कोल्डकार्ड हार्डवेयर वॉलेट में खामी के कारण बिटकॉइन में $130M की हानि

इस हफ्ते बिटकॉइन धारक दो प्रकार के हैं: जो हर सुबह कीमत चेक करते हैं, और जो हर सुबह यह जांचते हैं कि उनके कॉइन अभी भी वहां हैं या नहीं। कारण कोल्डकार्ड कहलाता है—और यह सबसे असुविधाजनक साबिती है कि सबसे सम्मानित हार्डवेयर वॉलेट स्वतः सबसे सुरक्षित नहीं होता।

31 जुलाई 2026 से, लगातार गिनतियों के अनुसार, 5,200 से अधिक पतों से निकाले गए बिटकॉइन की हानि $116 मिलियन से अधिक है; कुछ गिनतियाँ अब लगभग $130 मिलियन तक पहुँच गई हैं। पीड़ित ऐसे लोग नहीं हैं जिन्होंने फ़िशिंग लिंक पर क्लिक किया। वे लोग हैं जिन्होंने सब कुछ सही किया: ऑफलाइन, कोल्ड स्टोरेज, सीड को स्टील में स्टैम्प किया गया, कभी फोटो नहीं खींचा।

इस लेख में तीन बातों का वर्णन किया गया है: आप किस निर्माता को अभी भी अच्छी तरह से खरीद सकते हैं, क्यों ट्रैक रिकॉर्ड किसी भी स्पेक शीट से बेहतर होता है, और क्यों अभी आपकी बचत योजना को रोकना बिल्कुल गलत समय है।

कॉइनकाइट द्वारा बनाया गया कोल्डकार्ड, कई वर्षों से उन उन्नत उपयोगकर्ताओं के लिए केवल बिटकॉइन वॉलेट रहा है। मार्च 2021 से शिप किए गए फर्मवेयर संस्करण 4.0.0 में, डिवाइस ने सीड फ्रेज बनाते समय अपने स्वयं के विशेष हार्डवेयर रैंडमनेस चिप को बायपास कर दिया और इसके बजाय एक भविष्यवाणीयोग्य सॉफ़्टवेयर विकल्प का उपयोग किया। पांच साल तक। उस समयावधि के दौरान डिवाइस पर कोई भी सीड बनाने वाला एक ऐसा क्रम प्राप्त करता था जिसे पुनः परिकलित किया जा सकता है — एक ताला जिसकी चाबी कोई भी, जो इस दोष के बारे में जानता है, उसे पीस सकता है।

शेष गणना है। 31 जुलाई को, लगभग 594 BTC एक 25 मिनट के समयावधि में लगभग 500 वॉलेट से निकल गए। 2 अगस्त तक, हानि लगभग 1,367 BTC तक पहुँच गई। 3 अगस्त को एक चौथी स्वीप ने और 449 BTC ले लिए। सीड निर्माण के समय स्थापित फर्मवेयर के आधार पर, Mk2, Mk3, Mk4, Mk5 और Q मॉडल प्रभावित हो सकते हैं।

घटनाओं का क्रम ही महत्वपूर्ण है: डिवाइस को हैक नहीं किया गया था। आपकी कुंजी को बनाने वाली यादृच्छिकता को हैक किया गया था। बाद में हुआ फर्मवेयर अपडेट पहले से मौजूद सीड को ठीक नहीं कर सकता। प्रभावित कोई भी व्यक्ति को नया सीड बनाना होगा और सब कुछ स्थानांतरित करना होगा।

हमने यहां समयरेखा और तकनीकी विश्लेषण को विस्तार से कवर किया है: 594 BTC 25 मिनट में चले गए — कोल्डकार्ड दोष समझाया गया और चौथी स्वीप.

