कोल्डकार्ड बिटकॉइन हैक: 1,082 बिटकॉइन अपरिवर्तित रहने पर नया जांच संकेत सामने आया
कोल्डकार्ड बिटकॉइन वॉलेट एक्सप्लॉइट पर एक बड़ी जांच एक असामान्य मोड़ ले चुकी है। 30 जुलाई, 2026 को पहली और सबसे बड़ी हमले की लहर के दौरान, लगभग 1,196 पतों से केवल 41 मिनट में लगभग 1,082.65 BTC ले लिए गए। हमलावर को किसी भी भौतिक कोल्डकार्ड को चुराने, कंप्यूटर को संक्रमित करने या पीड़ितों को अपनी सीड फ्रेज खुलासा करने के लिए धोखा देने की आवश्यकता नहीं थी। इसके बजाय, एक फर्मवेयर दोष के कारण कुछ वॉलेट सीड्स को जनरेट करने के लिए उपयोग किए जाने वाले रैंडमनेस में कमजोरी आ गई, जिससे कुछ प्राइवेट कीज़ को ऑफलाइन पुनः उत्पन्न किया जा सकता है।
अब जांचकर्ता के पास बिटकॉइन ब्लॉकचेन खुद दे नहीं सकता एक ऑफ-चेन ट्रेल हो सकता है। ब्लॉक इंजीनियर क्ले गैरेट ने कहा कि प्रारंभिक स्वीप के पीछे का संचालक स्रोत पतों की जांच के दौरान एक प्रसिद्ध ब्लॉकचेन-सेवा प्रदाता पर एक भुगतान किया गया खाता उपयोग कर रहा था। आंतरिक सेवा लॉग्स में रिपोर्ट किया गया कि हमले की प्रक्रिया के साथ असामान्य सटीकता के साथ मेल खाया, और प्रासंगिक जानकारी को प्राधिकरणों को भेज दिया गया। इसी बीच, सबसे बड़ी पहली लहर का हिस्सा अभी तक स्पष्ट रूप से अचल रहा है। यह संयोजन क्रिप्टो उद्योग के लिए एक मजबूत सवाल उठाता है: अगर जांचकर्ता चोरी हुए बिटकॉइन को देख सकते हैं और शायद इसके लिए जिम्मेदार के बारे में सुराग भी पासकर हैं, तो पैसे को वापस पाना अभी भी इतना कठिन क्यों है?
41 मिनट के कोल्डकार्ड स्वीप में क्या हुआ?
पहला प्रमुख स्वीप 30 जुलाई को शुरू हुआ और केवल लगभग 41 मिनट तक चला। गैलेक्सी रिसर्च ने 01:10 और 01:51 UTC के बीच लगभग 1,196 पतों को छोड़ते हुए 1,082.65 BTC के निकास को मैप किया। ये लेन-देन कई बिटकॉइन ब्लॉक्स में फैले हुए थे और ऐसे लक्षण दिखाए जो स्पष्ट रूप से स्वचालन की ओर संकेत करते हैं, न कि सामान्य उपयोगकर्ताओं द्वारा स्वतंत्र रूप से अपनी बचत स्थानांतरित करने की ओर। हमलावर ने लगभग 30 सैटोशी प्रति वर्चुअल बाइट की स्थिर शुल्क दर का उपयोग किया, जो उस समय प्रचलित शुल्कों की तुलना में काफी अधिक थी, और लेन-देन आमतौर पर कोई सामान्य बदलाव आउटपुट छोड़ते नहीं थे।
समय के कारण इस घटना और भी महत्वपूर्ण हो गई। यह स्वीप, कोइनकाइट द्वारा कोल्डकार्ड बीज-उत्पादन दुर्बलता के बारे में उपयोगकर्ताओं को सार्वजनिक रूप से चेतावनी देने से लगभग 30 घंटे पहले हुआ। इससे यह सुझाव मिलता है कि पहला संचालक या तो स्वतंत्र रूप से इस कमजोरी की खोज कर चुका था या फिर विस्तृत बिटकॉइन समुदाय को इसकी समझ होने से पहले ही इसका दुरुपयोग करने के लिए पर्याप्त ज्ञान प्राप्त कर चुका था। पते विभिन्न बिटकॉइन पता प्रारूपों को भी शामिल करते हैं, जो एक ऐसी प्रणाली के साथ सुसंगत हैं जो प्रत्याशी कुंजियों को प्राप्त कर रही है और केवल एक संकीर्ण परिभाषित उपयोगकर्ता समूह को निशाना नहीं बना रही, बल्कि कई वॉलेट मार्गों की स्कैनिंग कर रही है।
| वेव 1 विवरण | रिपोर्ट किया गया डेटा |
| तारीख | 30 जुलाई, 2026 |
| आक्रमण की अवधि | लगभग 41 मिनट |
| एड्रेस खाली कर दिए गए | ~1,196 |
| बिटकॉइन स्वीप्ट | 1,082.65 BTC |
| समय बनाम सार्वजनिक चेतावनी | लगभग 30 घंटे पहले |
| लेनदेन पैटर्न | अत्यधिक स्वचालित |
| मुख्य लाभ | कुछ पतों में समेकित |
हमले की गति महत्वपूर्ण है क्योंकि यह चोरी को समझने के तरीके को बदल देती है। यह शायद एक पारंपरिक प्रवेश नहीं था, जिसमें हैकर एक के बाद एक वॉलेट में प्रवेश करता था। लेन-देन का पैटर्न एक ऐसे संचालक के साथ अधिक सुसंगत है, जिसने पहले से ही आवश्यक निजी कुंजियों को पुनः बना लिया या इकट्ठा कर लिया था और फिर लक्ष्य सेट तैयार होने पर एक स्वचालित स्वीपिंग उपकरण सक्रिय कर दिया।
अनचलित 1,082 BTC क्यों मायने रखता है?
