कोल्डकार्ड हैकर को ऑनचेन मिला बेधड़क बिटकॉइन लॉन्ड्रिंग का ऑफर

ये नए विकास कुछ ही दिनों बाद सामने आए हैं जब कॉइनकाइट ने खुलासा किया कि एक लंबे समय से निष्क्रिय फर्मवेयर खामी ने हमलावरों को कमजोर तरीके से बनाए गए वॉलेट सीड्स को पुनः प्राप्त करने और कमजोर सिंगल-साइनेचर वॉलेट्स को व्यवस्थित रूप से खाली करने की अनुमति दी थी। कोल्डकार्ड स्वीप वॉच डैशबोर्ड द्वारा एकत्र किए गए आँकड़ों के अनुसार, अनुमानित कुल राशि अब लगभग 1,359.8820 BTC तक बढ़ गई है, और पहचाने गए अधिकांश सिक्के हमलावर के नियंत्रण वाले कुछ ही पतों में बने हुए हैं।

OP_RETURN बिटकॉइन ब्लॉकचेन को एक सार्वजनिक बुलेटिन बोर्ड में बदल देता है

1 अगस्त को, हमलावर के एक होल्डिंग एड्रेस को एक असामान्य लेनदेन प्राप्त हुआ जिसमें एक OP_RETURN संदेश शामिल था। OP_RETURN एक विशेष बिटकॉइन लेनदेन आउटपुट है जो खर्च करने योग्य धनराशि को स्थानांतरित करने के बजाय ब्लॉकचेन पर स्थायी टेक्स्ट संग्रहीत करता है।

संदेश में खुले तौर पर बिटकॉइन को "साफ" करने, नो-योर-कस्टमर (केवाईसी) सहायता प्रदान करने, और 10% शुल्क के बदले में चोरी हुए सिक्कों को नकद में बदलने की सेवाओं का विज्ञापन किया गया था, साथ ही टेलीग्राम संपर्क भी दिया गया था। यह कोई तकनीकी संदेश या पीड़ित की अपील नहीं थी। इसके बजाय, यह सीधे तौर पर उस व्यक्ति को लुभाने वाला संदेश प्रतीत होता था जो चोरी हुए बिटकॉइन को नियंत्रित करता है। कुछ का सुझाव है कि यह कानून प्रवर्तन हो सकता है या कोई जाल बिछा रहा हो।

हमले के बाद अधिकांश चोरी हुए बिटकॉइन खुलेआम मौजूद

हालांकि चोरी में 1,300 BTC से अधिक शामिल थे, ब्लॉकचेन शोधकर्ताओं ने देखा है कि अधिकांश बिटकॉइन काफी हद तक अछूता ही रहा है। हमलावर ने 30 जुलाई से शुरू हुई कई समन्वित लहरों के दौरान कमजोर वॉलेट्स को खाली करने के बाद, धन को अपेक्षाकृत कुछ ही पतों में समेकित कर दिया।

यह दृश्यता मामले के सबसे असामान्य पहलुओं में से एक बन गई है। बिटकॉइन का पारदर्शी खाता किसी को भी उच्च-मूल्य वाले पतों की निगरानी करने की अनुमति देता है, जिसका अर्थ है कि पीड़ित, जांचकर्ता, शोधकर्ता और अवसरवादी भी सभी वास्तविक समय में एक ही लेनदेन को होते हुए देख सकते हैं। OP_RETURN संदेश यह प्रदर्शित करते हैं कि ब्लॉकचेन प्रमुख घटनाओं के दौरान एक स्थायी सार्वजनिक संदेश प्रणाली के रूप में भी काम कर सकता है।

अतीत में हैक हो चुकी कई परियोजनाएँ हैकरों के साथ इनाम और मांगों पर चर्चा करने के लिए OP_RETURN संदेशों का उपयोग करती हैं।

आपातकालीन फर्मवेयर सुधार से नई परेशानियाँ पैदा हुईं

जैसे ही उपयोगकर्ता अपने शेष धन को सुरक्षित करने के लिए दौड़े, एक और समस्या सामने आई।

