ایک کولڈکارڈ سیکیورٹی مسئلہ نے کچھ پرانے ڈیوائس ورژنز پر سیڈ جنریشن کو متاثر کرنے والے فارم ویئر کی خامی کی رپورٹس کے بعد بٹ کوائن ہارڈویئر والٹ کی سلامتی پر دوبارہ روشنی ڈال دی ہے۔
تائید شدہ واقعہ نوٹس کے مطابق، یہ مسئلہ Coldcard Mk3 فارم ویئر ورژن 4.0.1 سے 5.0.3 تک، اور Mk4 اور Mk5 ڈیوائسز جن کا فارم ویئر 5.6.0 سے پہلے کا ہو، اور Q ڈیوائسز جن کا فارم ویئر 1.5.0Q سے پہلے کا ہو، سے متعلق ہے۔ بنیادی مسئلہ سیڈ جنریشن کی کمزوری تھی، جس میں ایک ہارڈ ویئر رینڈم نمبر جنریٹر کو ایک قابل پیش گوئی سافٹ ویئر متبادل سے بدل دیا گیا، جس سے اینٹروپی 128 بٹ سے 72 بٹ تک کم ہو گئی۔
یہ ایک ٹیکنیکل تفصیل ہے، لیکن اس کا بہت بڑا اہمیت ہے۔ ایک Bitcoin والٹ صرف اس کی پیچھے والی خفیہ عبارت کے ساتھ ہی محفوظ ہوتا ہے۔ اگر حملہ آور کے لیے سیڈ جنریشن کافی پیش گوئی والا بن جائے تو، والٹ خطرے میں پڑ سکتا ہے، چاہے صارف نے اپنی عبارت کبھی شیئر نہ کی ہو، فشنگ لنک پر کلک نہ کیا ہو، یا پرائیویٹ کلید کبھی اExposed نہ کیا ہو۔
2026 کی 30 اور 31 جولائی کو، رپورٹ کیے گئے سویپ میں تقریباً 594 BTC، تقریباً 500 سینگل سائنچر والٹس سے شامل تھے۔
مزید تفصیلات کے لیے، آفیشل Blog پلیٹ فارم پر جائیں۔
TL;DR
- ایک کولڈکارڈ سیڈ جنریشن کی کمزوری کچھ پرانے فارم ویئر/ڈیوائس ورژنز کو متاثر کیا۔
- رپورٹس کے مطابق، تقریباً 500 ایکل سائنیچر والٹس سے 594 BTC کو اٹھا لیا گیا۔
- BIP-39 پاس فریز یا کافی ڈائس رولز کے ساتھ تخلیق کردہ سیڈز کو تصدیق شدہ نوٹس کے تحت خطرے کی حیثیت نہیں دی جاتی۔
کیوں اینٹروپی پورا کھیل ہے
بٹ کوائن کی حفاظت کبھی کبھی پیچیدہ لگ سکتی ہے، لیکن بیج کے سطح پر، اصلیت آسان ہے: تصادفیت والٹ کو محفوظ رکھتی ہے۔
ایک سیڈ فریز کو اندازہ لگانا نہیں چاہیے۔ ممکنہ درست سیڈز کی تعداد اتنی وسیع ہے کہ اسے بریو فورس کرنا عملی طور پر ناممکن ہونا چاہیے۔ یہ فرض درست اینٹروپی پر منحصر ہے۔ اگر سیڈ بنانے کے لیے استعمال کی جانے والی تصادفی عمل کمزور ہو جائے، تو حملہ آور کا کام ناممکن سے ممکن بن سکتا ہے۔
اس لیے یہ کہانی ایک عام فارم ویئر بگ سے زیادہ سنگین ہے۔
ایک دکھائی دینے والی مسئلہ صارفین کو الجھا سکتا ہے۔ ایک دستخط کی خرابی مالیاتی خطرہ پیدا کر سکتی ہے۔ لیکن ایک سیڈ جنریشن کی خرابی والٹ کی بنیاد تک جاتی ہے۔
