتظل المحفظة المستعادة من تلك البذرة على عتاد جديد خاضعة للسر الضعيف نفسه. كما أن استبدال الغلاف المعدني، أو تثبيت تطبيق للهواتف، أو نقل الكلمات إلى علامة تجارية أخرى لا يغيّر المفتاح. ولا بد من نقل الأموال إلى عناوين مشتقة من بذرة مولّدة حديثًا ومحمية بصورة مستقلة.

بحسب ما جرى التحقق منه في 3 سبتمبر 2026، أدرجت صفحة حالة Coldcard الإصدارين Mk4/Mk5 Standard 5.6.1 وQ Standard 1.5.1Q بوصفهما إصداري Standard الموصى بهما. وكانت أدنى إصداراتها المصححة هي Mk2/Mk3 4.2.0 أو أحدث؛ وMk4/Mk5 Standard 5.6.0 أو أحدث؛ وQ Standard 1.5.0Q أو أحدث؛ وMk4/Mk5 Edge 6.6.0X أو أحدث؛ وQ Edge 6.6.0QX أو أحدث. ولمسارات الإصدار أهميتها: فإصدار Edge ذي الرقم الأعلى لا يعادل تلقائيًا إصدار Standard مصححًا.

### إذا كان من المحتمل أنك متأثر

- توقف عن الاعتماد على الغلاف. حدّد الطراز، ومسار الإصدار، والبرنامج الثابت الذي استُخدم عند توليد البذرة، وما إذا كان الاستثناء الرسمي المتعلق بالنرد المستقل ينطبق بوضوح. وإذا لم تكن متأكدًا، فتعامل مع البذرة على أنها متأثرة.

- لا تستخدم سوى التعليمات الرسمية. افتح تنبيه Coldcard وصفحة حالة الأمن مباشرة، وتحقق من البرنامج الثابت الموقّع وقيم التجزئة المنشورة، وارفض أي «مساعدة في الترحيل» لم تطلبها. فلا يحتاج أي مساعد شرعي إلى عبارة الاسترداد الخاصة بك.

- أنشئ بذرة جديدة بالكامل في بيئة مصححة. لا تعدّل كلمات العبارة القديمة، ولا تعِد ترتيبها، ولا تُلحق بها كلمات. فالمحفظة الجديدة تحتاج إلى إنتروبيا جديدة. ولرصيد ذي قيمة كبيرة، فكّر في تنفيذ مستقل أو سياسة توقيع متعدد مصممة على نحو سليم، كي لا يكون مسار توليد البذرة لدى مورّد واحد هو جذر الثقة الوحيد.

- تحقق من إمكانية الاسترداد قبل التمويل. سجّل النسخة الاحتياطية بخصوصية، واستعدها ضمن عملية مضبوطة، وتحقق من البصمة العامة أو عنوان الاستلام المتوقع. فالنسخة الاحتياطية التي لم تُختبر قط ليست سوى افتراض.

- انقل مبلغًا صغيرًا للاختبار، ثم انقل الباقي. تحقق من الوجهة ومن التأكيد قبل نقل الرصيد كاملًا. وتجنب الارتجال المتعجل، لكن لا تخلط بين اتباع إجراء هادئ وبين السماح بتأخير معالجة بذرة مكشوفة.

- أوقف استخدام البذرة القديمة نهائيًا. لا يصلحها تحديث البرنامج الثابت ولا عبارة مرور قوية أُضيفت لاحقًا. واحتفظ بالسجلات اللازمة للأغراض الضريبية أو القانونية من دون إبقاء نسخ غير ضرورية من السر.

تقول Coinkite إن 50 رمية نرد على الأقل، عادلة ومستقلة وخاصة، ضمن مسار عمل Add Dice Rolls المتأثر، أسهمت بما لا يقل عن 128 بتًا من النرد وحده؛ وإن 99 رمية أو أكثر أسهمت بنحو 256 بتًا. وللشروط الدقيقة أهميتها. فإذا كان التسلسل مسجلًا، أو مرصودًا، أو متحيزًا، أو غير مستقل، أو غير مؤكد، فلا تختلق أمانًا من العدد. وقد تضيف عبارة مرور BIP39 قوية وموجودة مسبقًا حاجزًا، لكن Coinkite لا تزال توصي بالترحيل ولا تصف عبارة المرور بأنها تصلح البذرة.

