"أوجه القصور في نموذج "الأمان القائم على السمعة" كما يتضح من اختراقات بطاقات الدفع."

استغل المهاجمون ثغرة في نظام تشغيل "كولد كارد" (Coldcard) لسرقة ما يقرب من 114 مليون دولار من عملة البيتكوين من أكثر من 709 عناوين. في الموجة الأولى من الهجوم، تم تفريغ ما يقرب من 500 محفظة إلكترونية في غضون 25 دقيقة فقط. تكمن المشكلة الأساسية في أن مستوى العشوائية المطلوب لم يتم تحقيقه بشكل كافٍ عند إنشاء مفاتيح المحافظ، حيث تم إدخال الكود المعيب في تحديث تم في مارس 2021، وظل معروضًا في مستودع مفتوح المصدر لأكثر من خمس سنوات. يجادل جاك هيربرت، أحد المؤسسين والرئيس التنفيذي لشركة "فاونديشن"، بأن هذا الحادث يتجاوز مجرد خطأ تقني بسيط. ويشير إلى سجل تغييرات ترخيص "كولد كارد". ففي عام 2020، عندما أعلنت شركة منافسة عن تطوير جهاز يعتمد على كود GPL، نشر رودولفو نوفاك، الرئيس التنفيذي لشركة "كوين كايت"، تغريدة (تم حذفها لاحقًا) أعرب فيها عن أسفه لاختيار ترخيص GPL. وفي نوفمبر من نفس العام، تبنت "كولد كارد" ترخيصًا جديدًا يتضمن بند "الرخصة المشتركة"، وحتى الأسئلة الشائعة الرسمية لهذا الترخيص تنص على أن "المنتج لم يعد مفتوح المصدر". تبع ذلك إعادة كتابة واسعة النطاق للكود، والتحديث الذي أزيل فيه كود GPL للمرة الأخيرة في مارس 2021 هو نفسه التحديث الذي تسبب في تعطيل وظيفة إنشاء المفاتيح. على الرغم من أن هيربرت يعترف بأنه لا يمكن قياس مدى تأثير الضغط على الترخيص على نطاق أو سرعة إعادة الكتابة بدقة، إلا أنه يؤكد بشدة على أن "الكود المشفر الذي تم التحقق منه قد تم استبداله بسرعة بعد تغيير الترخيص بهدف تقييد المنافسة، وأن هذا الاستبدال تضمن عيوبًا". تهدف مبادئ البرامج الحرة ومفتوحة المصدر إلى ضمان عدم اعتماد الأمان على خيارات شركة معينة. كما تم إلقاء اللوم على ثقافة العداء تجاه الباحثين الأمنيين. ففي أغسطس 2020، عندما كشف باحثون من "Shift Crypto" و "Nunchuk" عن عيب في نظام التحقق متعدد التوقيع الخاص بـ "كولد كارد"، وصف رودولفو نوفاك هذا الإفصاح بأنه "إرهاب إعلامي" في بودكاست "Citadel Dispatch". وعندما أبلغ مشروع "WalletScrutiny" عن مشكلة في إعادة إنتاج الإصدارات القديمة في عام 2023، تم اتهامهم بالتقصير والخبث، وتم التلميح إلى رفع دعوى قضائية. لاحقًا، أكدت التحقيقات المستقلة وجود مشكلة حقيقية في الإصدارات القديمة، وخلصت إلى أن الباحثين لم يكونوا مدفوعين بأي نية خبيثة. أدى الهجوم على الباحثين إلى تغيير حساب المخاطر الذي يتحمله أي شخص يفكر في الإبلاغ عن عيب، مما أدى في النهاية إلى تقليل فرص اكتشاف أي شخص للعيب. يصف هيربرت هذه الظاهرة بـ "الاستيلاء المعرفي". فمن خلال تكرار نفس الادعاءات عبر نفس البودكاست والقنوات، بدت هذه الادعاءات وكأنها حقائق تم التحقق منها بشكل مستقل، وبدأت المجتمع تدريجيًا في تفويض حكمها إلى سلطة واحدة. حتى أن بن فيرين، مقدم برنامج "BTC Sessions"، اعترف مؤخرًا في بث مباشر بأنه "لقد سمح بسلوك متعجرف لأنه افترض أن هذا التعجرف جاء مصحوبًا بقدرة استثنائية على إنتاج منتجات عالية الجودة". ويشدد هيربرت على أن الأولوية القصوى هي نشر إرشادات لمساعدة المستخدمين المتضررين، مع التأكيد على أن المفاتيح التي تم إنشاؤها من الإصدارات المعرضة للخطر لا يمكن استعادتها من خلال تحديث البرنامج. علاوة على ذلك، يحث على ضرورة تصحيح أي محتوى تم الترويج له في الماضي دون التحقق منه، ومنح الباحثين الذين تعرضوا للهجوم فرصة للتعبير عن آرائهم. يختتم هيربرت مقاله بالعبارة: "تحققوا، ولا تثقوا بالمورد أو منتقدي المورد، بل تحققوا بأنفسكم".