اگر والٹ سیڈ کمزور تصادفیت کے تحت تخلیق کیا گیا تھا، تو صارف کو خطرہ ہو سکتا ہے، چاہے وہ اس کے بعد مثالی طریقے سے کام کرتا رہا ہو۔
ہر کولڈکارڈ صارف ایک ہی پوزیشن میں نہیں ہے
اہم تحفظ یہ ہے کہ اس کا مطلب یہ نہیں کہ فی الحال ہر کولڈکارڈ ڈیوائس غیر محفوظ ہے۔
تصدیق نوٹس ظاہر کرتے ہیں کہ متاثرہ سیٹ خاص فارم ویئر اور ڈیوائس ورژن سے منسلک ہے۔ فکسڈ فارم ویئر ریلیزز بھی حوالہ دی گئی ہیں، جن میں Mk4 اور Mk5 ڈیوائسز کے لیے 5.6.0 اور Q ڈیوائسز کے لیے 1.5.0Q شamil ہیں۔
ایک اور اہم فرق یہ ہے: BIP-39 پاس فریز کے ساتھ یا کم از کم 50 ڈائس رولز کے ساتھ پیدا کیے گئے سیڈز حادثہ نوٹس کے تحت خطرے میں نہیں سمجھے جاتے۔
یہ اہم ہے کیونکہ صارفین نے والٹس کو مختلف طریقوں سے بنایا ہو سکتا ہے۔ متاثرہ فارم ویئر کے تحت مکمل طور پر ڈیوائس کے ذریعہ تخلیق کیا گیا سیڈ، ڈائس بنیادی اینٹروپی یا پاس فریز کے ذریعہ مضبوط کیے گئے سیڈ سے مختلف خطرہ پروفائل رکھ سکتا ہے۔
صارفین کے لیے عملی سوال یہ نہیں ہے کہ "کیا میں کو لڈکارڈ رکھتا ہوں؟" بلکہ یہ ہے کہ "میرا سیڈ کون سا ڈیوائس اور فارم ویئر بناتا ہے، اور اس سیڈ کو کیسے تخلیق کیا گیا؟"
یہ بہت زیادہ تنگ اور زیادہ مفید سوال ہے۔
کیوں سینگل-سائنیچر والٹ زیادہ مستحکم ہیں
سروے میں تقریباً 500 سینگل سگنیچر والٹس پر توجہ دی گئی۔
ایک حملہ آور کے نقطہ نظر سے یہ منطقی ہے۔ ایک سِگنیچر سیٹ اپ میں، ایک سیڈ فنڈز کو کنٹرول کرتا ہے۔ اگر اس سیڈ کو حاصل یا اندازہ لگایا جا سکے، تو کوئی دوسرا تصدیقی لیور نہیں ہوتا۔
متی سگ سیٹ اپ ایک مختلف خطرہ ماڈل بناتے ہیں۔ اگر ایک دستخط کنندہ کا سیڈ compromised ہو جائے، تو حملہ آور کو فنڈز منتقل کرنے کے لیے مزید کلیدوں کی ضرورت پڑ سکتی ہے۔ یہ متی سگ کو تمام والٹ فیلئر سے محفوظ نہیں بناتا، لیکن یہ ایک کمزور سیڈ سے نقصان کو کم کر سکتا ہے۔
یہی ایک وجوہ ہے کہ معتبر بٹ کوائن کسٹڈی سیٹ اپز عام طور پر متعدد دستخط، پاس فریزز، ڈائس سے تولید شدہ اینٹروپی، جغرافیائی طور پر الگ بیک اپس، اور مختلف فروشندگان کے ہارڈویئر استعمال کرتے ہیں۔
یہ اس لیے نہیں کہ ہر صارف کو اینٹرپرائز گریڈ کاسٹڈی کی ضرورت ہے۔ یہ اس لیے ہے کہ بٹ کوائن کاسٹڈی کا کوئی صارف سپورٹ ری سیٹ بٹن نہیں ہے۔ ایک بار فنڈز منتقل ہو جانے کے بعد، چین انہیں واپس نہیں کرتا۔
ہارڈویئر والٹس کو اب بھی اعتماد، اپڈیٹس اور تصدیق کی ضرورت ہے