## لم يُخترق الجهاز—وهذا هو التحذير الأعمق

إن وصف كل خسارة بأنها «اختراق لمحفظة عتادية» يضغط فئات متعددة ومختلفة من الإخفاق في عبارة مثيرة واحدة. وهذا يحجب الضوابط التي كان من شأنها أن تفيد. ففي حادثة Coldcard، لم يتغلب المهاجم على الغلاف، أو لوحة المفاتيح، أو ضوابط USB، أو العنصر الآمن في حوزة كل ضحية. بل تجاوز الجهاز لأن السر الجذري كان قابلًا للتعداد.

لا تحمي الحدود الأمنية سوى ما يعبرها. فإذا كان المفتاح الداخل إلى عنصر آمن ضعيفًا، أو إذا سرّبه برنامج ثابت خبيث عبر التوقيعات، أو إذا عرضت الشاشة وجهة يتحكم فيها مهاجم، أو إذا أُكره شخص على تفويض تحويل، فإن وجود عتاد مخصص لا يتصدى للهجوم.

## ليست خسائر المحافظ العتادية كلها متشابهة

تبيّن عدة حوادث موثقة وعروض بحثية لماذا تحتاج هذه الفئة إلى الدقة. فهي لا تثبت أن المحافظ العتادية عديمة الفائدة، بل تبيّن أن العتاد ينقل المخاطر إلى منظومة مختلفة من الرقاقات، والبرامج الثابتة، وسلاسل التوريد، وبرمجيات المضيف، وبروتوكولات التوقيع، والنسخ الاحتياطية، والإجراءات البشرية.

### 1. حقن الأعطال والاستخراج المادي للبذرة

في عام 2020، كشفت Kraken Security Labs عن تقنية لإحداث خلل في الجهد ضد جهازي Trezor One وModel T. وأفادت Kraken بأن الوصول المادي لمدة تقارب 15 دقيقة قد يتيح استخراج مادة البذرة المشفرة، ثم يمكن كسر PIN قصير بالقوة الغاشمة. وكان إجراء التخفيف العملي الذي اقترحته هو عبارة مرور BIP39 قوية لا تُخزّن على الجهاز. كما وثقت Kraken فئة مماثلة من الهجمات ضد KeepKey.

هذا تهديد مختلف عن Coldcard. فهو يتطلب حيازة الجهاز المستهدف وحقن أعطال على غرار المختبرات. ويبيّن أن مقاومة العبث تعتمد على المتحكم الدقيق وتصميم التخزين المختارين، وأن PIN ليس بالضرورة سر تشفير عالي الإنتروبيا.

### 2. برمجيات مخترقة تحيط بموقّع عتادي أصلي

في ديسمبر 2023، أدّت حادثة سلسلة توريد Ledger Connect Kit إلى حقن شيفرة خبيثة في تطبيقات dApps التي حمّلت حزمة مخترقة. ووفقًا لـ Ledger، خدعت الشيفرة مستخدمي EVM ليوقّعوا معاملات تستنزف أموالهم. ولم تكشف الأجهزة العتادية بذورها تلقائيًا؛ بل عرضت المنظومة المحيطة بها مقصدًا خبيثًا على موقّعين شرعيين.

توضح فئة الإخفاق هذه لماذا تُعد عبارة «لم يغادر المفتاح الجهاز قط» ضرورية لكنها غير كافية. فقد يفوّض مفتاح آمن بإخلاص معاملة خاطئة عندما يتعذر على المستخدم أو المضيف أو الشاشة فهم ما يجري توقيعه فهمًا موثوقًا. ويُعد فك ترميز المعاملات بوضوح، والشاشات الجديرة بالثقة، والصلاحيات الضيقة، وضوابط التبعيات، ومقاومة التوقيع الأعمى أجزاءً من أمن الوصاية.

### 3. برنامج ثابت خبيث يسرّب الأسرار عبر توقيعات اعتيادية

وكان باحثون في Block قد نشروا هجومًا بحثيًا عمليًا يُرمّز فيه برنامج ثابت مخترق للمحفظة مادة سرية خفيةً داخل توقيعات تبدو عادية. ويفترض نموذج التهديد لديهم اختراق البرنامج الثابت عبر مسارات مثل خرق سلسلة التوريد، أو تصرف من جهة داخلية، أو اختراق نظام البناء، أو اختراق مفتاح التوقيع. ولا تفيد الفجوة الهوائية إذا أصبحت المعاملة الموقّعة نفسها قناة لاستخراج البيانات.