पहली लहर के बाद, अधिकांश राशि जल्दी से कुछ ही गंतव्य पतों में संकलित कर ली गई। प्रारंभिक जांच में चार मूलधन होल्डिंग्स की पहचान की गई, जिनमें लगभग 562 BTC, 398 BTC, 90 BTC और 32 BTC शामिल थे। इन पहली लहर के बैलेंस को बाद के निगरानी के दौरान भी नहीं बदला गया, भले ही बाद के हमलावरों ने अन्य लहरों में चुराई गई राशि के कुछ हिस्सों को हिलाना शुरू कर दिया हो।
पारंपरिक वित्तीय अपराध के अनुभवी लोगों के लिए, यह एक अअनुकूल स्थिति पैदा करता है। बिटकॉइन का सार्वजनिक ब्लॉकचेन चोरी हुए कॉइन्स को अत्यधिक दृश्यमान बना देता है। जांचकर्ता एक पते को देख सकते हैं, इसका शेष देख सकते हैं और तुरंत एक नया बाहरी लेनदेन पहचान सकते हैं। लेकिन दृश्यता का अर्थ नियंत्रण नहीं है। बिटकॉइन में कोई प्रशासक नहीं है जो पुष्टि किए गए लेनदेन को रद्द कर सके, और कोई जारीकर्ता भी नहीं है जिसके पास तकनीकी अधिकार हो कि केवल इसलिए कि जांचकर्ताओं ने इसे चोरी हुए धन के साथ भरा पता पहचान लिया हो, BTC पते को जमा कर दें।
इसीलिए ट्रेस करना संभव नहीं है। ब्लॉकचेन दिखा सकता है कि चोरी हुए बिटकॉइन का एक बड़ा हिस्सा कहाँ है, लेकिन केवल वही व्यक्ति इसे खर्च कर सकता है जिसके पास संबंधित निजी कुंजियाँ हैं। जांचकर्ताओं के लिए, अक्सर अवसर बाद में आता है, जब हमलावर प्सीडोनिमस बिटकॉइन को फ़िएट मुद्रा, किसी अन्य संपत्ति या ऐसी सेवाओं में बदलने का प्रयास करता है जो पहचान संबंधी जानकारी एकत्रित करती हैं।
एक भुगतान किया गया ब्लॉकचेन खाता सबसे बड़ी जांच की भेदक हो सकता है
सबसे महत्वपूर्ण जांच विकास एक नए बिटकॉइन लेनदेन से नहीं, बल्कि ब्लॉकचेन के बाहर उपयोग किए जाने वाले इंफ्रास्ट्रक्चर से आया। गैरेट ने कहा कि जांचकर्ताओं ने पहली लहर के स्वीप्स में एक असामान्य पैटर्न देखा और निष्कर्ष निकाला कि संचालक एक प्रसिद्ध ब्लॉकचेन-सेवा प्रदाता पर एक भुगतान किए गए खाते का उपयोग करके स्रोत पतों को क्वेरी कर रहा है और संबंधित गतिविधियाँ कर रहा है। जब प्रदाता ने अपने स्वयं के रिकॉर्ड्स की समीक्षा की, तो अनुरोधों की संख्या, क्रम और समय की बातचीत में संदिग्ध हमला प्रवाह के साथ अच्छी तरह से मेल खाती है। ब्लॉक ने फिर प्रासंगिक जानकारी प्राधिकरणों के साथ साझा की।
यह मायने रखता है क्योंकि एक व्यावसायिक खाता बिटकॉइन पते से बहुत अलग प्रकार का सबूत बना सकता है। प्रदाता के संचालन के आधार पर, एक खाता संभवतः बिलिंग जानकारी, लॉगिन रिकॉर्ड, आईपी पते, API उपयोग इतिहास या अन्य मेटाडेटा के साथ जुड़ा हो सकता है। इस मामले में इनमें से कोई भी विशिष्ट रिकॉर्ड सार्वजनिक रूप से पुष्टि नहीं किया गया है, इसलिए यह अभी जल्दबाजी होगी कि जांचकर्ता पहले ही हमलावर की पहचान प्राप्त कर चुके हैं। जो सार्वजनिक रूप से स्थापित किया गया है, वह है कि केंद्रीकृत बुनियादी ढांचे के उपयोग से एक ऐसा सबपोना-योग्य ट्रेल बन सकता है जो अन्यथा ऑन-चेन पर मौजूद नहीं होता।
