बिटबॉक्स ने एक फ़र्मवेयर अपडेट जारी किया है जिसमें दो गंभीर कमजोरियों को ठीक किया गया है, जो हार्डवेयर वॉलेट उपयोगकर्ताओं को दुर्भावनापूर्ण फ़र्मवेयर के सामने उजागर कर सकती थीं या बिटकॉइन को एक अनपेक्षित पते पर लॉक कर सकती थीं।

बिटबॉक्स ने सोमवार को एक सुरक्षा खुलासे में कहा कि पहली भेद्यता में BitBox02 और BitBox02 Nova के अनकंफिगर किए गए मल्टी संस्करणों को प्रभावित करने वाला मेमोरी करप्शन शामिल था, जबकि दूसरी खामी वॉलेट निर्माता के साइलेंट पेमेंट्स कार्यान्वयन को प्रभावित कर रही थी।

कंपनी ने कहा कि उसे इस बात का कोई सबूत नहीं मिला है कि किसी भी भेद्यता का फायदा उठाया गया था और उसे इन खामियों के कारण उपयोगकर्ताओं के धन के नुकसान की कोई रिपोर्ट नहीं मिली है।

बिटबॉक्स भेद्यता से दुर्भावनापूर्ण फ़र्मवेयर की अनुमति मिल सकती थी

पहली भेद्यता के लिए, बिटबॉक्स ने कहा कि एक प्रभावित वॉलेट से जुड़ा एक दुर्भावनापूर्ण होस्ट डिवाइस को वॉलेट के साथ कॉन्फ़िगर किए जाने से पहले मनमाने कोड को निष्पादित करने के लिए मेमोरी करप्शन का फायदा उठा सकता था।

कंपनी के अनुसार, सफल शोषण संभावित रूप से होस्ट को दुर्भावनापूर्ण फ़र्मवेयर स्थापित करने की अनुमति दे सकता है, जिससे धन को बाद में समझौता किया जा सके।

यह एक्सपोजर BitBox02 और BitBox02 Nova के मल्टी संस्करणों तक सीमित था जिन्हें अभी तक सेट नहीं किया गया था। बिटबॉक्स ने भेद्यता को गंभीर के रूप में वर्गीकृत किया क्योंकि मनमाना कोड निष्पादन हार्डवेयर वॉलेट पर अनधिकृत सॉफ़्टवेयर को चलाने से रोकने के लिए डिज़ाइन की गई सुरक्षा को कमजोर कर सकता है।

फ़र्मवेयर नियंत्रित करता है कि हार्डवेयर वॉलेट क्रिप्टोग्राफिक संचालन को कैसे संभालता है, लेनदेन को सत्यापित करता है और कनेक्टेड कंप्यूटर के साथ संचार करता है। बिटबॉक्स ने कहा कि यदि कोई हमलावर इस खामी का उपयोग करके प्रभावित डिवाइस पर दुर्भावनापूर्ण फ़र्मवेयर स्थापित करने में कामयाब होता है, तो भेद्यता धन को जोखिम में डाल सकती है।

हाल के महीनों में अन्य वॉलेट निर्माताओं में भी इसी तरह की हार्डवेयर और फ़र्मवेयर कमजोरियां सामने आई हैं। जून में, crypto.news ने लेजर डोनजोन शोधकर्ताओं द्वारा प्रयोगशाला परीक्षण के दौरान लेजर फॉल्ट इंजेक्शन हमले को अंजाम देने के बाद ट्रेज़ोर सेफ 7 उपकरणों द्वारा उपयोग किए गए TROPIC01 सिक्योर एलिमेंट में एक खामी की सूचना दी थी।

ट्रेज़ोर ने कहा कि उसका सेफ 7 सुरक्षित रहा क्योंकि डिवाइस तीन स्वतंत्र हार्डवेयर सुरक्षा परतों का उपयोग करता है। कंपनी के अनुसार, केवल TROPIC01 को समझौता करने से उपयोगकर्ता के पिन, वॉलेट या धन तक पहुंच नहीं मिली।

