একটি কোড রিভিউতে পাওয়া গেছে যে লেজারের সফটওয়্যার ডেভেলপমেন্ট কিট (SDK) স্বাক্ষরের তথ্য এবং লেনদেনের মেটাডেটা লেজার সার্ভারে পাঠায়। প্রাইভেসি প্রিয় ব্যক্তিদের মঙ্গলবার এই আচরণটি আবিষ্কার করেন, যা ওয়ালেট অ্যাপগুলি লেজার হার্ডওয়্যার ডিভাইসের সাথে সংযোগ স্থাপনের জন্য ডিফল্ট SDK-এ ব্যবহার করে। এই আবিষ্কারটি সোশ্যাল মিডিয়ায় ছড়িয়ে পড়লে প্রাইভেসি পক্ষপাতীদের জন্য আশ্চর্যজনক হয়ে উঠেছিল।
context-module ভার্সন 1.16 থেকে, যা মে 2026 বা তার আগের সময় থেকে প্রযোজ্য, শেয়ারিং ডিফল্টভাবে সক্ষম করা হয়েছে। লেডজার ডিভাইসগুলি থেকে লেডজার সার্ভারে শেষ মে মাসের পর থেকে ব্যাপক মেটাডেটা প্রবাহিত হয়েছে। অ্যাপ এবং ব্যবহারকারীদের শেয়ারিং থেকে আউট হতে হবে, কিন্তু প্রায় সমস্ত ব্যবহারকারীই এটি করেনি। অনেক ব্যবহারকারী ভুলভাবে বিশ্বাস করতেন যে লেডজার ওয়ালেটগুলি ট্রানজেকশনগুলি ব্যক্তিগতভাবে সই করে এবং ব্যক্তিগত বিবরণগুলি লেডজারের সাথে শেয়ার না করেই সরাসরি ব্লকচেইন নেটওয়ার্কগুলিতে প্রচার করে।
অ্যাম্বির ডেভেলপার ক্যালয়ান কোসেভ, যিনি সুপারকালো নামেও পরিচিত, গতকাল এই সমস্যাটি চিহ্নিত করেন। কোসেভ বলেন, লেজার্ড সার্ভারগুলিতে ব্যবহারকারীদের ডিভাইস মডেল, সফটওয়্যার ভার্সন এবং ব্লকচেইন ঠিকানা পাঠানো হয়েছিল, যেগুলি ব্যবহারকারীরা পেমেন্ট বা কোয়েরি করেছিলেন। কোসেভ যুক্তি দেন যে গোপনীয়তা ডিফল্টভাবেই সক্ষম হওয়া উচিত, বিশেষ করে লেজার্ড-এ।
এসডিকে বিল্ডার ডিফল্টভাবে একটি লেজার সার্ভার এন্ডপয়েন্ট নির্বাচন করে, এবং সেই আচরণের প্রকাশ অপর্যাপ্ত ছিল। ইথেরিয়াম-ভিত্তিক সাইনার ব্যবহারকারী ব্লাইন্ড সাইনিংয়ের অনুরোধ করেছেন কিনা তার উপর নির্ভর করে না, প্রতিটি ট্রানজেকশন-সাইনিং এবং টাইপড-ডেটা-সাইনিং অনুরোধের জন্য একটি রিপোর্ট পাঠায়।
লেজার ডেভেলপাররা ২৬ মার্চে মূল রিপোর্টিং কোডটি কমিট করেছিল। কনটেক্সট-মডিউল ভার্সন ১.১৬.০ এপ্রিলে কোডটি লাইভ প্যাকেজে এন্টিগ্রেট করে, যা এপ্রিল এবং মে মাসে ব্যবহারকারীদের মধ্যে বিতরণ করা হয়। প্রাথমিক রিলিজটি শেয়ারড ডেটাকে লেজার স্টেজিং সার্ভারে পাঠায়। ভার্সন ২.১.০ উত্পাদন সার্ভারগুলিতে গন্তব্য পরিবর্তন করে।
