কোল্ডকার্ড ওয়ালেটের বাগের কারণে $130 মিলিয়ন বিটকয়েনের ক্ষতি হয়েছে

ব্লকের বিটকয়েন ইঞ্জিনিয়ারিং এবং সিকিউরিটি দল এবং স্বতন্ত্র বিটকয়েন কোর ডেভেলপারদের সম্প্রতি কোইনকাইট কোল্ডকার্ড ওয়ালেটের ক্ষতির কারণ হিসেবে একটি নির্দিষ্ট ফার্মওয়্যার দোষ চিহ্নিত করেছে, যা কোনো ব্যবহারকারী সিড বাক্যাংশ স্পর্শ করার আগেই বিটকয়েন সেলফ-কাস্টডির একটি লুকানো দুর্বলতা প্রকাশ করেছিল।

বাগটি ডিভাইসের র‍্যান্ডম-নাম্বার জেনারেশনকে তার STM32 হার্ডওয়্যার সোর্স থেকে MicroPython-এর নির্ধারিত Yasmarang ব্যাকআপে পরিচালিত করে।

ফার্মওয়্যার 4.0.1 থেকে 4.1.9 চালানো Mk2 এবং Mk3 ডিভাইসগুলি সেড তৈরি করেছে যার ক্রিপ্টোগ্রাফিক র‍্যান্ডমনেস একটি ছোট, অনুসন্ধানযোগ্য সেটে ধ্বংস হয়েছে।

এমকে৪, কিউ এবং এমকে৫ মডেলগুলি কম প্রভাবিত হয়েছিল, যা প্রায় ৭২ বিট এনট্রপি সহ বীজ উৎপাদন করেছিল, যা ডিজাইন দ্বারা নির্দিষ্ট ১২৮ বিটের চেয়ে অনেক কম।

সংশ্লিষ্ট পড়ুন

কোল্ডকার্ডের $89M ওয়ালেট বাগটি FTX-এর পর সবচেয়ে বড় বিটকয়েন চলাচল ঘটিয়ে মার্কেট সংকেতগুলিকে সম্পূর্ণভাবে বিকৃত করে দিয়েছে

ব্যবহারকারীরা তাদের ফান্ড নিরাপদে রাখতে দ্রুত গতিতে চলে গেলেন, ফলে 77,000-এর বেশি BTC পুরনো ওয়ালেট থেকে সরিয়ে নেওয়া হয়েছে, যা প্রধান অন-চেইন ইন্ডিকেটরগুলিতে বিষণ্ণতার প্রতিবেদনকে জটিল করে তুলেছে।

২ আগস্ট, ২০২৬·ওলুওয়াপেলুমি আদেজুমো

একজন ব্যবহারকারী দশদুই বা চব্বিশটি শব্দ লিখে রাখতে পারেন, এগুলো একটি নিরাপদ জায়গায় রাখতে পারেন, বছরের পর বছর ডিভাইসটি অফলাইন রাখতে পারেন, এবং তবুও একটি কী ধারণ করতে পারেন যা একজন আক্রমণকারী ফলব্যাক জেনারেটরের সংকীর্ণ আউটপুট স্পেস অনুসন্ধান করে পুনর্গঠন করতে পারে।

একটি ফার্মওয়্যার ঠিক করা শুধুমাত্র সেই সিডগুলিকে সুরক্ষিত করে যেগুলি ডিভাইসটি আপডেট ইনস্টল করার পরে তৈরি করে, তাই দোষপূর্ণ পথটি ইতিমধ্যে যে সিডগুলি তৈরি করেছে সেগুলির সম্পূর্ণ প্রতিস্থাপন প্রয়োজন: কোইনকাইটের পরামর্শ অক্ষম ব্যবহারকারীদের একটি সম্পূর্ণ নতুন সিড তৈরি করতে এবং তাদের অর্থ স্থানান্তর করতে নির্দেশ দেয়।

পুরনো ফ্রেজটি অন্য একটি প্রস্তুতকারকের ওয়ালেটে আমদানি করলে একই দুর্বলতা থাকে। এই ত্রুটির উৎস হল সিডের উৎপত্তি, যা রিকভারি শব্দগুলির সাথে ভ্রমণ করে।

