अरे भगवान.. इस आदमी का $1.6M का बिटकॉइन उसके वॉलेट से चला गया, भले ही उसका वॉलेट कभी इंटरनेट से जुड़ा ही नहीं था.. उसका Coldcard सुरक्षित डिपॉजिट बॉक्स में पड़ा था। सीड फ्रेज कभी शेयर नहीं किया गया। कोई फिशिंग लिंक नहीं, कोई लीक हुआ स्क्रीनशॉट नहीं, कोई अज्ञात dapp अनुमति नहीं.. फिर भी यह सब खाली हो गया। वह कहता है, कमजोरी मूल रूप से उस कोड में थी जिसने सीड फ्रेज को जनरेट किया था। मूलतः, एक सीड फ्रेज पूरी तरह से रैंडम होना चाहिए। लेकिन अगर डिवाइस इसे एक छोटे, अधिक पूर्वानुमेय सेट से बनाता है, तो हमलावरों को आपका वॉलेट या भौतिक पहुँच की आवश्यकता नहीं होती। वे किसी और जगह संभावित सीड्स को लगातार अनुमान लगाते रह सकते हैं, जब तक कि कोई सीड एक असली वॉलेट को खोलने में सक्षम न हो जाए। इसलिए, कोल्ड वॉलेट को बाद में “हैक” किया गया होना जरूरी नहीं है। संभवतः, कुंजी पहले से ही कमजोर हो सकती है, जिस पल से इसे बनाया गया। अगर आप सोचें, तो यह कितना डरावना है.. ऑफलाइन पर वॉलेट को सुरक्षित रखने से मजबूत कुंजी के लीक होने से बचाव होता है। परन्तु, अगर कुंजी पहले से ही पूर्वानुमेय है, तो इससे कुछ मदद नहीं मिलती। लेकिन मेरे पास आपके लिए एक समाधान है, अगर आपके पास प्रतिष्ठित पैसे हैं, तो एक सीड और एक डिवाइस हीएकल पॉइंट ऑफ़फेलियर है। अधिक सुरक्षित सेटअप है: - 2-ऑफ-3 मल्टिसिग - प्रत्येक सीड को स्वतंत्र रूप से जनरेट किया गया - संभव हो, अलग-अलग हार्डवेयर-वॉलेट वेंडर -अतिरिक्त प्रमाणित पासा-एंट्रॉपी - प्रत्येक आउटगोइंग लेनदेन के लिए watch-only सूचनाएँ उचित 2-ऑफ-3 मल्टिसिग के साथ, केवल एक संक्रमित सीड कभी पैसे हटा नहीं सकता। इसके साथ ही, किसी समान डिवाइस पर हर कुंजी को generate करने, ya ek hi seed ko multiple wallets mein import karne se fake multisig na banaen. और कभी bhi apni seed kisi website par na daalen jo claim kare ki woh check kar sakta hai ki aap affected hai ya nahi.. तो हाँ, यहाँ सबक सिर्फ “cold storage kaam nahi karta” nahi hai। यह है कि $1.6M ek hi key se surakshit tha, aur ek kamzor key kaafi thi sab kuch khone ke liye..