बिटकॉइन के हार्डवेयर वॉलेट परितंत्र एक दुर्लभ और खतरनाक क्षण से गुजर रहा है। कोल्डकार्ड के निर्माता ने पुष्टि की है कि एक ऐसा दुरुपयोग जो अभी भी विशिष्ट उपकरणों से धन निकाल रहा है, जिससे अब तक लगभग $114 मिलियन की हानि हो चुकी है, और मंगलवार को इस दोष को अभी तक सुधारा नहीं गया है। कंपनी मूल रिपोर्ट के अनुसार उपयोगकर्ताओं को अपना बिटकॉइन तुरंत संवेदनशील हार्डवेयर से हटा लेने की सलाह दे रही है।
चेतावनी कोल्डकार्ड उपयोगकर्ताओं के बीच सप्ताहों से बढ़ती चिंता के बाद आई। यह दुरुपयोग विशिष्ट फर्मवेयर संस्करणों और हार्डवेयर कॉन्फ़िगरेशन को लक्षित करता है, जो हार्डवेयर वॉलेट को स्वयं-संग्रहण का आधार बनाने वाले सामान्य सुरक्षा जांचों को बायपास करता है। फ़िशिंग हमलों या सीड फ्रेज लीक के विपरीत, यह डिवाइस स्तर का सीधा दुरुपयोग है, जिससे डिफ़ॉल्ट सलाह—अपने प्राइवेट कीज़ ऑफ़लाइन रखें—कम विश्वसनीय हो जाती है। यह दुर्बलता फर्मवेयर-विशिष्ट हो सकती है, जो इस बात की व्याख्या करती है कि कुछ डिवाइस अछूते रहते हैं, जबकि अन्य को खाली किया जा रहा है।
स्केल और चुप्पी
बिटकॉइन सुरक्षा समुदाय, जो अक्सर फोरम और सोशल मीडिया पर आवाज उठाता है, ने चिंता और व्यावहारिकता के मिश्रण के साथ प्रतिक्रिया दी है। लंबे समय से Coldcard उपयोगकर्ता खाली बैलेंस के अनुभव साझा कर रहे हैं, जबकि अन्य चर्चा कर रहे हैं कि क्या डिवाइस का ओपन-सोर्स फर्मवेयर पहले ही इस दोष को पकड़ सकता था। Coldcard ने अभी तक सार्वजनिक रूप से नहीं बताया है कि कौन से मॉडल प्रभावित हैं, दुरुपयोग कैसे काम करता है, या क्या एक ठीक करने का तरीका तुरंत उपलब्ध होगा। यह गुप्तता संभवतः एक संचालनात्मक उद्देश्य के लिए है: तकनीकी विवरणों को प्रकाशित करने से हमलावरों को एक प्रारूप मिल सकता है। हालाँकि, यह उपयोगकर्ताओं को चिंतित अनिश्चितता में छोड़ देता है।
कई वर्षों से, कोल्डकार्ड बिटकॉइन मैक्सिमलिस्ट्स के बीच एक पसंदीदा उपकरण रहा है, जो इसके एयर-गैप्ड डिजाइन और केवल बिटकॉइन फर्मवेयर की सराहना करते हैं। इस उपकरण को सबसे अधिक संदेहपूर्ण धारकों के लिए एक किला के रूप में बाजार में पेश किया गया था। अब इस किले में दरार पड़ गई है, और एक पैच के लिए समयसीमा के बारे में निर्माता की चुप्पि इस बात की अफवाहों को बढ़ा रही है कि मूल कारण गहराई से जुड़ा हुआ हो सकता है, संभवतः एक सप्लाई चेन कमजोरी या कई महीने पहले फर्मवेयर अपडेट के दौरान पेश किए गए किसी दोष से संबंधित हो।
एक व्यापक स्व-नियंत्रण की समस्या