প্রভাবিত মালিকদের একটি অংশের জন্য, ডিভাইসটি যে সময় একটি কী তৈরি করেছিল, যা কোনো জমা আসার আগে মাস বা বছর আগের কথা, তখনই ফলাফলের বাক্যটি যতটা সাবধানেই মালিক সংরক্ষণ করেছিলেন না কেন, অনুসন্ধানের পরিসরটি স্থির হয়ে গিয়েছিল।

কোল্ডকার্ড তার প্রতিষ্ঠা গড়েছে বিটকয়েন স্ব-নিয়ন্ত্রণের জন্য সিকিউরিটি গাইডগুলি সুপারিশকৃত বৈশিষ্ট্যগুলির উপর: বিটকয়েন-কেবল ফার্মওয়্যার, এয়ার-গ্যাপড সাইনিং, ডুয়াল সিকিউর এলিমেন্ট, প্রকাশিত সোর্স কোড এবং পুনরুৎপাদনযোগ্য বিল্ড।

প্রকাশিত ফার্মওয়্যার পুনর্নির্মাণ করে এবং এটিকে বিতরিত বাইনারির সাথে মিলিয়ে দেখা যায় যে ব্যবহারকারীরা যে কোড চালায়, তা কোইনকাইট প্রকাশিত কোডের সাথে মেলে। এই মিল শুধুমাত্র বিতরণের অখণ্ডতাকে নির্দেশ করে, এবং মূল ডিজাইনের ভিতরে কোনো ত্রুটি ধরতে হলে স্বয়ংক্রিয়ভাবে সোর্স কোডের উপর আলাদা, গভীর অডিট প্রয়োজন।

যে ভালান্ট পথটি কোইনকাইট ২০২১ সাল থেকে ফার্মওয়্যারে শিপ করেছিল এবং এই জুলাইয়ের প্রকাশ পর্যন্ত শিপ করতে থাকে, একটি পাঁচ বছরের সময়কাল যেখানে সোর্স কোডটি পাবলিক ছিল এবং দোষটি ধরা পড়েনি।

কয়েনকাইটের প্রায়োগিক নোটগুলি বলে যে, পূর্বের পর্যালোচনায় নিশ্চিত হওয়া হয়েছিল যে ফার্মওয়্যার বাইনারিতে কোথাও সঠিক হার্ডওয়্যার র‍্যান্ডম-নম্বর জেনারেটর বিদ্যমান ছিল, কিন্তু সিড-জেনারেশন রুটিনটি এটি অর্জন করেছে কিনা তা নিশ্চিত করা হয়নি।

সংশ্লিষ্ট পড়ুন

কিছু হল না? আপনার বিটকয়েন হার্ডওয়্যার ওয়ালেটটি সম্ভবত আপনি যতটা ভাবেন ততটা নিরাপদ নয়

আপনার এয়ার গ্যাপ, পিন এবং স্টিল ব্যাকআপ কোনো বিটকয়েন ওয়ালেটকে বাঁচাতে পারবে না যার সীড দুর্বল অবস্থায় জন্মগ্রহণ করেছে

৩ আগস্ট, ২০২৬·লিয়াম 'আকিবা' রাইট

যারা একটি শক্তিশালী, অনন্য BIP-39 পাসফ্রেজ সেট করেছেন, তারা সিড-পুনর্গঠন আক্রমণকে নিজেদের দ্বারাই প্রতিরোধ করেছেন, কারণ BIP-39 মনেমনিক এবং পাসফ্রেজ সহ একটি লব থেকে ওয়ালেট সিড উৎপন্ন করে।

একটি ভিন্ন পাসফ্রেজ একটি ভিন্ন ওয়ালেট তৈরি করে, যদিও ভিত্তির শব্দগুলি মেলে।

এই পাসফ্রেজটি ডিভাইসের পিন থেকে স্বতন্ত্র, যা শুধুমাত্র হার্ডওয়্যারকে আনলক করে; পাসফ্রেজটি নিজেই কীগুলি তৈরি করতে অংশগ্রহণ করে, এবং কোইনকাইট এই ব্যবহারকারীদের জন্য এখনও মাইগ্রেশনের সুপারিশ করে।