यह अंतर अत्यंत महत्वपूर्ण है। इस बात की रिपोर्ट कि हमलावर ने “एक डिजिटल निशान छोड़ा” को इस बात की पुष्टि के रूप में नहीं लिया जाना चाहिए कि एफबीआई या कोई अन्य एजेंसी ने आधिकारिक रूप से किसी संदिग्ध की पहचान की है या गिरफ्तार किया है। सुरक्षित निष्कर्ष यह है कि जांचकर्ता अब वेव 1 के पीछे के संचालक पर असामान्य रूप से मजबूत सुराग रख सकते हैं। संचालन-सुरक्षा के संदर्भ में, हमलावर ने प्रायोजित बिटकॉइन पतों के पीछे छुपने का प्रयास किया होगा, जबकि एक पारंपरिक भुगतान वाली सेवा के माध्यम से अधिक पहचान योग्य जानकारी प्रकट की होगी।
बिना कभी छुए एक कोल्ड वॉलेट कैसे हैक किया गया?
कोल्डकार्ड की घटना बिटकॉइन की क्रिप्टोग्राफी की विफलता नहीं थी। यह बिटकॉइन क्रिप्टोग्राफी द्वारा सुरक्षित कुछ रहस्यों को बनाने के प्रक्रिया में विफलता थी। एक हार्डवेयर वॉलेट सामान्यतः उच्च गुणवत्ता वाली एंट्रॉपी—अप्रत्याशित यादृच्छिक जानकारी—प्राप्त करके शुरू होता है, जिसका उपयोग एक सीड बनाने के लिए किया जाता है। वह सीड निजी कुंजियाँ उत्पन्न करती है, और वे निजी कुंजियाँ बिटकॉइन पते उत्पन्न करती हैं। यदि प्रारंभिक यादृच्छिकता मजबूत है, तो परिणामी पतों को देखकर हमलावर को पीछे की ओर काम करके निजी कुंजियाँ खोजने में सक्षम नहीं हो सकता।
समस्या बीज उत्पादन के साथ शुरू हुई
Coinkite का तकनीकी पोस्टमॉर्टम समस्या को 2021 में शुरू किए गए बदलावों से जोड़ता है, जब Coldcard ने libsecp256k1 और संबंधित MicroPython घटकों को एकीकृत किया। एक जटिल बग्स की श्रृंखला ने इच्छित हार्डवेयर रैंडम-नंबर जनरेटर को कुछ फर्मवेयर संस्करणों में रैंडमनेस योगदान देने से रोक दिया। प्रभावित परिस्थितियों में, प्रक्रिया एक सॉफ्टवेयर फॉलबैक पर अत्यधिक निर्भर हो गई। Coinkite ने कहा कि बाद की Coldcard पीढ़ियों में अन्य एंट्रॉपी स्रोत जोड़े गए, जिन्होंने समस्या की गंभीरता को कम किया, लेकिन उन्होंने प्रभावित फर्मवेयर में इच्छित 128-बिट सुरक्षा लक्ष्य को पुनः स्थापित नहीं किया।
व्यावहारिक परिणाम यह था कि एक बीज, जो अपने मालिक के लिए पूरी तरह साधारण लगता था, अपेक्षित से काफी छोटे खोज स्थान के भीतर मौजूद हो सकता था। सुरक्षा शोधकर्ताओं ने निष्कर्ष निकाला कि एक हमलावर, जो उपकरण-विशिष्ट जानकारी, समय स्थिति और पिछले यादृच्छिक-संख्या-जनरेटर कॉल जैसे चरों को पर्याप्त रूप से सीमित कर सके, ऑफलाइन उम्मीदवार बीज स्ट्रीम्स उत्पन्न कर सकता है। इससे हमले की आर्थिक गणना में भारी परिवर्तन होता है: एक हमलावर को सही ढंग से उत्पन्न बिटकॉइन बीज को ब्रूट-फोर्स करने के लगभग असंभव कार्य के बजाय, वह संभावित बीजों के सीमित सेट की खोज कर सकता है।
अनुमानयोग्य बीज सीधे खर्च करने योग्य कुंजियों की ओर ले जा सकते हैं
एक बार जब उम्मीदवार बीज उत्पन्न हो जाते हैं, तो हमलावर उनके संबंधित बिटकॉइन पते प्राप्त कर सकता है और उन्हें सार्वजनिक ब्लॉकचेन डेटा के साथ तुलना कर सकता है। यदि कोई उम्मीदवार एक ऐसा पता उत्पन्न करता है जिसमें वास्तविक BTC है, तो हमलावर ने उन कॉइन्स को खर्च करने के लिए आवश्यक निजी कुंजी को पुनः बना लिया है। कोई फिशिंग ईमेल, मैलवेयर स्थापित करना या कोल्डकार्ड तक शारीरिक पहुंच की आवश्यकता नहीं है।
