कोल्डकार्ड पीड़ितों के भागने की होड़ के बीच, मारा ने जनता के लिए स्लिपस्ट्रीम खोला।

MARA ने एक्सेस कोड हटा दिए

MARA होल्डिंग्स, जो कि एक नैस्डैक-सूचीबद्ध बिटकॉइन माइनर और आर्टिफिशियल इंटेलिजेंस (एआई) इंफ्रास्ट्रक्चर प्रदाता है और जिसे पहले मैराथन डिजिटल के नाम से जाना जाता था, ने स्लिपस्ट्रीम सेवा बनाई है ताकि लोग बिटकॉइन लेनदेन को सार्वजनिक नेटवर्क पर प्रसारित करने के बजाय सीधे इसके माइनिंग पूल में भेज सकें।

अधिकांश बिटकॉइन लेनदेन मेम्पूल (mempool) नामक एक साझा प्रतीक्षा कक्ष से होकर गुजरते हैं, जहाँ नेटवर्क का हर नोड किसी लेनदेन को ब्लॉक में पुष्टि होने से पहले देख सकता है। स्लिपस्ट्रीम उस प्रतीक्षा कक्ष को छोड़ देता है। एक उपयोगकर्ता एक हस्ताक्षरित लेनदेन सीधे MARA को जमा करता है, और यह तब तक छिपा रहता है जब तक कि MARA उसके साथ एक ब्लॉक नहीं खनन कर लेता है।

3 अगस्त, 2026 को, MARA फाउंडेशन ने X पर अपडेट पोस्ट किया:

"MARA स्लिपस्ट्रीम अब बिना किसी क्लाइंट कोड आवश्यकता के एक बिना अनुमति वाला सार्वजनिक भला के रूप में उपलब्ध है। कृपया प्रतिस्पर्धी दरों में उछाल की स्थिति में लेनदेन के स्लिपस्ट्रीम मेम्पूल में अटके रहने से बचने के लिए फीस के साथ सावधानी और संयम बरतें। निकट भविष्य के लिए, हम इस सेवा के लिए कोई अतिरिक्त शुल्क नहीं ले रहे हैं, लेकिन उपयोगकर्ता उपयुक्त बिटकॉइन लेनदेन शुल्क का भुगतान करने के लिए जिम्मेदार हैं।"

वह आखिरी बात मायने रखती है। MARA अपना कोई अतिरिक्त शुल्क नहीं लगा रहा है। उपयोगकर्ता अभी भी सामान्य बिटकॉइन नेटवर्क शुल्क का भुगतान करते हैं, वे बस लेनदेन को खुले चैनल के बजाय एक निजी चैनल के माध्यम से भेजते हैं।

हार्डवेयर वॉलेट की खामी ने समय को मजबूर किया

यह समय संयोग नहीं है। जुलाई के अंत में, शोधकर्ताओं ने कोल्डकार्ड हार्डवेयर वॉलेट में एक गंभीर खामी का खुलासा किया, जिसका संबंध मार्च 2021 की एक फर्मवेयर कोडिंग त्रुटि से था। डिवाइस के समर्पित हार्डवेयर जनरेटर से यादृच्छिकता लेने के बजाय, प्रभावित Coldcard मॉडल वॉलेट की 24-शब्दों वाली सीड फ़्रेज़ बनाते समय एक कमजोर सॉफ़्टवेयर प्रक्रिया पर निर्भर हो गए। उस गलती ने प्रभावी यादृच्छिकता को पुराने मॉडलों पर अपेक्षित 128 बिट्स से घटाकर लगभग 40 बिट्स और नए मॉडलों पर 72 बिट्स कर दिया। कम संभावित संयोजनों का मतलब है कि पर्याप्त कंप्यूटिंग शक्ति वाला हमलावर सीड का अनुमान लगा सकता है और वॉलेट को अनलॉक कर सकता है।

कमजोर वॉलेट्स को खाली करने की हैकर्स की होड़

हमलावरों ने तेजी से काम किया। शुरुआती गिनती में लगभग 500 पतों से 594 BTC निकाले जाने का पता चला, जो उस समय लगभग 38 मिलियन डॉलर के बराबर था। बाद के अनुमानों में, जैसे-जैसे और अधिक समझौता किए गए वॉलेट सामने आए, कुल राशि बढ़कर 70 मिलियन से 88 मिलियन डॉलर के करीब हो गई। 4 अगस्त तक, यह अनुमान लगाया गया है कि हैकर्स ने 5,200 से अधिक अलग-अलग वॉलेट्स से लगभग 1,816 बीटीसी (BTC) चुराए हैं, जिनकी कीमत लगभग 116 मिलियन डॉलर है।

एक फर्मवेयर पैच नए वॉलेट्स को इस खामी का शिकार होने से रोकता है, लेकिन यह पहले से ही खराब कोड के तहत बनाए गए सीड फ्रेज़ के लिए कुछ नहीं करता है। प्रभावित वर्षों के दौरान जिन्होंने भी कोल्डकार्ड सेटअप किया है, उन्हें अपने कॉइन्स को एक नए वॉलेट में स्थानांतरित करना होगा।