যারা নিজেদের সিড তৈরি করেছেন কমপক্ষে ৫০টি ন্যায্য, স্বাধীন, ব্যক্তিগত ডাইস রোলের মাধ্যমে, তারা দ্বিতীয় গ্রুপের অংশ, যাদের জন্য Coinkite এই নির্দিষ্ট ত্রুটি থেকে বাদ দিয়েছে, কারণ বাহ্যিক এনট্রপি যোগ করার ফলে ডিভাইসের ত্রুটিপূর্ণ জেনারেটরকে একমাত্র ইনপুট হিসেবে সরিয়ে দেওয়া হয়েছে।

এক্সাপো ব্যাংকের চিফ ইনফরমেশন সিকিউরিটি অফিসার অ্যান্ড্রু ম্যানুকাস ক্রিপ্টোস্লেটকে একটি নোটে এই প্যাটার্নটি ব্যাখ্যা করেন:

এই ঘটনার পাঠ হল যে হার্ডওয়্যার ওয়ালেটগুলি খারাপ; এটি হল কেন্দ্রীয়করণ। যখন আপনার বিটকয়েনের নিরাপত্তা একটি একক গোপনীয়তায়, একটি একক ডিভাইসে, একটি একক অনুপ্রেরণামূলক মুহূর্তে সীমাবদ্ধ হয়ে পড়ে, তখন আপনি সেই মুহূর্তে বিশেষভাবে অন্তর্ভুক্ত প্রতিটি ধারণা গ্রহণ করেন।

তিনি বলেন যে বছর ধরে শিল্পের ডেটা বলে আসছে যে এখন বেশিরভাগ ক্ষতি হচ্ছে কী পরিচালনা এবং অপারেশনাল ব্যর্থতার কারণে।

মাল্টিসিগ সম্পর্কে সাধারণ পরামর্শ প্রায়শই একটি বিষয় উল্লেখ করে না: একটি 2-অফ-3 ব্যবস্থা একটি কম্প্রোমাইজড কী থেকে ফান্ড সরানো বন্ধ করে দেয়। একই দোষপূর্ণ বাস্তবায়ন শেয়ার করে এমন তিনটি কী একটি একক ব্যর্থতা ডোমেইনে পরিণত হয়।

কোল্ডকার্ডের নিজস্ব ডকুমেন্টেশন অনুযায়ী, একটি একক ডিভাইস বিভিন্ন পাসফ্রেজ ব্যবহার করে একাধিক কোসাইনার তৈরি করতে পারে, যা একটি একক অন্তর্নিহিত বাস্তবায়নের দিকে ফিরে যেতে পারে।

বাস্তব পরীক্ষা পরিবর্তিত হয়েছে এখন একটি ওয়ালেট কি মাল্টিসিগ ব্যবহার করে তার পরিবর্তে প্রতিটি কী কে তৈরি করেছে, এটি কোন বাস্তবায়ন ব্যবহার করে, এবং কোন র‍্যান্ডমনেসের উৎস ব্যবহার করে।

Ledger-এর ঐচ্ছিক Recover সেবাটি ডিভাইসের সিকিউর এলিমেন্টকে ওয়ালেটের এনট্রপি কপি করে এনক্রিপ্ট করে, ফলাফলকে তিনটি এনক্রিপ্টেড ফ্র্যাগমেন্টে বিভক্ত করে এবং এগুলোকে আলাদা ব্যাকআপ প্রোভাইডারদের কাছে পাঠায়, যা একটি সাবস্ক্রিপশন এবং ডিভাইসের নিজস্ব ভৌত অনুমোদনের প্রয়োজন করে।

লেজারের বাউন্ডারি সমস্যার সংস্করণটি নির্দিষ্ট শর্তের অধীনে গোপন উপাদানটিকে ডিভাইসের বাইরে সরানোকে সম্বোধন করে, যেখানে ব্যবহারকারী প্রতিবার অনুমোদন দেয়।