बाजार में हर हार्डवेयर वॉलेट एक ही शब्दों का विज्ञापन करता है — सुरक्षित तत्व, ओपन सोर्स, एयर गैप, पिन, पासफ्रेज। ये विशेषताएँ तुलनीय हैं और लगभग हर विक्रेता उन्हें सूचीबद्ध करता है। जो किसी स्पेक शीट पर छपा नहीं सकता, वह है कि एक निर्माता ने कई वर्षों में, जब कुछ गलत हो गया, तो कैसे व्यवहार किया।

वह मापदंड है जो इस हफ्ते के बाद मायने रखता है। इस आधार पर, बाजार ऐसा दिखता है:

Coinkite (Coldcard)

उत्कृष्ट तकनीकी प्रतिष्ठा, केवल बिटकॉइन, एक बहुत मजबूत समुदाय। और एक कुंजी-जनरेशन दोष जो पांच साल तक अनदेखा रहा — सबसे खराब श्रेणी की विफलता, क्योंकि इसे पीछे की ओर से ठीक नहीं किया जा सकता। कंपनी ने सुधारित फर्मवेयर और नए जनरेट किए गए वॉलेट में धन स्थानांतरित करने के निर्देशों के साथ प्रतिक्रिया दी। नए खरीददारों के लिए अभी का समझदारी से लिया गया पोज़ीशन यह है कि स्वतंत्र पोस्ट-मॉर्टम पूरा होने तक प्रतीक्षा करें।

लेजर

फ्रेंच मार्केट लीडर की सबसे लंबी घटना सूची है — लेकिन एक महत्वपूर्ण शर्त जो बहस में लगभग हमेशा खो जाती है: इनमें से कोई भी घटना हार्डवेयर की अखंडता को कभी नहीं तोड़ पाई। रिकॉर्ड:

• जुलाई 2020: एक ई-कॉमर्स डेटा ब्रेच जिसमें एक मिलियन से अधिक ग्राहक रिकॉर्ड सामने आए — आज भी फ़िशिंग पत्रों और नकली "प्रतिस्थापन उपकरणों" के लिए कच्चा माल।
• मई 2023: लेजर रिकवर विवाद। सीड को एन्क्रिप्टेड शैर्ड में विभाजित करने की क्षमता ने उन खरीददारों के वादे का उल्लंघन किया, जिन्होंने माना था कि उन्होंने खरीदा है।
• दिसंबर 2023: कनेक्ट किट एक्सप्लॉइट। एक पूर्व कर्मचारी के फिश किए गए npm खाते के माध्यम से दुष्ट कोड dapp में इंजेक्ट किया गया; लगभग $484,000 की राशि निकाल ली गई — dapp उपयोगकर्ताओं से, वॉलेट धारकों से नहीं।
• जनवरी 2026: ग्राहक डेटा फिर से, इस बार ई-कॉमर्स साझेदार Global-e के माध्यम से।

एक लेजर उपयोगकर्ता फर्मवेयर दोष के कारण अपनी राशि खोने के खतरे में नहीं है। उनका खतरा एक बहुत ही अच्छी तरह से तैयार फिशिंग अभियान में पड़ने का है, क्योंकि उनका डिलीवरी पता 2020 से प्रचलित है।

Tangem

काउंटर-डिज़ाइन, और आज के दृष्टिकोण से सबसे दिलचस्प। टैंगम एक स्क्रीन और केबल वाले उपकरण के बजाय कार्ड का उपयोग करता है। कुंजी सामान्य मापदंड EAL6+ के लिए प्रमाणित सुरक्षित तत्व के भीतर उत्पन्न होती है और कभी भी कार्ड से बाहर नहीं जाती। कोई बैटरी नहीं, कोई डिवाइस पर फर्मवेयर अपडेट नहीं, कोई USB पोर्ट नहीं — और इसलिए एक काफी छोटा हमला सतह। बैकअप कागज का एक टुकड़ा नहीं, बल्कि दो या तीन जोड़े गए कार्डों का सेट है।

प्रदर्शन रिकॉर्ड: कुडेल्स्की सिक्योरिटी (2018), रिसक्यूर (2023) और क्यूर53 (2026) द्वारा स्वतंत्र ऑडिट, जिनमें से किसी ने भी कोई वल्नरेबिलिटी नहीं पाई। एक मिलियन से अधिक कार्ड भेजे जाने के बावजूद, कोई व्यवस्थित दुरुपयोग सामने नहीं आया है। यह एक गारंटी नहीं है — लेकिन यह ठीक उसी प्रकार का थकान देने वाला, जांचने योग्य इतिहास है जो इस तरह के सप्ताह के बाद किसी भी सुविधा से अधिक मूल्यवान है।