सार्वजनिक रूप से फंड स्थानांतरित करने में अपनी ही समस्या है

मल्टी-सिग्नेचर सेटअप का उपयोग करने वाले लोगों के लिए, जो कोल्डकार्ड उपयोगकर्ताओं के बीच आम है जो कई उपकरणों में फंड का नियंत्रण विभाजित करते हैं, माइग्रेशन में ही जोखिम होता है। एक लेनदेन को सार्वजनिक रूप से प्रसारित करने से वॉलेट की कुंजियाँ और खर्च करने की शर्तें प्रकट हो जाती हैं। एक हमलावर जिसके पास पहले से ही एक मेल खाने वाली कमजोर निजी कुंजी है, वह उस लेनदेन को देख सकता है, उच्च शुल्क के साथ एक प्रतिस्पर्धी लेनदेन बना सकता है, और कतार में कूदने और मूल लेनदेन की पुष्टि होने से पहले धन चुराने के लिए रिप्लेस-बाय-फी (RBF) नामक बिटकॉइन नेटवर्क सुविधा का उपयोग कर सकता है।

MARA का स्लिपस्ट्रीम जोखिम की उस खिड़की को समाप्त कर देता है। क्योंकि लेनदेन कभी भी सार्वजनिक मेम्पूल को छूता नहीं है, एक हमलावर तब तक कुंजियाँ या खर्च का विवरण नहीं देख पाता जब तक कि MARA पहले ही सिक्कों को एक पुष्ट ब्लॉक में माइन नहीं कर लेता।

स्लिपस्ट्रीम संकट से दो साल पहले आया था

MARA ने पहली बार 22 फरवरी, 2024 को स्लिपस्ट्रीम लॉन्च किया, जिसका उद्देश्य उन बड़े या असामान्य लेनदेन की मदद करना था जिन्हें मानक नीति के तहत कई बिटकॉइन नोड्स रिले करने से इनकार कर देते हैं। उस समय सीईओ फ्रेड थील ने इसे प्रोटोकॉल के नियमों के भीतर रहते हुए उन्नत बिटकॉइन उपयोगकर्ताओं के लिए MARA के माइनिंग इंफ्रास्ट्रक्चर को काम में लाने का एक तरीका बताया था। पहले उच्च मांग या रखरखाव के दौरान एक्सेस के लिए क्लाइंट कोड की आवश्यकता होती थी। अब वह आवश्यकता समाप्त हो गई है।

उपयोगकर्ताओं पर अभी भी विश्वास और समय-सीमा का जोखिम बना हुआ है

स्लिपस्ट्रीम अभी भी MARA द्वारा ब्लॉक खोजे जाने पर निर्भर करता है। एक लेनदेन तब तक MARA की निजी कतार में रहता है जब तक पूल एक ब्लॉक नहीं खनन कर लेता, इसलिए समय पूरी तरह से बिटकॉइन की कुल हैशरेट में MARA की हिस्सेदारी पर निर्भर करता है।

प्रकाशन के समय, MARA का पूल बिटकॉइन को शक्ति देने वाली कुल हैशपावर का 5% से अधिक नियंत्रित करता है। MARA उपयोगकर्ताओं से कह रहा है कि वे शुल्क को प्रतिस्पर्धी रखें लेकिन अत्यधिक न रखें, क्योंकि शुल्क में उछाल के दौरान अपनी निजी कतार में फंसा कोई लेनदेन पुष्टि होने से पहले कुछ समय के लिए रुका रह सकता है।

कोल्डकार्ड धारकों के लिए आगे क्या है

विस्तृत बिटकॉइन समुदाय स्लिपस्ट्रीम के सार्वजनिक पुनरारंभ को एक सुरक्षा संकट के लिए एक व्यावहारिक उपकरण के रूप में मान रहा है, न कि इस बात में एक स्थायी बदलाव के रूप में कि अधिकांश लेनदेन कैसे आगे बढ़ना चाहिए। रोजमर्रा के हस्तांतरणों के लिए, सार्वजनिक मेम्पूल ही मानक मार्ग बना हुआ है। लेकिन कोल्डकार्ड उपयोगकर्ताओं के लिए जो अभी भी समझौता किए गए सीड्स पर कॉइन रखे हुए हैं, सुरक्षा शोधकर्ता और वॉलेट डेवलपर स्लिपस्ट्रीम को फंड को बिना हमलावरों को पहले से सूचित किए स्थानांतरित करने के अधिक विश्वसनीय तरीकों में से एक के रूप में इंगित कर रहे हैं।

जैसे-जैसे और संदिग्ध पते सामने आते हैं, नुकसान के अद्यतन अनुमानों पर नज़र रखें, Coldcard से इस बारे में अतिरिक्त मार्गदर्शन कि कौन से फ़र्मवेयर संस्करण और सीरियल रेंज प्रभावित हैं, और क्या अन्य माइनर भी MARA का अनुसरण करते हुए एक समान निजी सबमिशन पथ प्रदान करते हैं।