কয়েনকাইটের সমস্যাটি আরও উপরের পর্যায়ে ছিল: ফার্মওয়্যারটি ডিভাইসের সীমানা কখনও প্রযোজ্য হওয়ার আগেই গোপনীয়তা নষ্ট করে দিয়েছিল। উভয় ক্ষেত্রেই, উৎপাদকের সফটওয়্যারটি বিটকয়েন সেলফ-কাস্টডির প্রকৃত নিরাপত্তা সীমানা নির্ধারণ করে, হার্ডওয়্যারের জন্য ব্যবহৃত মার্কেটিং ভাষার উপর নির্ভর করে না।

প্রাথমিক স্বীকৃতি প্রায় 500 ওয়ালেট থেকে প্রায় 594 BTC টানে। অন-চেইন গবেষকদের পরে কমপক্ষে তিনটি সন্দেহভাজন ঢল এই ত্রুটির সাথে সংযুক্ত করা হয়েছে, যা 4,500-এরও বেশি ঠিকানায় প্রায় 1,367 BTC জড়ো করেছে, যার মূল্য সময়টির সময় প্রায় 89 মিলিয়ন ডলার।

৩ আগস্ট প্রচলিত রিপোর্টগুলি একটি সম্ভাব্য চতুর্থ ঢেউয়ের কথা বর্ণনা করে যা মোটকে 114 মিলিয়ন ডলারের দিকে ঠেলে দিতে পারে। Galaxy Digital-এর এলেক্স থর্ন সতর্ক করেন যে ব্লকচেইন প্যাটার্নগুলি একাই কিছু স্বীকৃত ঠিকানা এবং vulnerable Coldcard firmware-এর মধ্যে সম্পর্ককে নিশ্চিত করে না, যার ফলে মোটটি বাড়তে থাকার সাথে সাথে অভিনিবেশটি অস্থায়ী হয়ে থাকে।

লুকঅনচেইনের একটি পরবর্তী ৪ আগস্টের আপডেট, গ্যালাক্সি রিসার্চের উদ্ধৃতি দিয়ে, অনুমান করেছে যে কোল্ডকার্ড-সংশ্লিষ্ট ক্ষতি ৭,৭০০-এরও বেশি প্রভাবিত ঠিকানায় ২,০৫৫ বিটিসি, প্রায় ১৩০ মিলিয়ন ডলারের সমান হতে পারে।

TRM ল্যাবস পাওয়া গেছে যে প্রাথমিক অবকাঠামো এবং পরিচালনাগত দুর্বলতা, বিশেষ করে প্রাইভেট-কী এবং সিড-ফ্রেজ চুরি, 2026 এর প্রথম অর্ধেকের মধ্যে ক্রিপ্টো হ্যাকের মধ্যে চুরি করা মূল্যের প্রায় 76% এর জন্য দায়ী। এই একই ব্যর্থতাগুলি মোট ঘটনার প্রায় 15% গঠন করে।

CertiK একই সময়কালে ওয়ালেট কম্প্রোমাইজকে সবচেয়ে ব্যয়বহুল আক্রমণের শ্রেণিতে গণনা করেছে, যা ৩৩টি ঘটনায় $444 মিলিয়নের বেশি এর ক্ষতি সৃষ্টি করেছে। আক্রমণকারীরা তাদের চাবির সিস্টেম এবং প্রক্রিয়াগুলির পিছনে লাভ খুঁজছে, তাদের নীচের ক্রিপ্টোগ্রাফির পিছনে নয়।

কোইনকাইটের প্রতিষ্ঠাতা রোডলফো নোভাক পাবলিকভাবে ক্ষমা চেয়েছেন, বলেছেন যে কোম্পানিটি পুরোপুরি দায়বদ্ধতা গ্রহণ করছে এবং পুলিশ রিপোর্ট, বীমা দাবি এবং ব্লকচেইন তদন্তের জন্য সহায়তা প্রদান করছে। 3 আগস্ট পর্যন্ত, পুনর্বিত্তি তালিকাভুক্ত সমাধানগুলির মধ্যে ছিল না।

