कोल्डकार्ड हैक अभी-अभी $116 मिलियन तक पहुँच गया है। चौथी लहर अभी भी निकासी कर रही है।

चार दिनों में चार लहरें

जो एक अनुमानित 30 मिलियन डॉलर की चोरी के रूप में शुरू हुआ था, वह एक सप्ताह से भी कम समय में तीन गुना से भी अधिक हो गया है। Bitcoin.com न्यूज़ ने इस एक्सप्लॉइट की पहली रिपोर्ट तब दी जब यह सामने आया, और हमलावरों द्वारा Coldcard-जनित वॉलेट से निकाले गए प्रत्येक नए लेनदेन के साथ यह आंकड़ा बढ़ता गया: शुरुआती धमाके में पहले दस मिनट में 30 मिलियन डॉलर की निकासी से लेकर, दूसरी लहर के बाद लगभग 75 मिलियन डॉलर, और चोरी 4,500 पतों तक फैलने पर यह राशि लगभग 89 मिलियन डॉलर तक पहुँच गई।

अब यह आंकड़ा 5,200 से अधिक व्यक्तिगत पतों से निकाले गए 1,816 बीटीसी के साथ लगभग 116 मिलियन डॉलर पर पहुंच गया है। गैलेक्सी रिसर्च, जिसने इस एक्सप्लॉइट को वास्तविक समय में ट्रैक किया है, ने 3 अगस्त को एक चौथी लहर की पुष्टि की, जिसने अकेले ही पहले के आंकड़ों में सुधार के बाद लगभग 449 बीटीसी को स्थानांतरित किया।

कंपनी के प्रमुख एलेक्स थॉर्न ने नवीनतम गतिविधि को चोरी की एक संभावित "चौथी संगठित लहर" के रूप में बताया, और घटना से पहले की नियंत्रण विंडो के 0.3 ट्रांसफर प्रति ब्लॉक की तुलना में 13.8 ट्रांसफर प्रति ब्लॉक की स्वीप दर की ओर इशारा किया, जो सामान्य आधारभूत गतिविधि से लगभग 45 गुना अधिक है।

थॉर्न के विश्लेषण से पता चलता है कि यह पैटर्न एकल हमलावर द्वारा व्यवस्थित रूप से अपने संचालन का विस्तार करने के बजाय, कमजोर की-स्पेस (key space) में समानांतर रूप से दौड़ रहे कई समूहों की ओर इशारा करता है, यह एक ऐसा विवरण है जो मायने रखता है क्योंकि इसका मतलब है कि चोरी उछालों में जारी रह सकती है क्योंकि अलग-अलग कर्ता स्वतंत्र रूप से यह पता लगाते हैं कि कौन से पते अभी भी असुरक्षित हैं।

रैंडम नंबर दोष क्यों मायने रखता है

इसका मूल कारण इस सप्ताह से भी पहले का है, क्योंकि 2021 में कुछ Coldcard डिवाइसों के लिए आए एक फर्मवेयर अपडेट ने वॉलेट की सीड-जनरेशन प्रक्रिया को एक मजबूत हार्डवेयर-आधारित यादृच्छिकता स्रोत से एक सॉफ्टवेयर पैटर्न में बदल दिया, जो पूर्वानुमेय साबित हुआ, जिसका अर्थ है कि प्रभावित फर्मवेयर पर बनाए गए किसी भी वॉलेट सीड का, सैद्धांतिक रूप से, ब्रूट-फोर्स करने के बजाय अनुमान लगाया जा सकता था।

शुरुआती भगदड़ के दौरान, ZachXBT ने चोरी हुए धन का पता लगाने में मदद करने से इनकार कर दिया, जिससे पीड़ित और स्वतंत्र शोधकर्ता उन हमलावरों से आगे निकलने की दौड़ में रह गए जो पहले से ही यह समझ चुके थे कि कौन से पते कमजोर थे।

उसी शुरुआती बढ़त की वजह से सबसे बड़े वॉलेट्स को पहले निशाना बनाया गया। हमलावरों ने एक्सप्लॉइट के सक्रिय होने के कुछ ही मिनटों के भीतर सबसे बड़ी शेष राशि को निशाना बनाया, और लगभग 25 मिनट के भीतर ही उन्होंने एकल-हस्ताक्षर वाले वॉलेट्स से सैकड़ों बिटकॉइन निकाल लिए, इससे पहले कि अधिकांश धारकों को यह पता चलता कि उनके फंड खतरे में थे।

सभी समझौता किए गए पते मार्च 2021 में भेजे गए दोषपूर्ण फर्मवेयर के बाद उत्पन्न वॉलेट सीड्स से जुड़ते हैं, जिसका अर्थ है कि यह जोखिम की खिड़की पांच साल से भी अधिक समय से चुपचाप मौजूद थी, जब तक कि इस महीने किसी ने इसे खोजकर शोषण करना शुरू नहीं कर दिया।

कोइनकाइट की प्रतिक्रिया और आगे क्या होगा

कोल्डकार्ड के पीछे की कनाडाई निर्माता कंपनी, कोइनकाइट ने सीधे तौर पर क्षति के पैमाने को स्वीकार किया है। चल रही चोरी के संबंध में एक बयान में, कंपनी ने कहा "पिछले तीन दिन इस कंपनी के इतिहास के कुछ सबसे कठिन दिन रहे हैं, और इसे पढ़ने वाले बहुत से लोगों के लिए, यह इससे भी कहीं बदतर रहा है," और उन्होंने जोरदार सलाह दी कि कोई भी व्यक्ति जिसने Coldcard डिवाइस पर वॉलेट सीड बनाया है, वह जल्द से जल्द अपने फंड को एक नए, सुरक्षित रूप से बनाए गए वॉलेट में स्थानांतरित कर दे।

इस प्रक्रिया से गुजर रहे पीड़ितों के पास अनपुष्ट ट्रांसफर पर रिप्लेस-बाय-फी (Replace-By-Fee) लेनदेन का प्रयास करने के लिए एक संकीर्ण अवसर है, हालांकि यह विकल्प तभी मदद करता है जब हमलावर द्वारा की गई स्वीप (sweep) पहले से ऑनचेन (onchain) पर पुष्टि न हुई हो।

अंत में, एंथनी पॉम्पलियानो जैसे उद्योग के लोगों ने इस बात का खंडन किया है कि हैक बिटकॉइन पर ही हुआ था, और उन्होंने तर्क दिया है कि खामी BTC प्रोटोकॉल के बजाय सीधे Coldcard के फर्मवेयर में थी।