ZachXBT ने $88M के Coldcard हैक का पता लगाने से इनकार किया।

ZachXBT का कहना है कि मदद करने की उनकी "कम जिम्मेदारी" है

क्रिप्टो की कुछ सबसे बड़ी चोरी के पीछे के हैकर्स का भंडाफोड़ करने के लिए जाने जाने वाले, इस कुशल ऑनचेन जांचकर्ता ने X पर पोस्ट किया कि उनकी कोल्डकार्ड घटना की निगरानी या ट्रेस करने की कोई तत्काल योजना नहीं है। उन्होंने कहा कि उनका समय उन इकोसिस्टम पर केंद्रित है जो उनके काम को महत्व देते हैं, और यह भी जोड़ा कि बिटकॉइन मैक्सिस उनके जांच के दाता या समर्थक नहीं हैं, इसलिए उनकी मदद करने की उनकी कम जिम्मेदारी है।

यह टिप्पणी तब आई जब कोल्डकार्ड ब्रीच अपने पांचवें दिन में प्रवेश कर गया और इसका कुल आंकड़ा लगातार बढ़ता जा रहा था। ज़ैकएक्सबीटी ने पहले भी प्रमुख मामलों पर प्रो बोनो (नि:शुल्क) काम किया है, और उनकी पोस्ट से पता चलता है कि बिटकॉइन समुदाय द्वारा उन्हें दिखाई गई सद्भावना और जब चीजें गलत होती हैं तो उनसे की जाने वाली अपेक्षाओं के बीच एक बड़ा अंतर है।

अब तक कोल्डकार्ड ब्रीच

यह एक्सप्लॉइट कनाडाई निर्माता Coinkite द्वारा बनाए गए हार्डवेयर वॉलेट्स में एक फर्मवेयर खामी से जुड़ा हुआ है। इस बग ने 4.0.1 से 4.1.9 संस्करणों पर चल रहे कोल्डकार्ड Mk3 डिवाइसों को प्रभावित किया, जिससे कुछ वॉलेट हार्डवेयर की समर्पित चिप के बजाय सॉफ्टवेयर रैंडम-नंबर जनरेटर के माध्यम से सीड एंट्रॉपी उत्पन्न करने लगे, एक ऐसी खामी जिसने कुछ सीड्स का अनुमान लगाना संभव बना दिया।

पहली लहर 30 जुलाई को आई जब लगभग 500 निष्क्रिय पतों से 30 मिनट से भी कम समय में लगभग 594 बीटीसी (BTC), जो उस समय लगभग 38 मिलियन डॉलर के बराबर था, निकाला गया। कॉइनकाइट ने दो दिनों के भीतर पैच किया हुआ फर्मवेयर जारी किया, लेकिन नुकसान फैलता रहा और 2 अगस्त तक, गैलेक्सी रिसर्च ने तीन अलग-अलग हमलों की लहरों में 4,585 पतों से निकाले गए कुल 1,367 BTC का पता लगाया, जिसकी कीमत 88.6 मिलियन डॉलर थी।

चोरियों की रफ्तार और सटीकता ने इस अटकल को हवा दी कि स्वचालित उपकरणों, संभवतः एआई-सहायित, ने हमलावर को प्रत्येक हमले के कुछ ही मिनटों के भीतर कमजोर पतों की पहचान करने और उन्हें खाली करने में मदद की। चोरी तब भी बढ़ती रही, जब चोरी किए गए धन से एक्सचेंज में जमा राशि में उछाल आया और मामले से जुड़े पुराने, पहले निष्क्रिय बीटीसी फिर से हिलने लगे।

डेटा प्रतिधारण से विरोध और बढ़ गया

इसके बाद की परिस्थितियों से निपटने के तरीके को लेकर कॉइनकाइट का अपना ही विवाद खड़ा हो गया है, क्योंकि कंपनी ने अपने स्टोर और न्यूज़लेटर रिकॉर्ड से हर उस ग्राहक के पते पर ईमेल किया, जिन तक वह पहुँच सकती थी, जिनमें से कुछ 2019 के थे, ताकि उन्हें बग के बारे में चेतावनी दी जा सके।

यह सीईओ रोडोल्फो नोवाक के उन शुरुआती दावों का खंडन करता है कि कॉइनकाइट खरीदारी के 90 दिनों बाद ग्राहक डेटा को मिटा देता है और गुमनाम खरीदारी के विकल्प प्रदान करता है। बाद में कॉइनकाइट ने स्वीकार किया कि वह खरीदारी के ईमेल पतों को अनिश्चित काल तक रखता है और इस बात को स्वीकार किया कि उसके पास उस डेटा के लिए कोई हटाने की नीति नहीं है, यह खुलासा हैक से अलग, अपनी ही आलोचना की लहर लेकर आया।

नोवाक ने कंपनी के समग्र सुरक्षा रिकॉर्ड का बचाव करते हुए कहा कि प्रतिस्पर्धियों के साथ भी नियमित रूप से डेटा उल्लंघन होता है और कोइनकाइट इस मामले को बहुत गंभीरता से लेता है। फिर भी, इस घटना ने पहले ही स्व-कस्टडी (self-custody) में विश्वास को कम करना शुरू कर दिया है और अधिक सतर्क निवेशकों को अपनी कुंजियाँ स्वयं प्रबंधित करने के बजाय एक्सचेंज-ट्रेडेड फंड (exchange-traded funds) की ओर धकेल सकता है।

यह सिलसिला चोरी से आगे ऑनचेन ड्रामा तक भी फैल गया है। हैकर को लक्षित करते हुए एक बेतुकी बिटकॉइन लॉन्ड्रिंग की पेशकश सीधे बिटकॉइन के ब्लॉकचेन पर पोस्ट की गई, जिससे यह मामला सोशल मीडिया और ऑनचेन डेटा पर वास्तविक समय में चलने वाले एक सार्वजनिक तमाशे में बदल गया।

ZachXBT जैसे दिग्गजों के पीछे हटने के साथ, चोरी हुए 1,367 BTC का पता लगाने का बोझ अब Galaxy Research जैसी फर्मों पर और भी भारी पड़ता है, जो हमलावर की वॉलेट गतिविधि के विकसित होने के साथ-साथ लहर-दर-लहर अपडेट प्रकाशित कर रही है। रिपोर्टें सामने आई हैं कि Coldcard Mk3 डिवाइसों को प्रभावित करने वाला एंट्रॉपी बग मार्च 2021 के एक फर्मवेयर बिल्ड से है, जिसका मतलब है कि चार साल से अधिक समय में उस संस्करण पर उत्पन्न किया गया कोई भी वॉलेट सीड तब तक जोखिम में हो सकता है जब तक कि मालिक पैच किए गए फर्मवेयर पर एक नए सीड का उपयोग नहीं करते।