कनाडाई उपयोगकर्ता कोल्डकार्ड एक्सप्लॉइट हानियों का 25% हिस्सा हैं।

हानियों का भौगोलिक वितरण

कनाडाई बिटकॉइन धारक चल रहे कोल्डकार्ड हार्डवेयर वॉलेट एक्सप्लॉइट से प्रभावित सबसे बड़ी एकल जनसांख्यिकी के रूप में उभरे हैं, जो सभी जिम्मेदार नुकसान का 25% वहन करते हैं। विश्लेषकों का कहना है कि यह भारी क्षेत्रीय एकाग्रता कोल्डकार्ड की मूल कंपनी, कॉइनकाइट के मजबूत स्थानीय प्रभाव के अनुरूप है, जिसका मुख्यालय टोरंटो में है।

चेनएनालिसिस के विज़ुअल ट्रैकिंग के अनुसार, ऑस्ट्रेलिया दूसरा सबसे बुरी तरह प्रभावित देश है, जो कुल नुकसान का 15% से 20% हिस्सा है। इस बीच, संयुक्त राज्य अमेरिका और थाईलैंड भी करीब-करीब इसी स्थिति में हैं, जहाँ नुकसान 10% से 15% की सीमा में है। हालाँकि इस उल्लंघन ने अंग्रेजी बोलने वाले और बिटकॉइन को जल्दी अपनाने वाले अधिकार क्षेत्रों को सबसे बुरी तरह प्रभावित किया, डेटा पश्चिमी यूरोप, लैटिन अमेरिका, और नाइजीरिया और दक्षिण अफ्रीका जैसे प्रमुख अफ्रीकी क्रिप्टो केंद्रों में व्यापक वैश्विक प्रभाव को भी उजागर करता है।

इस घटना से चोरी हुई कुल संपत्ति 116 मिलियन डॉलर तक पहुंच गई है। इस उल्लंघन के एक विश्लेषण में, गैलेक्सी रिसर्च ने मार्च 2021 के एक फर्मवेयर अपडेट—विशेष रूप से एक नए रैंडम नंबर जेनरेटर के कार्यान्वयन—को विफलता का एकमात्र बिंदु के रूप में पहचाना, जिसने इस हमले को सक्षम किया।

गैलेक्सी रिसर्च ने कहा, "समस्या यह थी कि इसे गलत तरीके से जोड़ा गया था और यह इसके बजाय एक कमजोर संस्करण पर डिफ़ॉल्ट हो गया। यह बिना किसी चेतावनी के चुपचाप विफल हो गया। किसी को नहीं पता था कि उनकी प्राइवेट कीज़ कम एंट्रॉपी के साथ बनाई जा रही थीं।" "पांच साल बाद, एक हमलावर ने 41 मिनट में 1200 वॉलेट्स से $70 मिलियन निकाल लिए।"

पांच साल से अधिक समय तक मानक जांचों में बग कैसे छूट गया, यह समझाते हुए, CertiK में वरिष्ठ ब्लॉकचेन जांचकर्ता, नैटली न्यूसन ने खुलासा किया कि मूल कारण एक विशिष्ट कॉन्फ़िगरेशन त्रुटि से उत्पन्न हुआ था: MICROPY_HW_ENABLE_RNG को शून्य पर सेट किया गया था।

न्यूसन ने समझाया, "स्टैटिक गार्ड #ifndef की जाँच के लिए, 0 पर सेट एक मैक्रो फिर भी परिभाषित होता है।" "सुरक्षा जाँच सच्ची के रूप में मूल्यांकन हुई, जिससे #error गार्ड दबा गया और बिल्ड सिस्टम को आगे बढ़ने की अनुमति मिल गई, मानो सब कुछ ठीक से कॉन्फ़िगर किया गया हो।"

घटना प्रतिक्रिया और आपातकालीन निवारण प्रोटोकॉल

सॉफ्टवेयर प्यूडो-रैंडमनेस में इसी तरह की चुपचाप होने वाली विफलताओं को रोकने के लिए, न्यूसन ने निर्माताओं से अपने आर्किटेक्चरल मानकों में सुधार करने का आग्रह किया। उन्होंने जोर देकर कहा, "सबसे मजबूत नियंत्रण प्रोडक्शन से फॉलबैक को हटाना और ठीक एक स्वीकृत RNG प्रदाता रखना है," यह देखते हुए कि एंट्रॉपी अधिग्रहण से सीड जेनरेशन तक का पूरा पथ सख्त रूप से NIST FIPS 140-3 द्वारा परिभाषित सत्यापन सीमा के भीतर होना चाहिए।

सक्रिय स्वचालित जाँच चलने के दौरान आपातकालीन पैच जल्दबाज़ी में जारी करने के परिचालन जोखिम को प्रबंधित करते समय, न्यूसन ने इस बात पर ज़ोर दिया कि घटना प्रतिक्रिया में तकनीकी परीक्षण के साथ-साथ उपयोगकर्ता संचार को भी प्राथमिकता देनी चाहिए।