هنا تكتسب عمليات البناء القابلة لإعادة الإنتاج، وتعدد القائمين المستقلين بالبناء، والتبعيات ذات الإصدارات المثبّتة، والإقلاع الآمن، وتنويع تطبيقات التوقيع المتعدد معناها. فهي تعالج حلقات محددة في سلسلة، ولا تصدّق بصورة سحرية على سلامة التصميم أو المصدر أو المشغّل.

### 4. انكشاف النسخ الاحتياطية، واستبدال العناوين، والإكراه

كثير من السرقات الفعلية لا يستغل السيليكون أصلًا. إذ يسرق المهاجمون النسخ الاحتياطية للبذور أو يصورونها، أو يستبدلون عنوان استلام، أو ينتحلون صفة الدعم، أو يخترقون عملية شراء أو شحن، أو يحصلون على جهاز مع PIN ضعيف، أو يجبرون المالك على التعاون. وتظل عبارة الاسترداد، بحكم تصميمها، بيانات اعتماد رئيسية قابلة للنقل: فكل من يحصل عليها يستطيع استعادة المحفظة في مكان آخر، بصرف النظر عن موضع الجهاز الأصلي.

## لماذا قد يجعل مزيد من التعقيد الأمن أسوأ

يكون التعقيد مبررًا أحيانًا. فقد تجعل شاشة منفصلة مراجعة المعاملة أكثر موثوقية. وقد يرفع العنصر الآمن تكلفة الاستخراج المادي. وقد يزيل التوقيع المتعدد مفتاحًا منفردًا بوصفه نقطة إخفاق. لكن كل آلية مضافة تُنشئ أيضًا واجهات، وحالات، ومسارات تحديث، وتبعيات، وإجراءات استرداد، وافتراضات. وليس السؤال الصحيح «هل هذا معقد؟»، بل «أي تهديد يضبطه كل مكوّن، وما أنماط الإخفاق الجديدة التي يُدخلها؟»

ينص مبدأ Saltzer وSchroeder الكلاسيكي بشأن اقتصاد الآلية على أن تصاميم الحماية ينبغي أن تكون بسيطة وصغيرة قدر الإمكان حتى يظل الفحص والفهم ممكنين. وبالمثل، تتعامل إرشادات NIST لأمن الأنظمة الحديثة مع تقليص سطح الهجوم والمكوّنات الكبيرة متعددة الوظائف التي يصعب تحليلها بوصفها شواغل معمارية. والبساطة ليست غياب الضوابط، بل رفض إضافة ضوابط لا يمكن تفسير سلوكها واختباره وتشغيلها على نحو صحيح.

- زيادة الشيفرة تخلق مزيدًا من العيوب المحتملة. كما تجعل المراجعة الشاملة أعلى تكلفة، وتجعل التفاعلات أصعب من حيث الاستدلال عليها.

- زيادة الأوضاع تُنشئ مخاطر في الضبط. يمكن لكل من البرنامج الثابت Standard مقابل Edge، ومسارات عمل البذرة المتعددة، ومحافظ عبارات المرور، ومسارات USB والمسارات ذات الفجوة الهوائية، ومتغيرات النسخ الاحتياطية أن يكون آمنًا بمفرده، لكنه يصبح مربكًا عند جمعه مع غيره.

- زيادة الواجهات تُنشئ مخاطر في نقل المعنى. يجب أن تتفق شاشة العتاد، وتطبيق المضيف، وتنسيق QR، ومسار عمل microSD، وموصّل المتصفح، والواجهة الخلفية للشبكة اتفاقًا دقيقًا على ما يفوضه المستخدم.

- زيادة الطقوس قد تقلّل الامتثال. إذا كان المسار الآمن صعبًا، يتخطى الناس التحقق، أو يؤجلون التحديثات، أو يعيدون استخدام النسخ الاحتياطية، أو يتبعون تعليمات طارئة من دون فهمها.