हार्डवेयर वॉलेट के दुरुपयोग नया नहीं है—पिछली घटनाओं में Ledger और Trezor के उपकरण प्रभावित हुए हैं—लेकिन यहाँ पैमाना ध्यान देने लायक है। Coldcard की स्थिति एक लगातार तनाव को उजागर करती है: स्वयं-संरक्षण को एक्सचेंज जोखिम के विरुद्ध उपचार के रूप में व्यापक रूप से प्रचारित किया जाता है, लेकिन यह तकनीकी जिम्मेदारी को एकल उपयोगकर्ता पर केंद्रित करता है, जो अपने उपकरण की अखंडता का मूल्यांकन करने के लिए पर्याप्त विशेषज्ञता नहीं रख सकता है। इस उद्योग ने लंबे समय तक माना है कि एक सही रूप से निर्मित और अपडेटेड हार्डवेयर वॉलेट दूरस्थ हमलों के प्रति अटूट होता है। यह मान्यता अब गंभीर रूप से संकट में है।
अन्य वॉलेट, अक्सर स्मार्टफोन पर एक हॉट वॉलेट में धन ले जाने की तत्काल दिशा-निर्देश, एक अलग सेट के जोखिम पेश करती है। एक संक्रमित हार्डवेयर डिवाइस से भागने वाले उपयोगकर्ता अपनी निजी कुंजियों को कम सुरक्षित वातावरण में प्रकट कर सकते हैं। यह एक पुष्ट खतरे और एक अनिश्चित खतरे के बीच एक व्यापार है, और सुरक्षा विशेषज्ञ उन कारकों पर निर्णय लेंगे जिन्हें सामान्य होल्डर आसानी से नहीं जा सकते।
क्या अनिश्चित है
अभी तक यह ज्ञात नहीं है कि दुरुपयोग को दूरस्थ रूप से ट्रिगर किया जा सकता है, भौतिक पहुंच की आवश्यकता होती है, या लेनदेन हस्ताक्षर के दौरान उपयोग किए जाने वाले सहायक सॉफ़्टवेयर में एक दुर्बलता का दुरुपयोग किया जाता है। अस्पष्टता के कारण उपयोगकर्ताओं द्वारा लिए जा सकने वाले रक्षात्मक कदमों को जटिलता का सामना करना पड़ रहा है। धन को पूरी तरह से स्थानांतरित करने के अलावा, यदि हार्डवेयर स्वयं बूटलोडर स्तर पर संक्रमित है, तो फर्मवेयर अपडेट भी पर्याप्त नहीं हो सकता। कोल्डकार्ड को खतरा नियंत्रित होने पर एक व्यापक तकनीकी पोस्ट-मॉर्टम प्रकाशित करने की आवश्यकता होगी—जो अभी के लिए कुछ दिनों या सप्ताहों दूर प्रतीत होता है।
यह एक खुला प्रश्न है कि प्रभावित उपयोगकर्ता ऑन-चेन ट्रेसिंग या कानूनी हस्तक्षेप के माध्यम से चोरी हुए धन का कोई भाग वापस प्राप्त कर सकते हैं या नहीं। बिटकॉइन का पारदर्शी लेजर पैसे का पीछा करने में मदद कर सकता है, लेकिन आभासी पहचान के कारण निष्पादन कठिन है। ऐतिहासिक रूप से, हार्डवेयर वॉलेट दुर्घटनाओं के व्यक्तिगत पीड़ित लगभग कभी मुआवजा नहीं पाते। हार्डवेयर वॉलेट की बिक्री पर, विशेष रूप से बिटकॉइन-मूल लोगों के बीच, प्रभाव पूरी तरह से Coldcard द्वारा कितनी जल्दी प्रतिक्रिया देने पर निर्भर करेगा।
निर्माता का संदेश सीधा है, भले ही विवरण पर चुप्पी नहीं हो: यदि आपके पास एक असुरक्षित उपकरण है, तो मान लें कि यह संक्रमित है और अपना बिटकॉइन तब तक स्थानांतरित कर दें जब तक कि आप इस बढ़ती हुई हानियों की सूची में अगला मामला न बन जाएं।