गैलेक्सी डिजिटल के शोध प्रमुख एलेक्स थॉर्न के अनुसार, नए पीड़ित रिपोर्ट्स के बाद जिनमें पहले पहचाने गए चोरी के मामले सामने आए हैं, कम से कम 15 अलग-अलग हमलावरों ने Coldard हार्डवेयर वॉलेट की वल्नरेबिलिटी का दुरुपयोग किया है।
थॉर्न ने कहा कि रिपोर्ट्स के कारण गैलेक्सी शोधकर्ताओं ने घटना से जुड़े अतिरिक्त बिटकॉइन पते जोड़ सके। एक मामले में, एक पीड़ित जिसने 1 बिटकॉइन से कम खोया, ने शोधकर्ताओं को एक हमलावर की पहचान करने में मदद की जिसने 126 पतों से 12 BTC निकाल लिए।
केंद्रीकृत एक्सचेंज के ब्रीच के विपरीत, चोरियों में कई स्वतंत्र रूप से नियंत्रित वॉलेट्स से धन कई हमलावर वॉलेट एड्रेस पर स्थानांतरित हुआ। इसलिए शोधकर्ता कुछ चोरियों की पहचान नहीं कर पा सकते हैं, जब तक कि पीड़ित अपने वॉलेट एड्रेस और लेनदेन का खुलासा न करें।
गैलेक्सी रिसर्च के अनुसार, तीन पुष्टि शैलियों में लगभग $100 मिलियन बिटकॉइन चोरी किए जाने का अनुमान है। शोधकर्ताओं ने एक संभावित चौथी लहर की पहचान भी की है, जिससे कुल नुकसान $130 मिलियन तक पहुँच सकता है।
15 हमलावर क्लस्टर्स आवश्यक रूप से 15 ज्ञात व्यक्तियों का प्रतिनिधित्व नहीं करते हैं। कुछ पते एक ही व्यक्ति या समूह द्वारा नियंत्रित हो सकते हैं, जबकि अन्य हमलावर अभी तक अनाविष्कृत रह सकते हैं।
Coldcard बग ने वॉलेट सीड जनरेशन को कमजोर कर दिया
इस वल्नरेबिलिटी से कुछ कोल्डकार्ड डिवाइस द्वारा रिकवरी फ्रेज उत्पन्न करने की प्रक्रिया प्रभावित हुई।
एक फर्मवेयर एकीकरण त्रुटि के कारण प्रभावित वॉलेट्स इच्छित हार्डवेयर-आधारित रैंडम-नंबर जनरेटर के बजाय एक निर्धारित निर्णयात्मक अर्ध-यादृच्छिक संख्या जनरेटर पर निर्भर हो गए। इससे कुछ निजी कुंजियों की सुरक्षा के लिए प्रभावी यादृच्छिकता कम हो गई और हमलावरों के लिए मान्य सीड फ्रेज ढूंढना अधिक व्यावहारिक हो गया।
कैसल लैब्स के सह-संस्थापक फ्रांचेस्को ने कहा कि प्रभावित कोल्डकार्ड वॉलेट्स ने लगभग 40 बिट्स की एंट्रॉपी के साथ निजी कुंजियाँ उत्पन्न की हो सकती हैं। एक मानक 12-शब्द रिकवरी फ्रेज सामान्यतः 128 बिट्स प्रदान करता है।
12 शब्दों के रिकवरी फ्रेज का उदाहरण
इसका अर्थ यह नहीं था कि हमलावर सीधे एयर-गैप्ड डिवाइस से कुंजियाँ निकाल सकते हैं। इसके बजाय, वे संभावित रिकवरी फ्रेज़ को पुनः बना सकते थे और संबंधित बिटकॉइन पतों पर धन की निगरानी कर सकते थे।
जिन उपयोगकर्ताओं के वॉलेट प्रभावित हो सकते हैं, उन्हें सलाह दी गई है कि वे अपना फर्मवेयर अपडेट करें, एक पूरी तरह से नया सीड फ्रेज बनाएं और अपना बिटकॉइन नए वॉलेट द्वारा नियंत्रित पतों पर ट्रांसफ़र करें। केवल प्रभावित रिकवरी फ्रेज को किसी अन्य डिवाइस में आयात करने से मूल कमजोरी का समाधान नहीं होता।
क्या एआई ने कोल्डकार्ड उत्पात को रोक सकता था?
इस घटना ने यह भी बहस शुरू कर दी है कि क्या AI-सहायता वाली सुरक्षा परीक्षण इस दोष को जल्दी ही खोज सकते थे।
ड्रैगनफ्लाई के प्रबंध साझेदार हासीब कुरेशी ने तर्क दिया कि लगभग “$2 की AI कठोरता” ने नुकसान को रोक सकता था। उन्होंने ऐसे प्रयोगों का उल्लेख किया जिनमें दावा किया गया है कि AI मॉडलों ने कुछ ही मिनटों में वुल्नरेबिलिटी को फिर से खोज लिया, जिसमें एक परीक्षण शामिल था जिसमें ओपन-सोर्स GLM 5.2 मॉडल ने वेब एक्सेस के बिना लगभग 20 मिनट में इसे पाया।
हालाँकि, आलोचकों ने प्रश्न उठाया कि क्या ये प्रयोग साबित करते हैं कि AI इस वल्नरेबिलिटी को जाहिर होने से पहले ही ढूंढ सकता था।
टोकेनोमिस्ट डेटा लीड तत्सपत सारेजित्तिमा ने कहा कि उपलब्धता के बाद कुछ परीक्षण किए गए, जिनमें अंधा परीक्षण, दस्तावेजीकृत विधियाँ और झूठे सकारात्मक परिणामों का मूल्यांकन शामिल नहीं था।
AI वेलनरेबिलिटीज की पहचान की लागत कम कर सकता है, लेकिन यह हार्डवेयर वॉलेट द्वारा प्राइवेट कीज को जनरेट और सुरक्षित रखने के तरीके की स्वतंत्र ऑडिट और एंड-टू-एंड टेस्टिंग को प्रतिस्थापित नहीं कर सकता।