कोइनकाइट ने आपातकालीन फर्मवेयर अपडेट जारी किए जो मूल भेद्यता का कारण बनी कमजोर यादृच्छिक संख्या उत्पत्ति को खत्म करने के लिए डिज़ाइन किए गए थे। कंपनी ने स्पष्ट किया कि नया फर्मवेयर केवल भविष्य में बनाए गए वॉलेट को ही सुरक्षित करता है और पहले से ही भेद्य संस्करणों पर उत्पन्न किए गए सीड्स की मरम्मत नहीं करता है।

रिलीज़ के तुरंत बाद, उपयोगकर्ताओं ने रिपोर्ट करना शुरू कर दिया कि अपडेट इंस्टॉल करने के बाद कुछ डिवाइस एरर स्क्रीन पर अटक गए, बूट करने में विफल रहे या पूरी तरह से बेकार हो गए। रिपोर्टों में मुख्य रूप से Mk4 और Q डिवाइस शामिल हैं, हालांकि कुछ Mk3 उपयोगकर्ताओं ने भी इसी तरह की समस्याओं का वर्णन किया है। 2 अगस्त तक, कॉइनकाइट ने सार्वजनिक रूप से किसी बड़े फर्मवेयर दोष की पुष्टि नहीं की थी, लेकिन कई उपयोगकर्ताओं की रिपोर्टों ने पूरे बिटकॉइन समुदाय में बढ़ती चिंता को हवा दी है।

सुरक्षा विशेषज्ञों ने पहले फंड स्थानांतरित करने पर जोर दिया

अनुभवी बिटकॉइन सुरक्षा अधिवक्ताओं के बीच प्रचलित सबसे मजबूत संदेशों में से एक यह है कि संभावित रूप से कमजोर वॉलेट के मालिकों को, जब भी संभव हो, फर्मवेयर अपडेट करने से पहले अपने फंड को स्थानांतरित कर लेना चाहिए।

यह सिफारिश आपातकालीन पैच की एक महत्वपूर्ण सीमा को दर्शाती है। सॉफ्टवेयर अपडेट करना उस कमजोर सीड को मजबूत नहीं कर सकता जो सालों पहले ही बना दिया गया था। यदि मूल वॉलेट अपर्याप्त यादृच्छिकता (randomness) के साथ बनाया गया था, तो इसका एकमात्र स्थायी समाधान है कि फंड को मजबूत एंट्रॉपी (entropy) के साथ बनाए गए एक पूरी तरह से नए वॉलेट में स्थानांतरित किया जाए।

कई उपयोगकर्ताओं के लिए, सत्यापित सीड बैकअप हार्डवेयर की विफलता और स्थायी हानि के बीच का अंतर बन गए हैं, क्योंकि एक क्षतिग्रस्त डिवाइस को अक्सर बदला जा सकता है जबकि रिकवरी वाक्यांश फंड तक पहुंच बहाल कर देता है।

विश्वास का अब तक का सबसे बड़ा परीक्षण

चੱਲ रही Coldcard घटना एक एकल फर्मवेयर खामी से आगे बढ़कर हार्डवेयर वॉलेट सुरक्षा में विश्वास का एक व्यापक परीक्षण बन गई है। एक ऐतिहासिक एंट्रॉपी बग, बिटकॉइन के ब्लॉकचेन पर सीधे एम्बेड की गई सार्वजनिक लॉन्ड्रिंग की अपील और उन रिपोर्टों का संयोजन कि आपातकालीन अपडेट कुछ डिवाइसों को निष्क्रिय कर सकते हैं, ने वॉलेट डिज़ाइन, सीड जेनरेशन और दीर्घकालिक स्व-कस्टडी प्रथाओं पर बहस को तीव्र कर दिया है।

जबकि ज्ञात हमलावर के पतों की निगरानी जारी है, उपयोगकर्ता अब दो घटनाक्रमों पर भी उतनी ही बारीकी से नज़र रख रहे हैं: क्या चोरी किया गया बिटकॉइन अंततः स्थानांतरित होता है और क्या कोइनकाइट फर्मवेयर विफलताओं का सामना कर रहे ग्राहकों के लिए अतिरिक्त मार्गदर्शन जारी करता है।