ہارڈویئر والٹس عام طور پر کرپٹو کو محفوظ رکھنے کا سب سے محفوظ طریقہ کہلائے جاتے ہیں، اور بہت سے صارفین کے لیے وہ ایسا بھی ہیں۔ لیکن "ہارڈویئر والٹ" جادو نہیں ہے۔
صارف ڈیوائس فارم ویئر، سپلائی چین، سیڈ جنریشن، بیک اپ کی پابندی، دستخط کے اسکرینز، اپ ڈیٹ کی روایات اور اپنی آپریشنل سیکورٹی پر انحصار کر رہا ہے۔ ایک ہارڈ ویئر والٹ کئی آن لائن خطرات کو کم کرتا ہے، لیکن یہ تمام ممکنہ خرابیوں کو ختم نہیں کرتا۔
فیمر ویئر اپ ڈیٹس سے ایک مشکل تجارتی ٹھیکہ بھی پیدا ہوتا ہے۔
صارفین کو اکثر اس بات کی تجویز کی جاتی ہے کہ وہ اپڈیٹس پر جلدی نہ کریں جب تک کہ وہ نہ جان لیں کہ کیا تبدیل ہو رہا ہے۔ اسی وقت، سیکورٹی فکسز ضروری ہو سکتے ہیں۔ اگر کوئی صارف کبھی اپڈیٹ نہیں کرتا، تو وہ معلوم کمزوریوں کے خلاف مستقل طور پر متاثر رہ سکتا ہے۔ اگر وہ بے ترتیبی سے اپڈیٹ کرتا ہے، تو وہ جعلی فارم ویئر یا فشنگ کے ذریعے نئے خطرات پیدا کر سکتا ہے۔
سب سے محفوظ راستہ بورنگ لیکن اہم ہے: آفیشل ذرائع استعمال کریں، فارم ویئر کی تصدیق کریں، سیکورٹی ایڈوائزرز کو دھیرے سے پڑھیں، اور پانیک کے فیصلوں سے بچیں۔
بٹ کوائن رکھنے والوں کے لیے نتیجہ
یا واقعہ ایک یاد دہانی ہے کہ خود کی ملکیت طاقتور ہے کیونکہ یہ ایکسچینجز اور کسٹوڈینز پر انحصار کو ختم کردیتی ہے۔ لیکن یہ صارف اور ان کے منتخب کردہ ٹولز پر سیکورٹی کا بوجھ بھی ڈالتی ہے۔
کولڈکارڈ صارفین کے لیے فوری کام یہ ہے کہ وہ طے کریں کہ کیا ان کی خفیہ عبارت متاثرہ فارم ویئر پر جنریٹ ہوئی تھی اور کیا اضافی انٹروپی یا پاس فریز کا استعمال کیا گیا تھا۔ جن صارفین کا مطلب خطرے میں ہے، انہیں افسرانہ ہدایات پر عمل کرنا چاہیے اور کسی بھی ویب سائٹ یا ناشناخت شدہ ٹول میں اپنی خفیہ عبارت درج نہ کریں جو کہ زخمی حالت کی جانچ کا دعویٰ کرتا ہو۔
بٹ کوائن کے وسیع مارکیٹ کے لیے، سبق بڑا ہے۔
سب سے زیادہ مضبوط حفاظت صرف ایک ہارڈویئر ڈیوائس کا مالک ہونا نہیں ہے۔ اس کا مطلب یہ ہے کہ آپ جانتے ہوں کہ سیڈ کیسے تخلیق کیا گیا، بیک اپ کہاں محفوظ کیے جاتے ہیں، دستخط کیسے محفوظ ہیں، اور اگر سیٹ اپ کا کوئی ایک حصہ خراب ہو جائے تو کیا ہوتا ہے۔
بٹ کوائن صارفین کو آخری کنٹرول فراہم کرتا ہے۔ یہ کنٹرول قیمتی ہے، لیکن بے رحم ہے۔
یہ مضمون کولڈکارڈ سیکیورٹی مواد اور جولائی 2026 کے والٹ سویپ پر متعلقہ عوامی رپورٹس پر مبنی ہے۔
یہ مضمون نیوز ڈیسک نے لکھا اور سیموئل رے نے ویرایت کی۔