उद्घाटन: क्रिप्टोटिकर यहाँ नामित कुछ प्रदाताओं के साथ साझेदारी कार्यक्रम चलाता है। उपरोक्त मूल्यांकन सार्वजनिक रूप से दस्तावेज़ित घटना रिकॉर्ड के अनुसार है, व्यावसायिक संबंध के अनुसार नहीं। जहाँ हमारा दृष्टिकोण उस संबंध से भिन्न है — जैसे कि कोल्डकार्ड और लेजर के साथ — हम ऐसा कहते हैं।

पूरी तुलना, कीमतों, समर्थित कॉइन्स और रेटिंग्स के साथ, हमारे हार्डवेयर वॉलेट तुलना में उपलब्ध है।

नियम 1: इतिहास पर खरीदें, विनिर्देश पर नहीं

वॉलेट ऑर्डर करने से पहले, निर्माता के नाम के साथ "incident", "breach" या "vulnerability" खोजें। आप शून्य परिणाम ढूंढ रहे हैं — हर गंभीर विक्रेता के पास कुछ न कुछ होता है। आप प्रतिक्रिया की जांच कर रहे हैं: अनावरण कितनी जल्दी हुआ? क्या यह पूर्ण था? क्या एक स्वतंत्र ऑडिट प्रकाशित किया गया? जो निर्माता अपनी विफलताओं को सार्वजनिक रूप से विश्लेषित करता है, वह उससे सुरक्षित है जिसका रिकॉर्ड केवल खाली दिखता है।

नियम 2: किसी एकल स्रोत की यादृच्छिकता पर कभी निर्भर न करें

कोल्डकार्ड अंतर एक यादृच्छिकता अंतर था। यदि आप एंट्रॉपी को पूरी तरह से उपकरण पर छोड़ना नहीं चाहते, तो दो मजबूत रास्ते हैं: पासों की रोलिंग से एक सीड बनाएं (जिसे कई उपकरण समर्थित करते हैं), या दो अलग-अलग निर्माताओं के उपकरणों का उपयोग करके मल्टीसिग सेटअप चलाएं। दो ब्रांडों के बीच 2-ऑफ-3 मल्टीसिग में, एक विक्रेता-व्यापी फर्मवेयर दोष पूर्ण हानि बनने के बजाय एक असुविधा बन जाता है।

नियम 3: आशा करने के बजाय अपने होल्डिंग्स को सक्रिय रूप से जांचें

कोल्ड स्टोरेज आपको कई वर्षों के लिए दूर भागने के लिए आमंत्रित करता है। एक तिमाही अपॉइंटमेंट निर्धारित करें: ब्लॉक एक्सप्लोरर के माध्यम से बैलेंस जांचें (सार्वजनिक पता पर्याप्त है — कभी अपना सीड कहीं भी न डालें), वेंडर के फर्मवेयर चेंजलॉग को पढ़ें, अपनी बैकअप स्थिति की पुष्टि करें। एक वर्ष में चार बार, पंद्रह मिनट।

5 अगस्त 2026 को बिटकॉइन $64,100 के आसपास व्यापार कर रहा है। समाचार प्रवाह खराब है: एक हार्डवेयर वॉलेट का दुर्घटना, जुलाई में दो पर्प DEXs को खाली कर दिया गया, अमेरिका का पहला स्पॉट ETF अपने दरवाजे बंद कर देता है। सामान्य प्रतिक्रिया बचत योजना को रोकना है — "जब तक यह सुलझ जाता है"।

वही चलन है जो वर्षों में आपकी औसत एंट्री कीमत को कम कर देता है। एक बचत योजना एक बाजार उपकरण नहीं है; यह आपके अपने मूड के खिलाफ एक उपकरण है। इसकी पूरी मूल्य सृष्टि उन्हीं महीनों में होती है जब आप इसे बंद करना चाहते हैं। जिसने 2022 में रुक दिया, उसने चक्र का सबसे सस्ता हिस्सा मिस कर दिया और 2024 की गर्मियों में काफी अधिक कीमतों पर पुनः शुरू किया।