- زيادة الثقة قد تضخّم الخسارة. قد يشجع منتج يُسوَّق له على أنه «بارد»، أو «ذو فجوة هوائية»، أو «غير قابل للاختراق» المستخدم على تجميع قيمة أكبر خلف بذرة واحدة. ويحوّل التركيز عيبًا خفيًا واحدًا إلى نتيجة كارثية.

> يكون الدفاع في العمق ذا قيمة عندما تكون الطبقات مستقلة. أما تكرار التنفيذ نفسه، أو مصدر الإنتروبيا نفسه، أو المورّد نفسه، أو سر الاسترداد نفسه، فليس دفاعًا مستقلًا.

## المصدر المفتوح، وعمليات التدقيق، والبنيات القابلة لإعادة الإنتاج، والمراجعة بالذكاء الاصطناعي ليست مترادفات

يكتسب سجل Coldcard قيمة تعليمية استثنائية لأن برنامجه الثابت كان متاحًا للعامة، ولأن وثائق البناء القابل لإعادة الإنتاج كانت موجودة، بينما ظل المسار الضعيف ضمن الإصدارات لسنوات. ولا يجعل ذلك الانفتاح عديم الفائدة، بل يبيّن أن إتاحة الأدلة والفحص الفعلي للخاصية الصحيحة أمران مختلفان.

- المصدر المفتوح يعني أن الجهات الخارجية تستطيع فحص التنفيذ. لكنه لا يثبت أن أحدًا راجع كل مسار حرج أمنيًا، أو أن الشجرة العامة أنتجت الملف الثنائي المثبت.

- التدقيق المستقل مهمة محدودة النطاق. وتعتمد قيمته على هوية المراجع المسمّى، والالتزام أو الإصدار المحدد، ونموذج التهديد، والخصائص المختبرة، والاستثناءات، والنتائج، وأدلة المعالجة. وعبارة «خضع للتدقيق» من دون نطاق ليست سوى شعار.

- عملية البناء القابلة لإعادة الإنتاج تتيح لقائمين مستقلين بالبناء اتباع وصفة منشورة ومقارنة المخرجات. وقد تربط المطابقة المصدر بعنصر من عناصر الإصدار؛ لكنها لا تثبت صحة المصدر.

- مراجعة App Store وتوقيع الشيفرة يثبتان ضوابط التوزيع والمنصة. لكنهما لا يثبتان، بمفردهما، أن ملفًا ثنائيًا في App Store مطابق بتًا ببت لمستودع عام.

- المراجعة بمساعدة الذكاء الاصطناعي يمكنها البحث في قواعد شيفرة كبيرة، وتوليد فرضيات عدائية، ومقارنة الثوابت، وتسريع التحليل البشري. وقد يفوّت النموذج السياق أيضًا، أو يقبل فرضية زائفة، أو ينتج نتيجة معقولة ظاهريًا لكنها خاطئة. فمراجعة الذكاء الاصطناعي عدسة إضافية وليست جهة اعتماد.

تقدم صفحة حالة Coldcard الحالية نموذجًا جيدًا للغة تحديد النطاق: فهي تذكر قياسات موجّهة لمولد الأرقام العشوائية RNG على أجهزة فعلية، ومراجعات للمصدر، ومراجعة لإصلاح عاجل، وبنية قابلة لإعادة الإنتاج مع تتبع لمسار النرد؛ ثم تنص صراحةً على أن تلك الفحوص ليست تدقيقًا كاملًا لكل ملف ثنائي للبرنامج الثابت، ولا تضمن خلوه من العيوب. وهذه العبارة أثمن من شارة غير مقيّدة.

## ما الذي يمكن لـ Aperture أن تدّعيه بصدق

تعتمد Aperture بنية وصاية مختلفة: تطبيقًا متاح المصدر لأجهزة iPhone وiPad بدلًا من موقّع عتادي مخصص. ويعرض المستودع العام عميل الأجهزة المحمولة وتعليمات البناء بموجب رخصة MIT. وينص نموذج الأمن المنشور على أن أسرار المحفظة تُخزّن عبر iOS Keychain ذي النطاق الخاص بالتطبيق وبحماية this-device-only، بينما لا تحتفظ قاعدة البيانات المحلية إلا بإحالات معتمة بدلًا من عبارات الاسترداد أو المفاتيح الخاصة. وتُنشأ المعاملات وتُوقّع على الجهاز قبل إرسال البيانات الموقّعة إلى البنية التحتية للشبكة.