इसलिए हमले की प्रक्रिया को कमजोर एंट्रॉपी → उम्मीदवार बीज → निकाले गए पते → ब्लॉकचेन शेष जांच → मेल खाते निजी कुंजियाँ → वैध बिटकॉइन लेनदेन के रूप में सारांशित किया जा सकता है। अंतिम लेनदेन बिटकॉइन नेटवर्क के दृष्टिकोण से क्रिप्टोग्राफिक रूप से वैध है क्योंकि इसमें एक वैध हस्ताक्षर होता है। बिटकॉइन स्वयं इस बात को जानने का कोई तरीका नहीं है कि उस हस्ताक्षर को उत्पन्न करने वाला व्यक्ति निजी कुंजी को वैध तरीके से प्राप्त करने के बजाय फर्मवेयर कमजोरी के माध्यम से प्राप्त करता है।
यही कारण है कि केवल एयर-गैपिंग से चोरी रोकी नहीं जा सकती थी। प्राइवेट की को ऑफलाइन रखने से इसे कई प्रकार के निकालने से बचाया जा सकता है। लेकिन इससे पहले ही बन चुकी एक भविष्यवाणीयोग्य की को अप्रत्याशित नहीं बनाया जा सकता।
एक दुर्बलता ने कई हमलों की लहरों में क्यों बदल दी?
लहर 1 केवल शुरुआत थी। एक दूसरी और तीसरी लहर आई, जिसने अतिरिक्त बैलेंस को लक्षित किया और परिवर्तित लेन-देन संरचनाओं का उपयोग किया। 2 अगस्त तक, शोधकर्ताओं ने पहली तीन लहरों से 4,585 पतों से लगभग 1,367 BTC चोरी हुए पहचाने। बाद में संभावित चौथी लहर ने अनुमानित नुकसान को 5,200 से अधिक पतों से 1,816 BTC की ओर बढ़ाया।
बदलते पैटर्न से यह सुझाव मिला कि कोल्डकार्ड घटना अब आवश्यक रूप से एकल संचालक का काम नहीं थी। गैलेक्सी रिसर्च ने 7 अगस्त तक अनुमान लगाया कि कम से कम 15 अलग-अलग हमलावर स्वतंत्र रूप से इस कमजोरी का दुरुपयोग कर रहे हो सकते हैं। जब दोष के बारे में जानकारी सार्वजनिक क्षेत्र में आई, तो तकनीकी रूप से सक्षम पात्रों ने कमजोर बीज-उत्पादन प्रक्रिया का अध्ययन किया, अपने स्वयं के खोज उपकरण बनाए और मालिकों के BTC स्थानांतरित करने से पहले किसी भी शेष फंडेड वॉलेट को स्वीप करने के लिए प्रतिस्पर्धा की।
| आक्रमण चरण | मुख्य विशेषता | यह क्यों मायने रखता है |
| वेव 1 | लगभग 41 मिनट में 1,082.65 BTC | सबसे बड़ा, अत्यधिक समन्वित स्वीप |
| वेव्स 2–3 | अलग-अलग संग्रह पैटर्न | रणनीतियों या ऑपरेटर्स बदलने का सुझाव दें |
| बाद के हमले | जनता के लिए उपलब्ध सुरक्षा विषय सूचना | अधिक अवसरवादी दुरुपयोग संभव हो गया |
| 8 जुलाई तक | कम से कम 15 संदिग्ध हमलावर | “द कोल्डकार्ड हैकर” संभवतः अत्यधिक सरलीकरण है |
| 14 अगस्त तक | कम से कम 1,778 BTC चोरी होने की पुष्टि हुई | कुल प्रभाव वेव 1 से कहीं अधिक था |
यह अंतर पत्रकारिता और कानून प्रवर्तन दोनों के लिए महत्वपूर्ण है। भले ही जांचकर्ता अंततः भुगतान किए गए ब्लॉकचेन-सेवा खाते से जुड़े ऑपरेटर की पहचान कर लें, लेकिन यह आवश्यक रूप से पूरे कोल्डकार्ड चोरी अभियान को हल नहीं करेगा। 14 अगस्त तक, गैलेक्सी ने कहा कि कम से कम 1,778 BTC चोरी हो चुके हैं, जिनमें से लगभग 1,531 BTC अभी भी हमलावर द्वारा नियंत्रित पतों में अचल हैं, जबकि लगभग 246 BTC स्थानांतरित किए जा चुके हैं, जिसमें से बहुत सा CoinJoin लेनदेन में शामिल है।
क्या जांचकर्ता कभी चोरी हुए बिटकॉइन को वापस प्राप्त कर सकते हैं?