हमारा बचत योजना के लिए चयन: Coinbase — लेकिन बचत-योजना बटन के माध्यम से नहीं

Coinbase अभी यूरोपीय निवेशकों के लिए स्पष्ट विकल्प है। जून 2026 से इसका यूरोपीय व्यवसाय लक्ज़मबर्ग में स्थित MiCA लाइसेंस के तहत संचालित हो रहा है, जिसने अपने पिछले राष्ट्रीय प्राधिकरणों — जिनमें जर्मनी का भी शामिल है — को एक ही छत के तहत समेकित कर दिया है। 1 जुलाई 2026 को अंतिम MiCA संक्रमण अवधि के समाप्त होने के बाद, यह एक ऐसे एक्सचेंज के बीच का अंतर है जो बना रहता है और एक ऐसे एक्सचेंज के बीच जो यूरोपीय बाजार से चला जाता है। साफ़ SEPA पथ, स्थानीय भाषा समर्थन और एक कर निर्यात जिसे सामान्य उपकरण वास्तव में पढ़ सकें, इसे जोड़ें।

और अब वह हिस्सा जिसे स्वयं प्रदाता नहीं दर्शाना चाहते: सुविधाजनक आवर्ती खरीद बटन कोइनबेस पर खरीदने का सबसे महंगा तरीका है।

प्रति महिना €200 पर, यह लगभग €60 प्रति वर्ष है — आपके पोर्टफोलियो में समान परिणाम के लिए। दोनों को जोड़ने वाला वर्कफ्लो: अपने Coinbase खाते में स्थायी SEPA ट्रांसफ़र, हर महीने Coinbase Advanced में एक लिमिट ऑर्डर के लिए दो मिनट, फिर अपने वॉलेट में विड्रॉ करें। बचत योजना की सुविधा स्थायी ऑर्डर में रहती है, खरीद बटन में नहीं।

प्रदाताओं की तुलना करने के लिए — शुल्क, न्यूनतम किस्त, निष्पादन आवृत्ति, निकास लागत — हमारे बिटकॉइन खरीदने के लिए गाइड को देखें। और MiCA के बाद यूरोप में अभी भी नियमित रूप से संचालित होने वाले एक्सचेंज के लिए: नियमित क्रिप्टो एक्सचेंज की तुलना।

1. एक्सपोजर स्थापित करें। क्या आपने मार्च 2021 के बाद डिवाइस पर जेनरेट किए गए सीड के साथ Coldcard का उपयोग किया है? फिर, सुधारित फर्मवेयर या किसी अन्य निर्माता के डिवाइस पर एक नया वॉलेट बनाएं और तुरंत सब कुछ स्थानांतरित कर दें। टेस्ट लेनदेन का इंतजार मत करें—दोष जनता के सामने है, और पते भी।
2. घटना इतिहास और प्रतिक्रिया व्यवहार के आधार पर निर्माता चुनें, फीचर लिस्ट पर नहीं।
3. बैकअप को एक सेट के रूप में सोचें। दो स्थान, अलग-अलग इमारतें। कार्ड वॉलेट के साथ: दूसरा कार्ड एक ही ड्रॉवर में नहीं होना चाहिए।
4. बचत योजना सेट करें — स्थायी SEPA ऑर्डर के साथ एक मासिक लिमिट ऑर्डर, एक ऐसी रकम के साथ जो खराब छह महीनों में नुकसान न करे।
5. बैलेंस जांच और फर्मवेयर चेंजलॉग के लिए कैलेंडर में तिमाही याददाश्त डालें।

कोल्डकार्ड की घटना ने यह साबित नहीं किया कि स्वयं-संरक्षण गलत है। इसने यह साबित किया कि स्वयं-संरक्षण का अर्थ है एक निर्माता का चयन करना — और यह चयन समुदाय की प्रतिष्ठा के बजाय दस्तावेजी इतिहास पर आधारित होना चाहिए। इस हफ्ते दो काम करें और आप शुरुआत से बेहतर स्थिति में इसे समाप्त करेंगे: अपने संरक्षण विक्रेता को उनके प्रदर्शन के आधार पर बदलें या पुष्टि करें, और समाचारों के बावजूद बचत योजना को चलते रहें। इसी क्रम में।

(5 अगस्त 2026 तक। यह लेख निवेश सलाह नहीं है। कीमतें और शुल्क मॉडल बदलते रहते हैं — हर खरीदारी से पहले प्रदाता के साथ वर्तमान शर्तों की जाँच करें।)