🚨 कोल्डकार्ड Mk3 एंट्रॉपी बग: क्या हुआ और आपको क्या करना चाहिए 💰 क्या हुआ? 2026 के 30-31 जुलाई के बीच, एक हमलावर ने लगभग 500 सिंगल-सिग्नेचर बिटकॉइन वॉलेट से लगभग 594.48 BTC (~$38M) की राशि निकाल ली, जो एक अत्यधिक समन्वित हमले के माध्यम से किया गया। ऑन-चेन हाइलाइट्स - 🪙 594.48 BTC चोरी हुए - 👥 ~500 प्रभावित वॉलेट - 📦 1,324 UTXOs स्वीप किए गए - ⏱️ ~25 मिनट में पूरा हुआ - 💸 बहुत कम कुल शुल्क (~0.044 BTC) - 🔒 कोई भी मल्टीसिग या Taproot वॉलेट प्रभावित नहीं हुआ - 💤 अधिकांश वॉलेट 2021-2026 के बाद से निष्क्रिय थे 🛑 मूल कारण: एक 5 साल पुराना फर्मवेयर बग एक सूक्ष्म फर्मवेयर बग के कारण कुछ कोल्डकार्ड हार्डवेयर वॉलेट में बिटकॉइन सीड्स कम यादृच्छिकता के साथ उत्पन्न हुए। क्या गलत हुआ? - मार्च 2021 में, कोल्डकार्ड ने अपना सीड जनरेशन कोड बदल दिया। - एक बिल्ड कॉन्फ़िगरेशन समस्या के कारण, फर्मवेयर ने गलती से हार्डवेयर True Random Number Generator (TRNG) के बजाय कमजोर सॉफ़्टवेयर PRNG का उपयोग किया। - यह बग पांच सालों तक अनदेखा रहा। प्रभावी एंट्रॉपी Mk3 - इच्छित: ~128 बिट - वास्तविक: ~40 बिट Mk4 / Mk5 / Q - Mk3 से बेहतर, लेकिन अभी भी कम - पैच किए गए फर्मवेयर से पहले ~72 बिट इस कमी से ऑफ़लाइन ब्रूट-फोर्स हमले को प्रायोगिक रूप से काफी सरल बना दिया। ⚠️ प्रभावित डिवाइस कोल्डकार्ड Mk3 - फर्मवेयर 4.0.1 → 5.0.3 कोल्डकार्ड Mk4 / Mk5 - 5.6.0 से पहले बनाए गए सीड कोल्डकार्ड Q - 1.5.0Q से पहले बनाए गए सीड प्रभावित नहीं - ✅ TAPSIGNER - ✅ SATSCARD - ✅ OPENDIME 🚨 महत्वपूर्ण फर्मवेयर को अपडेट करने से मौजूदा कमजोर सीड को सुधारा नहीं जा सकता। यदि सीड कमजोर फर्मवेयर का उपयोग करके बनाया गया है, तो आपको पूरी तरह से नया सीड बनाना होगा और अपनी राशि स्थानांतरित करनी होगी। ✅ आपको क्या करना चाहिए? यदि आपका वॉलेट प्रभावित हो सकता है: 1. सबसे हालिया फर्मवेयर पर अपडेट करें। 2. पूरी तरह से नया सीड जनरेट करें। 3. अपनी प्रतिलिपि (backup) और प्राप्ति पते (receive address) की पुष्टि करें। 4. सूक्ष्म परीक्षण संचालन (test transaction) करें। 5. पुष्टि के बाद,शेष BTC स्थानांतरित करें। अस्थायी सुरक्षा यदि आपके पास केवल Mk3 है: - मजबूत,अद्वितीय BIP-39 पासफ्रेज (अपने PIN के स्थान पर) का प्रयोग करें,फिर स्थानांतरण करें। - या पूरी तरह से प्रतिकृति (dice-roll) पद्धति का प्रयोग करके,जो कमजोर RNG को पार करती है,एक नया सीड generate करें। डाइस (Dice) Entropy सीड सृजन के समय 50+ प्राइवेट प्रतिकृति (dice rolls) का प्रयोग,इस समस्या से सुरक्षा प्रदान करने के लिए पर्याप्त entropy प्रदान करता है। 🏦 Coinkite की प्रतिक्रिया -एक आधिकारिक सुरक्षा सलाह (security advisory) प्रकाशित की। -एंट्रॉपी बग की पुष्टि की। -घटना कीजांच हो रही है। -594 BTC कीचोरीकोइसबगकेकारणमानसमयतकआधिकारिकतःपुष्टनहींकिया है,हालाँकिस्वतंत्रसुरक्षाशोधकजटि(independent security researchers)इसे सबसेअधिकसंभावितव्याख्या मानते हैं। 🔐 मुख्यबिंदु -ओपनसोर्सहमेसुनिश्चितनहींकरताहैकिबगजल्दीखोजेजाएंगे। -हार्डवेयरवॉलेटउतनेहीसुरक्षितहोतेहैं,जितनीउनकीयादृच्छिकताहोतीहै। -मजबूतBIP-39पासफ्रेज,स्वतंत्रएंट्रॉपीऔरमल्टीसिगसुरक्षामेंउचितवृद्धिकरतेहैं। -धनस्थानांतरणसेपहलेसदैवअपनेडिवाइसपरपतेऔरबैकअपकीपुष्टि(verify)करें। अंतिमविचार यहघटनाएकयाददिलातीहैकिसेल्फ-कस्टडीकेवलअपनेkeysअधिकारख़्वयहनहींहै।इसमेंयहभीशामिलहैकियहkeysसुरक्षिततःउत्पन्नहुएथे।अगरआपकाsīdप्रभावितफ़र्मवेयरपरबनायाgयाहै,तोशांतबनें,सबकुछध्यानसेजाँचेंऔरजल्दसेजल्दएकनएसुरक्षितsīdप्रयोगकरें।