पुनर्प्राप्ति संभव है, लेकिन पैसे कहाँ हैं, इसका जानना स्वतः ही उसे वापस लेने का कोई तंत्र नहीं बनाता। सबसे स्पष्ट रास्ता यह होगा कि जांचकर्ता एक हमलावर की पहचान करें और चोरी हुए BTC को रखने वाली निजी कुंजियों पर कानूनी नियंत्रण प्राप्त करें। एक अन्य संभावना तब उत्पन्न होती है जब कॉइन्स अंततः एक नियमित एक्सचेंज या किसी अन्य केंद्रीय सेवा में प्रवेश करें, जो कानूनी आदेशों के जवाब में संबंधित ग्राहक खाते को जमा कर सके।
इसलिए हमलावर के पास सबसे बड़ी बैलेंस को अछूता छोड़ने का मजबूत कारण हो सकता है। बड़ी रकमों वाले, जोरदार रूप से निगरानी किए जा रहे BTC को ले जाने से नया फोरेंसिक सबूत बनता है। लेनदेन पते क्लस्टर्स के बीच संबंधों को उजागर कर सकते हैं, जबकि एक्सचेंज, OTC डेस्क या किसी अन्य केंद्रीकृत सेवा का उपयोग करने से खाता जानकारी या पालन-चेक शामिल हो सकते हैं। यहां तक कि मिक्सिंग रणनीतियां भी रास्ता कठिन होने से पहले देखी जा सकने वाली लेनदेन पैदा करती हैं। बिटक्वेरी के स्वतंत्र विश्लेषण में पाया गया कि इसके द्वारा ट्रेस किए गए कोल्डकार्ड-संबंधित BTC का बहुत हिस्सा स्थिर रहा, हालांकि कम से कम एक छोटी होल्डिंग बाद में कॉइनजॉइन में प्रवेश कर गई।
इससे एक असामान्य असममिति बनती है: कमजोर बीजों को पुनः बनाए जाने के बाद बिटकॉइन चुनौती लेना तकनीकी रूप से सरल हो सकता था, लेकिन सार्वजनिक रूप से ट्रैक किए जा रहे BTC में करोड़ों डॉलर को सुरक्षित रूप से मुद्रीकृत करना एक अलग चुनौती है। जितना लंबा पहली लहर के पते निष्क्रिय रहेंगे, जबकि जांचकर्ता ऑफ-चेन सुझाव विकसित कर रहे होंगे, उतना ही हमलावर के सामने एक विकल्प का सामना होगा—या तो धन को बरकरार रखें जिसे आसानी से उपयोग नहीं किया जा सकता, या इसे ऐसे तरीकों से स्थानांतरित करें जिससे अतिरिक्त जानकारी प्रकट हो सकती है।
कॉल्डकार्ड हैक का हार्डवेयर वॉलेट सुरक्षा के लिए क्या मतलब है
कोल्डकार्ड की घटना स्वयं के संरक्षण के एक सरल विचार को चुनौती देती है। "नहीं आपके कुंजी, नहीं आपके कॉइन" बिटकॉइन का नियंत्रण तीसरे पक्ष को सौंपने के बारे में एक महत्वपूर्ण चेतावनी बनी रहती है, लेकिन निजी कुंजी का स्वामित्व होना सभी संरक्षण जोखिम को समाप्त नहीं करता। यह उस जोखिम का बड़ा हिस्सा उस स्वामी द्वारा निर्भर हार्डवेयर, फर्मवेयर, सॉफ्टवेयर पुस्तकालय और कुंजी-उत्पादन प्रक्रियाओं में स्थानांतरित कर देता है। गैलेक्सी ने इस सबक को समान रूप से सारांशित किया: तीसरे पक्ष के संरक्षक को हटाने से संरक्षण जोखिम समाप्त नहीं होता; यह उस जोखिम के स्थान को बदल देता है।
"आपकी कुंजियाँ" सुरक्षा मॉडल का केवल एक हिस्सा है
एक हार्डवेयर वॉलेट को एक अनुमानों की श्रृंखला के रूप में देखा जा सकता है। डिवाइस हार्डवेयर को इंतजाम के अनुसार काम करना चाहिए। फर्मवेयर को सुरक्षित घटकों को सही तरीके से कॉल करना चाहिए। रैंडम-नंबर-जनरेशन सिस्टम को पर्याप्त एंट्रॉपी प्रदान करनी चाहिए। पुस्तकालयों को क्रिप्टोग्राफिक कार्यों को सही ढंग से लागू करना चाहिए। केवल तभी सुरक्षित ऑफलाइन स्टोरेज और लेनदेन हस्ताक्षर प्रदान कर सकते हैं जिसकी उपयोगकर्ता अपेक्षा करते हैं। यदि सीड-जनरेशन चरण विफल हो जाता है, तो बाद के चरणों में उत्कृष्ट सुरक्षा उत्पादन पर अभाव की एंट्रॉपी को पुनः प्राप्त नहीं कर सकती।