একটি এক্সচেঞ্জ যা গ্রাহকের ফান্ড হারায়, কখনও কখনও সেই উদ্দেশ্যে প্রতিষ্ঠান দ্বারা গঠিত রিজার্ভ, বীমা বা ব্যালেন্স শীটের উপর নির্ভর করতে পারে। একটি হার্ডওয়্যার ওয়ালেট নির্মাতা একটি পণ্য বিক্রি করে এবং সাধারণত বিটকয়েনের দায়িত্ব শুধুমাত্র ব্যবহারকারীর উপর ছেড়ে দেয়, যার ফলে কোনো ত্রুটির জন্য দায়িত্ব ব্যবহারকারী এবং প্রস্তুতকারকের মধ্যে অসমাধানিত থেকে যায়।

সবকিছু ভালো থাকলে, মাইগ্রেশন কোনো নতুন ঢেউয়ের উত্থানকে ছাড়িয়ে যায়, এবং ওয়ালেট নির্মাতারা এনট্রপি সনাক্তকরণ, সিড-জেনারেশন পরীক্ষা এবং জরুরি কী রোটেশনের জন্য স্পষ্টতর টুলিংয়ের সাথে প্রতিক্রিয়া জানায়।

প্যাসফ্রেজ, বাহ্যিক ডাইস এনট্রপি, এবং প্রোপারলি ডাইভার্সিফাইড মাল্টিসিগ উন্নত টিপস থেকে ডিফল্ট গাইডলাইনে পরিণত হয়, এবং শিল্পটি এই ঘটনাকে সেলফ-কাস্টডি স্ট্যান্ডার্ডের সেলফ-কাস্টডি মার্কেটিংয়ের সাথে প্রতিটি পদক্ষেপের সমান হওয়ার মুহূর্ত হিসেবে বিবেচনা করে।

তবে, ভবিষ্যতে, গবেষকদের অন্যান্য মডেল বা সেটআপ প্রক্রিয়ায় অতিরিক্ত দুর্বল-সীড পথ আবিষ্কার করতে পারেন, এবং আত্মবিশ্বাস তৈরিকারকদের এগুলো প্যাচ করার চেয়ে দ্রুত ক্ষয় হতে পারে।

ভয় পেয়ে চলে যাওয়ার কারণে ঠিকানা-পুনরায় ব্যবহারের ভুল, দ্রুত ট্রান্সফার এবং নিরাপদে ফান্ডস স্থানান্তর করতে চাওয়া ব্যবহারকারীদের লক্ষ্য করে এমন একটি নতুন ওয়ালেট-সাপোর্ট প্রতারণার ঢল দেখা দেয়।

আপনার নিজস্ব চাবি রাখা এক্সচেঞ্জকে প্রত্যাহার বন্ধ করার, ব্যালেন্স পুনঃব্যবহার করার বা গ্রাহকের অর্থ নিয়ে দুর্বলতায় পতিত হওয়ার ক্ষমতা থেকে বঞ্চিত করে।

বিটকয়েন সেলফ-কাস্টডির ভিতরে একটি নির্ভরশীলতা বেঁচে থাকে: যে প্রস্তুতকারক র‍্যান্ডমনেসকে একটি কীতে রূপান্তরিত করে।

একটি একক বীজ, যা একটি কোম্পানির হার্ডওয়্যারে একটি অনন্য মুহূর্তে জন্ম নেয়, শুধুমাত্র প্রতি সেকেন্ডে একবার সার্বভৌমত্ব প্রদর্শন করে, যার পিছনে একটি স্বাধীন ধারণা রয়েছে।

পোস্টটি Coldcard সংকট $130 মিলিয়ন পর্যন্ত পৌঁছেছে – প্রমাণ করে যে ‘তোমার কী নয়’ অর্থহীন যদি তুমি একটি ডিভাইসের উপর ভরসা করে তাদের তৈরি করো প্রথমে দেখা যায় CryptoSlate-এ।