تصف وثائق أمن المنصة من Apple توقيع الشيفرة الإلزامي، والمطورين المحددي الهوية، والمراجعة الآلية والبشرية في App Store، والعزل، وفرض التوقيع وقت التشغيل. كما تصف وثائق Keychain الحماية لكل عنصر ومشاركة Secure Enclave في معالجة مفاتيح Keychain. وهذه ضوابط حقيقية للمنصة. لكنها لا تعني أن المفاتيح الخاصة بسلاسل الكتل في Aperture هي نفسها مفاتيح Secure Enclave، ولا تدّعي Aperture ذلك.

تضيّق Aperture أيضًا سطح المنتج عمدًا. فهي لا تدير حساب وصاية ولا نسخة استرداد تحتفظ بها الشركة، ويتجنب تصميمها الأساسي تحويل المحفظة إلى منصة شراء وبيع، أو محرك مبادلة، أو متصفح عام داخل المحفظة. وقد أضاف الإصدار 2.40.12 فحوص سلامة للعشوائية المادية ترصد التكرار الشديد، والهيمنة، والدورات القابلة للتنبؤ عندما يبني المستخدمون الإنتروبيا من النرد، أو رميات العملة، أو الأرقام. ويمكن لهذه الفحوص اكتشاف أنماط إخفاق واضحة؛ لكنها لا تستطيع إثبات أن العملية المادية كانت عادلة أو خاصة.

### هل يمكن أن تكون Aperture أكثر أمانًا من محفظة عتادية؟

بالنسبة إلى بعض نماذج التهديد، نعم. أما بوصفه ادعاءً عامًا، فلا. يمكن لمحفظة هاتف أن تتجنب مسار تصنيع جهاز مخصص وشحنه، وأن تقلل عدد الأشياء التي توحي بوضوح بوجود وصاية على قيمة كبيرة، وأن تستخدم منصة ذات تحديثات موقّعة سريعة وعزل ناضج، وأن تضع تنفيذًا قابلًا للفحص في واجهة مألوفة يُرجح أن يشغلها المستخدمون على نحو صحيح. كما يمكن لسطح ميزات أصغر أن يزيل فئات كاملة من مخاطر المتصفح، والمبادلة، والموافقات، ونقل المعنى بين الأجهزة.

وفي نماذج تهديد أخرى، يمثل موقّع منفصل مصمم جيدًا حدًا مهمًا. فإذا اختُرق نظام تشغيل الهاتف أو عملية المحفظة، يمكن للفصل المادي وشاشة مستقلة جديرة بالثقة أن يمنعا مضيفًا متصلًا بالشبكة من الحصول على مفتاح أو إساءة استخدامه. وبالنسبة إلى المؤسسات أو القيم التي تغيّر حياة أصحابها، قد تكون البنية الأقوى سياسة توقيع متعدد مختبرة بعناية، تستخدم تنفيذات مستقلة، وإنتروبيا مستقلة، ومواقع منفصلة، واستردادًا موثقًا—لا منافسة بين هاتف واحد وصندوق عتادي واحد.

لذلك ينبغي ألا تنهي كلمة «عتاد» التحليل أبدًا. فجهاز iPhone عتاد أيضًا. والفروق ذات الصلة هي: أي شيفرة تُنفذ، وكيف بُنيت ووُزعت، وأين تصبح الأسرار متاحة، وما الذي يستطيع المستخدم التحقق منه، وكيف تُعرض المعاملات، وكيف تتم التحديثات، وأي إخفاق منفرد يستطيع تحريك الأموال.

### حدود الأدلة مهمة لـ Aperture أيضًا

ينص موقع Aperture حاليًا على أن التطبيق خضع لتدقيق مستقل وأن بناءه قابل لإعادة الإنتاج. ويُعرَّف سجل التدقيق العام بأنه المرجع المعتمد لأسماء المراجعين، والنطاق الدقيق، والتواريخ، والإصدارات المراجعة، والتقارير، والنتائج، والمعالجة، وقيم التجزئة، ومواد قابلية إعادة الإنتاج. وعند نشر هذا المقال، لم يكن ذلك السجل يعرض بعدُ هذه الآثار الملموسة. كما لم يتضمن مستودع GitHub العام أي آثار إصدار يمكن بالرجوع إليها إعادة إنتاج مطابقة مستقلة مع ملف App Store الثنائي.

