کولڈکارڈ ہارڈویئر والٹس میں ایک کمزوری کی وجہ سے 30 جولائی سے شروع ہونے والے منسوب حملوں کے دوران 4,500 سے زیادہ پتےوں سے تقریباً 1,367 BTC، جو تقریباً 89 ملین امریکی ڈالر کے برابر ہیں، چوری کر لیے گئے۔ یہ خرابی مارچ 2021 سے فارم ویئر میں خاموشی سے موجود تھی، جس نے والٹ سیڈز کو جنریٹ کرنے کے لیے استعمال ہونے والی تصادفیت کو اتنی زبردست طور پر کمزور کر دیا کہ حملہ آور بالآخر انہیں توڑنے میں کامیاب ہو گئے۔
فاؤنڈیشن ڈیوائسز کے سی ای او زیک ہربرٹ نے بٹ کوائن والٹ کوڈ کے اوپن سورس ہونے کو وجوہات میں شامل کیا کہ کمیونٹی نے مسئلہ کو اتنی جلدی کیسے پکڑا اور اس کا جواب دیا۔ ان کا استدلال تھا کہ ملکی فارم ویئر کی وجہ سے مسئلہ دریافت کرنا مشکل ہوتا اور اسے درست کرنا اور بھی مشکل ہوتا۔
کولڈکارڈ کے فارم ویئر کے اندر کیا غلط ہوا
جب آپ ایک ہارڈ ویئر والٹ سیٹ اپ کرتے ہیں، تو ڈیوائس ایک “سیڈ” جنریٹ کرتی ہے، جو بنیادی طور پر آپ کے تمام بٹ کوائن کا ماسٹر کلید ہے۔ وہ سیڈ تصادفی ہونا چاہیے۔ صنعت کا معیار 128 بٹس کی اینٹروپی ہے، جو عملی طور پر اس بات کا مطلب ہے کہ ممکنہ سیڈز کی تعداد اتنی بڑی ہے کہ درست سیڈ تک پہنچنے کے لیے برٹ فورس کرنا کائنات کی عمر سے زیادہ وقت لے گا۔
کولڈکارڈ کا فارم ویئر ورژن 4.0.1، جو مارچ 2021 میں کینیڈین سازن کوینکائٹ نے جاری کیا، ایک بڑے کوڈ ریوائٹ کے دوران ایک بگ پیدا کیا۔ 128 بٹس کی انٹروپی کے ساتھ سیڈز بنانے کے بجائے، متاثرہ ڈیوائسز، خاص طور پر Mk2 اور Mk3 ماڈلز، تقریباً 72 بٹس کے ساتھ سیڈز پیدا کرتی تھیں۔
اگر آپ کرپٹوگرافر نہیں ہیں تو 128 بٹ اور 72 بٹ کی انٹروپی کے درمیان فرق چھوٹا سا لگتا ہے۔ لیکن یہ ایسا نہیں ہے۔ ہر کم ہونے والا بٹ امکانات کی تعداد کو آدھا کر دیتا ہے۔ 56 بٹ کھونے کا مطلب ہے کہ تلاش کا جگہ تقریباً 72 کوآڈریلین کے فیکٹر سے کم ہو گیا۔ یہ وہ ریاضی ہے جو نظریاتی کمزوری کو عملی بناتی ہے۔
حملہ اور جواب
2026ء کے 30 جولائی سے کمزوری کا استعمال کرتے ہوئے منظم حملے شروع ہو گئے۔ کچھ ہی دنوں میں، تقریباً 1,367 BTC کو ان والٹس سے نکال لیا گیا جن کے سیڈز متاثرہ فارم ویئر ورژنز پر جنریٹ ہوئے تھے۔ اس وقت، اس کی قیمت تقریباً 89 ملین امریکی ڈالر تھی۔
زیادہ سے زیادہ 4,500 الگ پتےوں پر ڈرین کی رفتار سے ظاہر ہوتا ہے کہ حملہ آوروں نے کچھ عرصہ سے تیاری کر رکھی تھی، اور شاید چوریوں کو تیزی سے لگاتار کرنے سے پہلے زیادہ سے زیادہ کمزور بیجز کو پہلے سے حساب کر لیا تھا۔