इसका अर्थ यह नहीं है कि हार्डवेयर वॉलेट या स्वयं का नियंत्रण मूल रूप से असुरक्षित हैं। इसका अर्थ है कि उपयोगकर्ताओं और वॉलेट निर्माताओं को इस बात से आगे सोचने की आवश्यकता हो सकती है कि क्या एक डिवाइस एयर-गैप्ड है या क्या इसका सोर्स कोड सार्वजनिक है। कोल्डकार्ड के बाद, एंट्रॉपी पथों की स्वतंत्र समीक्षा, पुनर्निर्मित बिल्ड, बहुत सारे रैंडमनेस स्रोत, सुरक्षित अपग्रेड प्रथाएँ और संक्रमित सीड्स को पुनः उत्पन्न करने के लिए स्पष्ट प्रक्रियाएँ हार्डवेयर-वॉलेट सुरक्षा चर्चाओं के महत्वपूर्ण हिस्से बन सकती हैं।
इस घटना ने एक असामान्य बाजार प्रतिक्रिया भी उत्पन्न की है। कॉइनडेस्क ने रिपोर्ट किया कि संकट के दौरान कुछ बिटकॉइन धारकों ने धनराशि को एक्सचेंज की ओर स्थानांतरित कर दिया—FTX जैसी विफलताओं के बाद स्वयं-संग्रह की ओर होने वाली प्रवृत्ति के विपरीत। यह यह स्थापित नहीं करता कि केंद्रीकृत संग्रह स्वतः ही अधिक सुरक्षित है, लेकिन यह दर्शाता है कि एक कुंजी-उत्पादन विफलता कैसे ऑनलाइन संग्रह जोखिम को समाप्त करने के लिए विशेष रूप से डिज़ाइन किए गए उत्पाद श्रेणी में विश्वास को गहराई से कमजोर कर सकती है।
अब कोल्डकार्ड उपयोगकर्ताओं को क्या करना चाहिए?
Coinkite के सुरक्षा निर्देशों से सबसे महत्वपूर्ण बात यह है कि फर्मवेयर अपडेट करने से अपर्याप्त एंट्रॉपी के साथ पहले से उत्पन्न सीड को ठीक नहीं किया जा सकता। ऐसे उपयोगकर्ताओं को, जिनके सीड आपत्तिजनक फर्मवेयर पर पर्याप्त अतिरिक्त यादृच्छिकता के बिना बनाए गए थे, पहले अपग्रेड करने, सुधारे गए फर्मवेयर पर पूरी तरह से नया सीड बनाने और अपना बिटकॉइन उस नए सीड से उत्पन्न पतों पर स्थानांतरित करने का निर्देश दिया गया है। Coinkite विशेष रूप से शेष शेष राशि के स्थानांतरण से पहले एक छोटी परीक्षण लेनदेन भेजने की सलाह देता है।
Mk3 डिवाइस के लिए, Coinkite कहती है कि फर्मवेयर 4.0.1 या उसके बाद के संस्करण पर उत्पन्न सीड्स, जिनमें कम से कम 50 स्वतंत्र, निजी पासा रोल नहीं हैं, उन्हें जोखिम वाले माना जाना चाहिए। प्रभावित Mk4, Mk5 और Q फर्मवेयर के लिए, कंपनी एक प्रतिस्थापन सीड उत्पन्न करने से पहले सुधारित संस्करण में अपग्रेड करने की सिफारिश करती है। कम से कम 50 निष्पक्ष, स्वतंत्र और निजी पासा रोल के साथ बनाए गए सीड्स को Coinkite के मार्गदर्शन के अनुसार अलग तरह से माना जाता है क्योंकि ये रोल एक स्वतंत्र एंट्रॉपी स्रोत प्रवेश कराते हैं।
पुरानी सीड फ्रेज को किसी अन्य कोल्डकार्ड, लेजर, ट्रेज़ोर या सॉफ्टवेयर वॉलेट में आयात करने से मूल समस्या का समाधान नहीं होगा। दुर्बलता सीड के साथ चलती है, भौतिक उपकरण के साथ नहीं। उपयोगकर्ताओं को ऑनलाइन “दुर्बलता जांचक” वेबसाइटों पर सीड फ्रेज दर्ज करने से भी बचना चाहिए; एक अविश्वसनीय ऑनलाइन सेवा को सीड फ्रेज प्रदान करने से पूरी तरह से नया सुरक्षा जोखिम पैदा होगा।
कोल्डकार्ड जांच में अगला क्या होगा?