لذلك لا يدّعي هذا المقال أن «كل سطر في ملف App Store الثنائي ثبتت سلامته»، أو أن عدة شركات صدّقت على كل سلوك، أو أن الذكاء الاصطناعي تحقق من التطبيق كاملًا. فتلك العبارات تتجاوز الأدلة العامة المتاحة. والتمييز الصحيح تقنيًا هو أن الشيفرة المصدرية منشورة على GitHub، بينما توزع Apple ملفًا ثنائيًا مجمّعًا وموقّعًا عبر App Store. ويتطلب الربط بين الاثنين وصفة بناء عامة، ونسخة مصدرية ثابتة غير قابلة للتغيير، وقفلًا للتبعيات، ونسخة محفوظة من عنصر App Store البرمجي، وإجراءً لتطبيع آثار توقيع Apple، ونتيجة مطابقة، وإفادة مستقلة.

> يبلغ التحقق أقصى قوته عندما يتضمن الادعاء أدلة كافية ليعيد شخص متشكك لا يعرف القائمين عليه إنتاجه. وينبغي تقييم Aperture بهذا المعيار بالصرامة نفسها التي يُقيّم بها أي مورّد لمحفظة عتادية.

## ما الذي ينبغي أن تتضمنه حزمة تحقق بمستوى جامعي

بالنسبة إلى الباحثين والمدققين والصحفيين والمقيّمين المؤسسيين، ينبغي أن يكون ادعاء أمن المحفظة الجدير بالثقة سلسلة أدلة قابلة للتتبع، لا جدارًا من الشارات. اطلب، في الحد الأدنى، ما يلي:

- نموذج تهديد دقيق. سمِّ كلًا من الاختراق عن بُعد، والاستخراج المادي، والتحديثات الخبيثة، واختراق نظام البناء، والإنتروبيا الضعيفة، واستبدال المعاملات، وسرقة النسخ الاحتياطية، والإكراه، والتوافر على حدة.

- نسخة مصدرية مُراجَعة وثابتة. حدّد معرّف commit، ومخطط التبعيات، وإصدارات المترجم وSDK، وأعلام البناء، والاستحقاقات، والتهيئة التي شملها النطاق.

- تقرير مستقل معلوم الجهة. انشر اسم المراجع، والمنهجية، والتواريخ، والاستثناءات، ومعايير الخطورة، والنتائج، والأدلة المستخدمة لإغلاق كل معالجة.

- قابلية إعادة الإنتاج من المصدر إلى الملف الثنائي. قدّم وصفة كاملة ونتائج بناء مستقلة مرتبطة بالإصدار العام المحدد. واشرح أي اختلافات غير حتمية أو ناشئة عن التوقيع.

- أدلة على مسار الإنتروبيا. اختبر المصدر على عتاد فعلي، وتحقق من سلوك الإخفاق، وارفض الرجوع الصامت إلى مسار بديل، وتتبع المسار الدقيق الذي يستخدمه بناء الإصدار. فلا تستطيع الاختبارات الإحصائية للمخرجات وحدها إثبات أن المولّد كان موصولًا على نحو صحيح.

- اختبارات عدائية للمعاملات. اختبر استبدال المستلم، والتلاعب بالرسوم، والبيانات الوصفية العدائية، وحدود التوقيع الأعمى، وعمليات البث المنقطعة، واختلاف تفسير المحلل بين كل شاشة وموقّع.

- تمارين على الاسترداد والتحديث. اختبر التعليمات تحت ضغط زمني واقعي، بما في ذلك المعلومات الجزئية، والإصدارات القديمة، والترحيل، والأجهزة المفقودة، واحتمال عجز التحديث عن إصلاح الأسرار الموجودة.

- مراجعة مستمرة ومتنوعة. استخدم الاختبارات الحتمية، والتحليل الساكن، والمتخصصين البشريين، واختبار التشويش، والاختبار على أجهزة فعلية، والمراجعة بمساعدة الذكاء الاصطناعي بوصفها أساليب متكاملة. وسجّل ما أثبته كل أسلوب وما لم يثبته.