লেজার ডনজন, লেজারের অভ্যন্তরীণ নিরাপত্তা দল, মঙ্গলবার বলেছে যে এই ট্রান্সফারগুলি স্পষ্ট সাইনিংয়ের অংশ। ডনজন বলেছে যে স্পষ্ট সাইনিং ডেসক্রিপ্টরগুলি কাঁচা লেনদেনগুলিকে পড়ার যোগ্য টেক্সটে রুপান্তর করে, কিন্তু এগুলি ডিভাইসের জন্য খুব বড়। ডনজন বলেছে যে SDK-টি পারফরম্যান্স উন্নত করতে লেজার সার্ভারগুলি থেকে ডেসক্রিপ্টরগুলি পুনঃপ্রাপ্তি করে। ডনজন বলেছে যে উপযুক্ত ডেসক্রিপ্টরটি খুঁজে পাওয়ার জন্য প্রাসঙ্গিক লেনদেনের বিস্তারিতগুলি প্রেরণ করতে হয়। লেজারের নিরাপত্তা দল বলেছে যে লেজার কোনও ডেটা ধারণ করে না। নিরাপত্তা দলটি বলেছে যে ওয়ালেটগুলি ডিফল্ট শেয়ারিং এড়াতে তাদেরই মডিউলটি ব্যবহার করতে পারে।
লেজারের সহপ্রতিষ্ঠাতা নিকোলাস ব্যাকা, যিনি ২০২৩ সালে চলে যান, বিটকয়েন প্রেমী মিস্টার হোডলকে বলেছিলেন যে ডিফল্ট সেটিংটি উপেক্ষিত হয়ে যাওয়ার সম্ভাবনা রয়েছে। মিস্টার হোডল জিজ্ঞাসা করেছিলেন কেন শেয়ারিংয়ের জন্য ব্যবহারকারীদের অপ্ট-আউট করতে হচ্ছে, যখন কেউই অপ্ট-ইন করেননি। ব্যাকা বলেছিলেন যে তিনি জানেন না কেন।
লেজারের ওয়ালেট অ্যাপটি অন্যান্য তথ্যও লেজার ইনফ্রাস্ট্রাকচারের মাধ্যমে পাঠায়। অ্যাপটির বিটকয়েন মডিউলটি একটি লেজার এক্সপ্লোরার থেকে অ্যাকাউন্ট ইতিহাস এবং ফি হার পায় এবং সেই এক্সপ্লোরারের মাধ্যমে ট্রানজেকশনগুলি প্রচার করে। অ্যাপটি প্রতিটি ঠিকানার জন্য আলাদাভাবে এক্সপ্লোরার চেক করে এবং প্রতিটি সইকৃত ট্রানজেকশনকে এক্সপ্লোরারের সেন্ড এন্ডপয়েন্টে জমা দেয়।
2023 সালে প্রকাশিত রিপোর্ট অনুযায়ী, লেজার লাইভ ক্লিক, অ্যাকাউন্ট সংখ্যা, ক্রিপ্টো সম্পদের নাম, ডিভাইসের ধরন এবং ফার্মওয়্যার সম্পর্কে বিশ্লেষণ প্রতিষ্ঠান সেগমেন্টকে তথ্য পাঠিয়েছিল। এখন লেজার বলছে যে ব্যক্তিগতকরণ ট্র্যাকারগুলির জন্য অপট-ইন সম্মতি প্রয়োজন। 2020 সালে একটি আলাদা ডেটা ব্রিচ-এ প্রায় 272,000 লেজার গ্রাহকের নাম, ঠিকানা এবং ফোন নম্বর প্রকাশিত হয়। গত মাসে, মালয়েশিয়ায় একটি আপাততঃ আনুষ্ঠানিক কিন্তু অবিশ্বসনীয় লেজার রিসেলারের দ্বারা বিক্রি করা ডিভাইসগুলিতে স্পাইওয়্যার প্রবেশ করে বিদ্যমানদের কাছ থেকে $86 মিলিয়নেরও বেশি টাকা পুড়িয়ে ফেলে।