सबसे महत्वपूर्ण ट्रिगर मुख्य प्रथम-लहर पतों से आने वाली गतिविधि है। एक महत्वपूर्ण बाहरी लेनदेन तुरंत जांचकर्ताओं को हमलावर की धोखाधड़ी रणनीति के बारे में नई जानकारी प्रदान करेगा और यह भी प्रकट कर सकता है कि संचालक CoinJoin, केंद्रीकृत सेवाओं, क्रॉस-चेन बुनियादी ढांचे या किसी अन्य मार्ग का उपयोग करने का इरादा रखता है या नहीं। बाद की लहर के हमलावरों ने पहले ही साबित कर दिया है कि कुछ चोरी हुए BTC स्थानांतरित किए जा सकते हैं, इसलिए सबसे बड़े होल्डिंग्स की निरंतर निष्क्रियता अब अधिक ध्यान आकर्षित करती है।
दूसरा ट्रिगर औपचारिक कानून प्रवर्तन कार्रवाई है। सार्वजनिक रिपोर्टिंग वर्तमान में एक भुगतान किए गए ब्लॉकचेन-सेवा खाते से जुड़ी जांच संकेत की उपस्थिति का समर्थन करती है; यह यह दावा करने का समर्थन नहीं करती कि वेव 1 ऑपरेटर को औपचारिक रूप से पहचाना, आरोपित या गिरफ्तार किया गया है। इसलिए, एक सबपोना, आरोपपत्र, संपत्ति जब्ती या संदिग्ध की औपचारिक पुष्टि, प्रदाता लॉग पर आधारित वर्तमान अनुमान की तुलना में कहीं अधिक बड़ी विकास होगी।
अंत में, ध्यान बढ़ते हुए कोइनकाइट की जिम्मेदारी और हार्डवेयर-वॉलेट निर्माताओं की व्यापक प्रतिक्रिया की ओर बढ़ेगा। कोल्डकार्ड विफलता का तकनीकी कारण स्पष्ट होता जा रहा है। अभी अनिश्चित है कि इसे पहले किसने खोजा और दुरुपयोग किया, चोरी हुए बिटकॉइन में से कितना हिस्सा अंततः प्राप्त किया जा सकता है, और क्या इस घटना से वॉलेट एंट्रॉपी और सीड-जनरेशन सिस्टम के ऑडिट के लिए नए मानक बनेंगे।
निष्कर्ष
कोल्डकार्ड हैक एक हार्डवेयर-वॉलेट सुरक्षा घटना से एक जटिल बिटकॉइन फोरेंसिक जांच में विकसित हो गया है। पहली लहर ने लगभग 41 मिनट में लगभग 1,196 पतों से 1,082.65 BTC हटा दिए, लेकिन इन धनराशियों का सबसे बड़ा हिस्सा अभी भी दिखाई दे रहा है और आंशिक रूप से अछूता रहा है। इसी समय, हमलावर ने शायद एक महत्वपूर्ण संचालन गलती की होगी, क्योंकि उसने एक भुगतान किए गए ब्लॉकचेन-सेवा खाते का उपयोग किया, जिससे जांचकर्ताओं को एक ऑफ-चेन ट्रेल मिल सकता है, जो केवल बिटकॉइन पतों से कभी प्राप्त नहीं हो सकता।
फिर भी, कोई भी विकास पुनर्प्राप्ति की गारंटी नहीं देता। एक अपरिवर्तित बिटकॉइन बैलेंस को नेटवर्क द्वारा जमा नहीं किया जा सकता, और एक जांच सुझाव एक पहचाने गए या गिरफ्तार किए गए संदिग्ध के समान नहीं है। इस मामले के बजाय क्रिप्टो सुरक्षा के दो अलग पहलुओं को दर्शाता है: हमलावरों को अपनी संचालन गोपनीयता की रक्षा उतनी ही सावधानी से करनी होती है, जितनी उपयोगकर्ताओं को अपनी कुंजियों की रक्षा करनी होती है।
अधिक व्यापक रूप से, कोल्डकार्ड यह दर्शाता है कि स्वयं-संग्रहण सुरक्षा तब शुरू होती है जब एक निजी कुंजी कभी ऑफलाइन संग्रहित नहीं होती। यदि उस कुंजी को बनाने के लिए उपयोग की गई यादृच्छिकता दोषपूर्ण है, तो भी एक अछूती ठंडी वॉलेट सुरक्षित नहीं हो सकती। अभी के लिए, ब्लॉकचेन जांचकर्ताओं को चोरी हुए बिटकॉइन कहाँ स्थित है, यह दिखाता है। कठिन प्रश्न यह है कि क्या ब्लॉकचेन के बाहर के सबूत यह बता सकते हैं कि इसे कौन नियंत्रित करता है।
अक्सर पूछे जाने वाले प्रश्न
क्या कोल्डकार्ड घटना में बिटकॉइन स्वयं हैक हुआ था?