## قد يغادر التهديد الشاشة

يمكن للوصاية الذاتية أن تزيل أمين الحفظ، لكنها قد تجعل الشخص أيضًا حد التفويض الأخير. وقد يستهدف لص يعجز عن كسر التشفير المالك، أو عائلته، أو منزله، أو مكان عمله، أو هويته العامة بدلًا من ذلك. وقد يجعل العتاد المخصص هذا الاستهداف أسهل أحيانًا، إذ يعلن بوضوح أن الشخص يأخذ الوصاية بجدية أو يوفر جسمًا ماديًا يتوقع المهاجم العثور عليه. ويمكن للهاتف أيضًا كشف الممتلكات إذا كانت الأرصدة ظاهرة. ولا يحل أي من الشكلين مشكلة الإكراه.

حلّلت دراسة مُحكَّمة أُجريت عام 2024 بعنوان «دراسة هجمات مفتاح الربط: الهجمات المادية التي تستهدف مستخدمي العملات المشفرة» مقابلات، ومنتديات، و146 مقالًا إخباريًا. واحتوت مجموعة البيانات الإخبارية المنقحة على 105 حوادث اعتداء مادي، منها 24 عملية اختطاف و6 جرائم قتل بوصفها الفعل السائد المُبلّغ عنه. ويؤكد المؤلفون وجود نقص في الإبلاغ، ووجدوا أن ممارسي الأمن ذوي الخبرة لم يكونوا بمنأى عن الخطر. وتصف هذه الأرقام مجموعة بيانات الدراسة، لا معدل الوقوع عالميًا، ولا تثبت أن نوعًا بعينه من المحافظ تسبب في كل جريمة.

الخطر ليس نظريًا. ففي عام 2024، وصفت وزارة العدل الأمريكية أحكام إدانة في مؤامرة استخدمت المراقبة، واقتحام المنازل، والاختطاف، والاعتداء، والتهديدات لإجبار الضحايا على إفراغ حسابات العملات المشفرة. وليست العبرة أن يهلع المرء أو يحجم عن طلب المساعدة المشروعة، بل أن يعامل الخصوصية التشغيلية والسلامة الشخصية بوصفهما جزءًا من تصميم المحفظة.

### سلامة الإنسان أسمى من استرداد الأصول

- لا تُعلن عن الأرصدة أو تفاصيل التخزين. يمكن للعناوين العامة، ولقطات الشاشة، وأحاديث المؤتمرات، والمنشورات الاجتماعية، وسجلات الشحن، والعبوات المهملة أن تربط بين الهوية والموقع والثروة المتصورة.

- افصل أموال الاستخدام اليومي عن الاحتياطيات. ينبغي ألا تكشف محفظة الإنفاق كامل المركز طويل الأجل أو تتحكم فيه. وتجنب تجميع كل أصل ومسار استرداد خلف سر واحد يمكن الوصول إليه فورًا.

- استخدم تفويضًا مستقلًا للمبالغ الكبيرة. يمكن لتوقيع متعدد مصمم جيدًا أن يمنع جهازًا واحدًا مسروقًا أو موقعًا واحدًا خاضعًا للإكراه من أن يكون كافيًا، ولكن فقط عندما تكون المفاتيح والتنفيذات ومواد الاسترداد منفصلة حقًا.

- احمِ ما تكشفه الواجهة. استخدم قفل التطبيق وضوابط الخصوصية في مبدّل التطبيقات، وتجنب عرض الأرصدة الكاملة علنًا، وتحقق من المستلمين من دون كشف ممتلكات غير ذات صلة.

- خطّط بمشاركة مهنيين محليين مؤهلين. ينبغي للأفراد والمؤسسات المعرضين لمخاطر عالية وضع إجراءات قانونية للأمن المادي، والسفر، والاستجابة للحوادث، والتركات، وسلامة الأسرة، بالتعاون مع خبراء يفهمون ولايتهم القضائية وظروفهم الشخصية.

- لا تخاطر بحياة من أجل محفظة أبدًا. لا تستحق أي عبارة استرداد، أو جهاز، أو معاملة، أو مبلغ تعريض أحد لإصابة جسدية. وعند وجود تهديد فوري، أعطِ الأولوية لسلامة الإنسان واتصل بخدمات الطوارئ المحلية عندما يكون ذلك آمنًا.