کوینکائٹ نے 31 جولائی کو، حملوں کے ظاہر ہونے کے صرف ایک دن بعد، اپڈیٹ کیا گیا فارم ویئر جاری کیا۔ یہ اصلاحات Mk4 اور Mk5 ڈیوائسز کے لیے ورژن 5.6.0، Q ماڈل کے لیے ورژن 1.5.0Q، اور پرانے Mk3 کے لیے ورژن 4.2.0 کے طور پر آئیں۔ لیکن فارم ویئر اپڈیٹ کرنا ہی مسئلہ حل نہیں کرتا۔ جو صارفین متاثرہ فارم ویئر پر سیڈز بنائے گئے، انہیں اب بھی مکمل طور پر نئے سیڈز پر منتقل ہونا ہوگا، کیونکہ پرانے سیڈز اب بھی متاثر رہتے ہیں، چاہے ڈیوائس اب کسی بھی سافٹ ویئر پر چل رہا ہو۔
کم از کم 50 مستقل انصاف پر مبنی ڈائس رولز کا استعمال کرکے تیار کیے گئے سیڈز متاثر نہیں ہوئے۔ 4.0.1 سے پہلے کے فارم ویئر ورژنز پر بنائے گئے سیڈز بھی متاثر نہیں ہوئے۔ یہ کمزوری 2021 کے ری ورائٹ میں شامل ہونے والے اینٹروپی جنریشن کوڈ تک محدود تھی۔
اوپن سورس دلیل
زیک ہربرٹ، جو ایک مقابلہ کرنے والے ہارڈویئر والٹ کے manufacture، فاؤنڈیشن ڈیوائسز کا انتظام کرتے ہیں، نے اس واقعے پر زور دیا کہ اوپن سورس کوڈ کمیونٹی کی تیزی سے جواب دینے کی صلاحیت کا مرکزی عنصر ہے۔ ان کا موقف سادہ ہے: جب والٹ فارم ویئر عوامی طور پر جانچ کے قابل ہو، تو کمزوریاں تیزی سے دریافت ہوتی ہیں، اپ ڈیٹس کو ڈپلویمنٹ سے پہلے جانچا جاتا ہے، اور پورا ایکو سسٹم جمعی نگرانی سے فائدہ اٹھاتا ہے۔
اوپن سورس کوڈ بٹ کوائن کمیونٹی کو جلدی سے جواب دینے میں مدد کرتا ہے اور مستقبل کے سیکورٹی واقعات کو روک سکتا ہے۔
Foundation Devices، Passport والٹ بناتا ہے، جو Coldcard کا ب без مسابق ہے۔ یہ کمزوری پیداواری فارم ویئر میں پانچ سال سے زیادہ عرصہ تک موجود رہی قبل از اس کے کہ اس کا استعمال کیا جائے۔ ایک دن میں حملے سے فکس تک کا تیز ردعمل، شفاف کوڈ بیسز کے واقعات کے جواب میں تیزی لانے کے خیال کی تائید کرتا ہے۔
ہارڈویئر والٹ صارفین کے لیے اس کا کیا مطلب ہے
مارچ 2021 کے بعد تولید کیے گئے بیج کے ساتھ کولڈکارڈ ڈیوائسز کا استعمال کرنے والے صارفین کے لیے اقدامات واضح ہیں: فارم ویئر فوراً اپ ڈیٹ کریں اور اہم بات یہ ہے کہ مکمل طور پر نئے بیج تولید کریں۔ نئے بیج پر منتقل نہ ہو کر صرف فارم ویئر کا پچ کرنا بنیادی کمزوری کو برقرار رکھتا ہے۔ جن صارفین نے اپنے بیج تولید کے لیے کم از کم 50 مستقل اور منصفانہ ڈائس رولز استعمال کیے، وہ ڈیوائس کے اندر کے رینڈم نمبر جنریٹر پر کبھی منحصر نہیں تھے اور ان پر اثر نہیں پڑا۔