नहीं, बिटकॉइन की क्रिप्टोग्राफी और सहमति टूटी नहीं थी। वुल्नरेबिलिटी उन कुछ कोल्डकार्ड फर्मवेयर संस्करणों द्वारा उपयोग की जाने वाली रैंडमनेस से संबंधित थी, जो वॉलेट सीड्स को जनरेट करते थे।
क्या उपयोगकर्ता जांच सकते हैं कि क्या उनका सीड़ असुरक्षित है?
कोई सुरक्षित सार्वजनिक ब्लॉकचेन परीक्षण नहीं है जो साबित कर सके कि एक सीड सुरक्षित है। उपयोगकर्ताओं को एक ऑनलाइन चेकर में सीड डालने के बजाय अपने कोल्डकार्ड मॉडल, फर्मवेयर इतिहास और कोइंकाइट के माइग्रेशन निर्देशों पर निर्भर करना चाहिए।
क्या BIP-39 पासफ्रेज प्रभावित सीड की सुरक्षा करती है?
एक मजबूत, अनूठी पासफ्रेज अतिरिक्त एंट्रॉपी जोड़ सकती है, लेकिन प्रभावित उपयोगकर्ताओं को अभी भी उत्पाद निर्माता के वर्तमान सुरक्षा मार्गदर्शन का पालन करना चाहिए, और यह मानना नहीं चाहिए कि पासफ्रेज स्थायी रूप से जोखिम को समाप्त कर देती है।
क्या अन्य हार्डवेयर वॉलेट इसी बग से प्रभावित हैं?
प्रकट की गई कमी Coldcard के प्रभावित फर्मवेयर और सीड-जनरेशन कार्यान्वयन से संबंधित है। इससे यह स्थापित नहीं होता कि Ledger, Trezor या अन्य हार्डवेयर-वॉलेट उत्पादों में यही भेद्यता है।
बिटकॉइन माइनर्स चोरी हुए बिटकॉइन क्यों फ्रीज नहीं कर सकते?
माइनर बिटकॉइन के सहमति नियमों के अनुसार लेनदेन की पुष्टि करते हैं। यदि कोई लेनदेन सही निजी कुंजी से वैध हस्ताक्षर रखता है, तो माइनर के पास इसे फ्रीज करने का कोई अंतर्निहित तंत्र नहीं है, बस इसलिए कि सिक्कों को चोरी हुए पहचान लिया गया हो।
🔥 KuCoin एक अस्थिर बाजार में एक अधिक स्थिर विकल्प प्रदान करता है
अगर आप बाजार में अक्सर होने वाले उतार-चढ़ाव की चिंता करते हैं और पैसे कमाने के लिए अधिक स्थिर विकल्प की तलाश करते हैं, तो KuCoin आने के लिए सही जगह है:
Simple Earn: कभी भी टोकन डिपॉज़िट करें और विड्रॉ करें, स्थिर रिटर्न कमाएं।
KuCoin अर्न: पेशेवर संपत्ति प्रबंधन के साथ स्थिर लाभ कमाएं।
कमाने के लिए होल्ड करें: फंडिंग, ट्रेडिंग, मार्जिन, फ़्यूचर्स, माइनिंग और यूनिफाइड खातों में संपत्ति होल्ड करके रिवॉर्ड कमाएं।
स्टेकिंग: ऑन-चेन संपत्तियों की अर्जन क्षमता को अनलॉक करें।
उन्नत निवेश: उन्नत निवेश आपके पैसे को किसी भी बाजार में बढ़ाने में मदद करने के लिए विभिन्न संरचित उत्पाद प्रदान करते हैं।
शार्क फिन: मूलधन सुरक्षा और गारंटीड लाभ
दोहरा निवेश: कम में खरीदें और अधिक में बेचें, पारदर्शी रिटर्न की गणना के साथ।
स्नोबॉल: उच्च आय, मूल्य सुरक्षा के साथ।
छूट पर खरीदें: क्रिप्टो को छूट की कीमत पर खरीदें।
KCS लॉयल्टी: ≥ 1 KCS स्टेक करके एक्सक्लूसिव लाभों का आनंद लें।
KuCoin वेल्थ: भविष्य के मूल्य की खोज करें और अपनी बुद्धिमान निवेश यात्रा शुरू करें।
KCS लाभ: प्लेटफॉर्म पर लाभ प्राप्त करने के लिए KCS रखें और स्टेक करें।
KCS स्टेकिंग 2.0: आय कमाने के लिए KCS पर ऑन-चेन गवर्नेंस में भाग लें।
अपवाद: यह सामग्री केवल सूचनात्मक उद्देश्यों के लिए है और निवेश सलाह नहीं है। क्रिप्टोकरेंसी निवेश में जोखिम होता है। कृपया अपना स्वयं का अनुसंधान (DYOR) करें।
डिस्क्लेमर: इस पेज का भाषांतर आपकी सुविधा के लिए AI तकनीक का इस्तेमाल करके किया गया है। सबसे सटीक जानकारी के लिए, मूल अंग्रेजी वर्जन देखें।