## العبرة بالأدلة، لا بالولاء للمعسكرات

لا يثبت إخفاق Coldcard أن كل جهاز Coldcard حالي غير آمن، أو أن كل محفظة عتادية مجرد استعراض، أو أن كل محفظة هاتف متفوقة. فقد نشرت Coinkite إصدارات مصححة، وإرشادات للترحيل، وتحققًا مستقلًا موجّهًا، وحدودًا صريحة لما تثبته تلك الفحوص. وينبغي للتحليل المسؤول أن يقر بشدة الحادثة وبسجل المعالجة معًا.

وبالمثل، لا ينبغي أن ترث Aperture الثقة لمجرد انتقادها بنية أخرى. فمصدرها العام، ونموذج وصايتها الضيق، وضوابط منصة Apple، والتوقيع المحلي، وقابليتها للمراجعة أمور ذات معنى. وتزداد قوة عندما تنشر جهة خارجية مسمّاة النطاق والنتائج، وعندما يستطيع الباحثون إعادة إنتاج الملف الثنائي الموزع من مصدر غير قابل للتغيير، وعندما تقترن المراجعة بمساعدة الذكاء الاصطناعي باختبارات حتمية وحكم بشري خاضع للمساءلة.

والخلاصة الراسخة أبسط: الأمن ليس مادة الصندوق؛ بل هو جودة السر، وسلوك المنظومة الكاملة، واستقلال دفاعاتها، ووضوح واجهتها، والأدلة المتاحة للتحقق من كل ادعاء مهم. قد يكون التعقيد ضروريًا، لكنه يجب أن يبرر مكانه بإثبات أنه يضبط تهديدًا واحدًا محددًا في كل مرة.

تابع القراءة في أدلة Aperture حول توليد الإنتروبيا من العشوائية المادية، وعبارات مرور BIP39، ونموذج أمن الوصاية الذاتية، ورمز دخول التطبيق وضوابط الخصوصية.

## المصادر الأولية والتقنية

- Coinkite: تنبيه Coldcard الأمني — الإصدارات المتأثرة، ونطاق الإنتروبيا، والإصدارات المصححة، وإرشادات الترحيل.

- Coldcard: حالة الأمن الحالية — الإصدارات الحالية، ونطاق التحقق المستقل وحدوده، وحالة التقرير اللاحق للحادثة.

- TRM Labs: تقييم على السلسلة بتاريخ 5 أغسطس — تقدير مؤرخ للخسائر وتحليل لتدفق المعاملات.

- Kraken Security Labs: كشف حقن الأعطال في Trezor — استخراج البذرة بالوصول المادي وإجراء التخفيف باستخدام عبارة مرور.

- Ledger: تقرير حادثة Connect Kit — نشر تبعية خبيثة وتأثيرها في توقيع المستخدمين.

- Block: بحث الباب الخلفي في البرنامج الثابت — استخراج الأسرار عبر التوقيعات وإجراءات التخفيف في سلسلة التوريد.

- أمن منصة Apple: أمن التطبيقات وتوقيع الشيفرة — ضوابط توزيع iOS والعزل وسلامة وقت التشغيل.

- Ordekian وAtondo-Siu وHutchings وVasek: دراسة هجمات مفتاح الربط — تحليل مُحكَّم للأمن المادي.

- وزارة العدل الأمريكية: إدانات اقتحام منازل لسرقة العملات المشفرة — توثيق للإكراه المادي والمراقبة.

لا توجد بين Aperture وأي من Coldcard أو Coinkite أو Trezor أو Kraken أو Ledger أو Block أو الباحثين المذكورين أي علاقة انتساب أو تأييد. وتعود أسماء المنتجات والشركات إلى مالكيها المعنيين. وهذا المقال مادة تثقيفية في الأمن، وليس نصيحة مالية أو قانونية أو طارئة مخصصة لفرد. فلا تقدم مطلقًا عبارة استرداد، أو مفتاحًا خاصًا، أو عبارة مرور للمحفظة، أو رمز دخول للتطبيق، أو كلمة مرور لنسخة احتياطية إلى موقع ويب، أو موظف دعم، أو باحث، أو مساعد ذكاء اصطناعي.

---

Security: Never share a recovery phrase, private key, BIP-39 passphrase, app passcode, or backup secret with Aperture support or an AI assistant.