ट्रॉपिक स्क्वायर ने स्वतंत्र परीक्षण के लिए लेजर डोनजोन को चिप प्रदान की थी, जिसमें शोधकर्ताओं ने जनवरी में कंपनी को सूचित किया था कि उन्होंने प्रयोगशाला हमले का उपयोग करके कुछ चिप रहस्यों को निकाला था और फ़र्मवेयर हस्ताक्षर जांच को दरकिनार कर दिया था।

जुलाई में घोषित एक अन्य हार्डवेयर हमले ने लेजर डोनजोन शोधकर्ताओं को अपने सिक्योर एलिमेंट के खिलाफ लक्षित लेजर पल्स का उपयोग करके टैंजम वॉलेट कार्ड पर पासवर्ड रीसेट करने की अनुमति दी।

लेजर डोनजोन ने कहा कि हमले के लिए कार्ड का भौतिक कब्ज़ा, आक्रामक तैयारी, विशेषज्ञ ज्ञान और लगभग 250,000 डॉलर के प्रयोगशाला उपकरण की आवश्यकता थी। टैंजम ने ग्राहकों के लिए रोजमर्रा के जोखिम को “वास्तव में नगण्य” बताया, जबकि उपयोगकर्ताओं को अपने वॉलेट कार्ड को शारीरिक रूप से सुरक्षित रखने की सलाह दी।

साइलेंट पेमेंट्स खामी से बिटकॉइन लॉक हो सकता था

बिटबॉक्स की दूसरी गंभीर भेद्यता ने साइलेंट पेमेंट्स को प्रभावित किया, जो एक बिटकॉइन गोपनीयता सुविधा है जो उपयोगकर्ताओं को प्रत्येक लेनदेन के लिए एक नया पता प्रकाशित किए बिना भुगतान प्राप्त करने की अनुमति देती है।

बिटबॉक्स के अनुसार, एक दुर्भावनापूर्ण होस्ट बिटकॉइन को एक अनपेक्षित पते पर लॉक करने के लिए कार्यान्वयन का फायदा उठा सकता था।

कंपनी ने कहा कि भेद्यता के माध्यम से सीधी चोरी संभव नहीं थी। इसके बजाय एक हमलावर पीड़ित को सहयोग के बिना बिटकॉइन को पुनर्प्राप्त करने में असमर्थ छोड़ सकता था और सिक्कों को अनलॉक करने में मदद के बदले में फिरौती की मांग कर सकता था।

ऐसा हमला प्रभावित बिटकॉइन का नियंत्रण स्वचालित रूप से दुर्भावनापूर्ण होस्ट को हस्तांतरित नहीं करेगा, लेकिन बिटबॉक्स ने कहा कि भेद्यता अभी भी धन को उनके मालिक के लिए दुर्गम बनाकर जोखिम में डाल सकती है।

कंपनी ने अपने नवीनतम फ़र्मवेयर अपडेट के माध्यम से समस्या का समाधान किया और कहा कि उसे साइलेंट पेमेंट्स खामी के शोषण की कोई रिपोर्ट नहीं मिली है।

बिटबॉक्स ने इस साल फ़र्मवेयर अपडेट के माध्यम से अन्य सुरक्षा मुद्दों से निपटा है। जुलाई में इसके ओशिनन अपडेट में कई सुरक्षा सुधार शामिल थे, जिसमें BitBox02 फ़र्मवेयर और बूटलोडर को प्रभावित करने वाले बफर आउट-ऑफ-बाउंड्स राइट के लिए एक फिक्स भी शामिल था।

उस समय कंपनी के खुलासे के अनुसार, एक USB अनुरोध ने गंतव्य बफर के आकार के खिलाफ ठीक से जांच किए बिना एक लंबाई मान स्वीकार किया, जिससे एक दुर्भावनापूर्ण होस्ट के लिए आउट-ऑफ-बाउंड्स राइट को ट्रिगर करने का एक संभावित मार्ग बन गया।