न्यूसन ने कहा, "प्राथमिकता यह होनी चाहिए कि भेद्यता के दायरे को तुरंत सूचित किया जाए, प्रभावित उपयोगकर्ताओं की पहचान की जाए, और किसी भी फिक्स को जारी करने से पहले उसकी पूरी तरह से जांच करते हुए स्पष्ट शमन मार्गदर्शन प्रदान किया जाए," उन्होंने यह भी कहा कि पारदर्शिता उतनी ही महत्वपूर्ण है जितना कि पैच स्वयं।

जिन गैर-तकनीकी उपयोगकर्ताओं के पास समझौता किए गए सीड वाक्यांश हैं और जिन्हें आपातकालीन फर्मवेयर अपडेट के दौरान अपने डिवाइस के ब्रिक होने का डर है, उनके लिए न्यूसन ने एक सख्त सुधारात्मक प्रोटोकॉल की सिफारिश की: सबसे पहले, उपयोगकर्ताओं को एक विश्वसनीय हार्डवेयर वॉलेट प्राप्त करना चाहिए, ऑफ़लाइन एक नया सीड वाक्यांश उत्पन्न करना चाहिए, और एक छोटे परीक्षण लेनदेन के साथ सेटअप को सत्यापित करना चाहिए। इसके बाद, उन्हें मूल डिवाइस पर कोई भी फर्मवेयर अपडेट करने का प्रयास करने से पहले, सभी शेष फंड नए सत्यापित सेटअप में स्थानांतरित कर देना चाहिए।

न्यूसन ने उपयोगकर्ताओं से यह भी आग्रह किया कि वे जोखिम को कई खातों में विभाजित करने के लिए विभिन्न निर्माताओं के हार्डवेयर वॉलेट का उपयोग करके एकल विफलता बिंदु बनाने से बचें।

स्व-कस्टडी कथाओं के लिए एक निर्णायक मोड़

इस घटना ने स्व-कस्टडी उद्योग और इसके समर्थकों को मानक सुरक्षा मॉडलों के बारे में मौलिक प्रश्नों का सामना करने पर मजबूर कर दिया है। आलोचक निष्क्रिय, दीर्घकालिक होल्डिंग्स के अचानक निकासी की ओर इशारा करते हैं, जो इस बात का सबूत है कि केवल ऑफ़लाइन निष्पादन ही पूर्ण सुरक्षा की गारंटी नहीं देता है।

Human.tech के सह-संस्थापक, नानक निहाल खालसा ने तर्क दिया कि यह घटना हार्डवेयर इकोसिस्टम के भीतर तीसरे पक्ष के जोखिम की निरंतर वास्तविकता को रेखांकित करती है।

"'कीज़ आपके पास नहीं, कॉइन्स आपके पास नहीं' एक महत्वपूर्ण तथ्य को अनदेखा करता है: आप हमेशा भरोसे को आउटसोर्स करते हैं, यहां तक कि स्व-कस्टडी के साथ भी। यह केवल इस बात का एक और सबूत जोड़ता है कि स्व-कस्टडी उस तथ्य को नहीं बदलती है," खालसा ने कहा, और चेतावनी दी कि एआई-सहायक शोषण जैसे उभरते खतरे इन जोखिमों को और बढ़ाएंगे।

CertiK के न्यूसन ने सिंगल-सिग सेटअप को लेकर चिंता जताई, यह देखते हुए कि मुख्यधारा में अपनाने के लिए ऐसे सिस्टम बनाने की आवश्यकता है जो सुचारू रूप से खराब हो सकें, जहाँ एक गलती—चाहे उपयोगकर्ता की हो या विक्रेता की—उपयोगकर्ता की जीवन भर की कमाई को बर्बाद न कर दे।

न्यूसन ने कहा, "सिंगल-सिग सेल्फ-कस्टडी में गलती की कोई गुंजाइश नहीं होती है।" "एक ही डिवाइस पर निर्भर उपयोगकर्ता भौतिक हार्डवेयर, कोड और इसकी सभी निर्भरताओं के साथ-साथ किसी भी समस्या को पकड़ने के लिए QA जांचों पर भी भरोसा कर रहे हैं।"

परिणामस्वरूप, उद्योग की सहमति एक अनिवार्य आधार के रूप में बहु-विक्रेता, बहु-हस्ताक्षर, या थ्रेशोल्ड हस्ताक्षर (एमपीसी) सेटअप की ओर बढ़ रही है।

"हाँ, यह डिफ़ॉल्ट आधार होना चाहिए," न्यूसन ने निष्कर्ष निकाला। "लक्ष्य 'एक ही डिवाइस पर भरोसा करने' से यह सुनिश्चित करने की ओर बढ़ना है कि कोई भी एक समझौता किया हुआ घटक या कर्ता फंड को स्थानांतरित नहीं कर सकता है। व्यवहार में, साइनिंग कुंजियाँ या थ्रेशोल्ड शेयर स्वतंत्र संगठनात्मक और तकनीकी विफलता डोमेन में फैले होने चाहिए, ताकि कोई भी प्रदाता अकेले कुंजी का पुनर्निर्माण या लेनदेन को अधिकृत न कर सके।"