बिटबॉक्स ने कहा कि उस भेद्यता के लिए कोई काम करने वाला शोषण प्रदर्शित नहीं किया गया था, हालांकि नियंत्रण प्रवाह पर एक प्रभाव को पूरी तरह से खारिज नहीं किया जा सकता था।

जनवरी की शुरुआत में, कंपनी ने अपने बग बाउंटी कार्यक्रम के माध्यम से रिपोर्ट की गई दो BitBox02 Nova कमजोरियों को भी ठीक किया। बिटबॉक्स ने इन मुद्दों को मामूली और मध्यम के रूप में वर्गीकृत किया क्योंकि शोषण के लिए उन्नत भौतिक पहुंच की आवश्यकता थी और यह केवल विशिष्ट परिस्थितियों में ही लागू होता था।

कोल्डकार्ड फ़र्मवेयर खामी ने वॉलेट सुरक्षा को जांच के दायरे में ला दिया है

बिटबॉक्स का अपडेट एक अलग कोल्डकार्ड फ़र्मवेयर खामी के खुलासे के बाद हुआ है जो 112 मिलियन डॉलर से अधिक के चोरी हुए बिटकॉइन से जुड़ा है, यह भेद्यता पांच साल से अधिक समय तक अनभिज्ञ रही।

गैलेक्सी रिसर्च ने शुक्रवार को कहा कि कोल्डकार्ड से संबंधित नुकसान 112 मिलियन डॉलर से अधिक हो गया है, जिसमें 8,600 से अधिक पतों से लगभग 1,778.6 BTC निकाला गया है।

भेद्यता को मार्च 2021 में पेश किए गए एक फ़र्मवेयर परिवर्तन से जोड़ा गया था जिसने वॉलेट सीड उत्पन्न करने के लिए उपयोग की जाने वाली यादृच्छिकता को प्रभावित किया था। घटना पर शोध के अनुसार, हमलावर प्रभावित सीड को क्रूर-बल से प्राप्त कर सकते थे और हार्डवेयर वॉलेट तक भौतिक पहुंच प्राप्त किए बिना संबंधित निजी कुंजियों को प्राप्त कर सकते थे।

एक वॉलेट सीड का उपयोग उसकी क्रिप्टोक्यूरेंसी को नियंत्रित करने वाली निजी कुंजियों को प्राप्त करने के लिए किया जाता है। सीड जनरेशन के दौरान उपयोग की जाने वाली यादृच्छिकता को कम करने वाली कमजोरियां इसलिए संभावित संयोजनों की संख्या को कम कर सकती हैं जिन्हें एक हमलावर को परीक्षण करने की आवश्यकता होती है।

उन उपयोगकर्ताओं के लिए जिनके वॉलेट प्रभावित कोल्डकार्ड फ़र्मवेयर के साथ बनाए गए थे, डिवाइस को अपडेट करने से अकेले ही एक सीड की मरम्मत नहीं होगी जिसे पहले से ही कमजोर यादृच्छिकता के साथ उत्पन्न किया गया था। समझौता किए गए सीड से जुड़े एक्सपोजर को हटाने के लिए नए उत्पन्न सुरक्षित सीड से बनाए गए वॉलेट में धन को स्थानांतरित करना आवश्यक होगा।

यह घटना एक हार्डवेयर वॉलेट लाइन को प्रभावित करती है जिसे 2026 की शुरुआत में कई वर्षों में अपना पहला प्रमुख हार्डवेयर संशोधन प्राप्त हुआ था। कॉइनकाइट ने मार्च में कोल्डकार्ड MK5 लॉन्च किया था, यह डिवाइस 2022 में MK4 के आने के बाद से अपनी प्रमुख MK श्रृंखला में पहला हार्डवेयर अपडेट बन गया।

MK5 ने पिछले मॉडल की दो अलग-अलग विक्रेताओं से चिप्स का उपयोग करके दोहरी सुरक्षित-तत्व वास्तुकला को बनाए रखा और निजी कुंजियों को एयर-गैप रखा। इसके मुख्य परिवर्तनों में 1.54 इंच का गोरिल्ला ग्लास डिस्प्ले, फिर से डिज़ाइन किए गए भौतिक बटन और बेहतर NFC कार्य शामिल थे।

कॉइनकाइट ने उस समय कहा था कि पांच प्रमुख MK5 अपग्रेड उपयोगिता पर केंद्रित थे जबकि पिछले मॉडल द्वारा उपयोग की जाने वाली सुरक्षा वास्तुकला को बनाए रखा गया था।

ग्राहक डेटा लीक से अलग फ़िशिंग जोखिम पैदा हुए हैं

हार्डवेयर वॉलेट मालिकों को उपकरणों के बाहर भी सुरक्षा घटनाओं का सामना करना पड़ा है, जिसमें ट्रेज़ोर और सेफपाल से जुड़े हाल के उल्लंघनों ने 53,000 से अधिक लोगों की ग्राहक और ऑर्डर जानकारी को उजागर किया है।

ट्रेज़ोर ने 13,689 ग्राहकों की जानकारी के खुलासे का श्रेय शिपिंग प्रदाता शिपमोंक को दिया। सेफपाल ने अलग से कहा कि एक ऑर्डर-ट्रैकिंग प्लग-इन में एक प्रमाणीकरण खामी ने 39,798 ग्राहकों से संबंधित विवरणों को उजागर किया।

संबंधित खुलासों के अनुसार, किसी भी घटना ने कंपनियों के हार्डवेयर वॉलेट, निजी कुंजियों या रिकवरी वाक्यांशों से समझौता नहीं किया। दोनों कंपनियों ने चेतावनी दी कि उजागर व्यक्तिगत और ऑर्डर जानकारी का उपयोग लक्षित फ़िशिंग और प्रतिरूपण प्रयासों के लिए किया जा सकता है।

ऐसी जानकारी हमलावरों को वॉलेट-संबंधी घोटालों को अधिक विश्वसनीय बनाने के लिए आवश्यक विवरण दे सकती है। फरवरी की शुरुआत में, हमलावरों ने ट्रेज़ोर और लेजर का प्रतिरूपण करते हुए भौतिक पत्र भेजे और प्राप्तकर्ताओं को कथित प्रमाणीकरण या लेनदेन जांच को पूरा करने का निर्देश दिया।

भौतिक फ़िशिंग अभियान में आधिकारिक दिखने वाले पत्राचार का उपयोग किया गया जिसमें QR कोड थे जो प्राप्तकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर निर्देशित करते थे। कुछ पत्रों ने यह दावा करके तात्कालिकता पैदा की कि उपयोगकर्ताओं को अपने वॉलेट तक पहुंचने में समस्याओं से बचने के लिए एक प्रमाणीकरण प्रक्रिया पूरी करनी होगी।

वेबसाइटों ने पीड़ितों से स्वामित्व को सत्यापित करने के बहाने 12-, 20- या 24-शब्दों के रिकवरी वाक्यांश दर्ज करने के लिए कहा। एक बार जमा होने के बाद, वाक्यांश हमलावरों को प्रेषित किए गए, जिससे उन्हें वॉलेट को फिर से बनाने और संबंधित धन पर नियंत्रण प्राप्त करने की अनुमति मिली।

ट्रेज़ोर और लेजर ने कहा कि वैध हार्डवेयर वॉलेट प्रदाता ग्राहकों से वेबसाइटों या अन्य बाहरी चैनलों के माध्यम से रिकवरी वाक्यांश दर्ज करने, स्कैन करने, अपलोड करने या साझा करने के लिए नहीं कहते हैं। कंपनियों के अनुसार, रिकवरी वाक्यांशों को वॉलेट को पुनर्स्थापित करते समय सीधे हार्डवेयर वॉलेट पर ही दर्ज किया जाना चाहिए।