कोल्डकार्ड हार्डवेयर वॉलेट एक्सप्लॉइट के बाद OKX ने अपने केंद्रीकृत एक्सचेंज में रिकॉर्ड प्रवाह (inflows) दर्ज किए हैं, क्योंकि कंपनी का कहना है कि बिटकॉइन वॉलेट सुरक्षा से जुड़ी सबसे बड़ी ज्ञात घटनाओं में से एक के बाद उपयोगकर्ता तेजी से प्रबंधित कस्टडी (managed custody) को प्राथमिकता दे रहे हैं।

द ब्लॉक के अनुसार, OKX के मुख्य अनुपालन अधिकारी (Chief Compliance Officer) जोनाथन ब्रॉकमेयर ने कहा कि कोल्डकार्ड हमलों के मद्देनजर ग्राहकों के व्यवहार में उल्लेखनीय बदलाव आया है, जिसमें एक्सचेंज ने असामान्य रूप से उच्च प्रवाह दर्ज किए हैं क्योंकि उपयोगकर्ता स्व-कस्टडी से अपनी संपत्ति हटा रहे हैं।

ब्रॉकमेयर ने प्रकाशन को बताया, “हम कोल्डकार्ड के बाद केंद्रीकृत एक्सचेंजों में अब रिकॉर्ड स्तर का प्रवाह देख रहे हैं।” “यह दिलचस्प है – यह FTX का ठीक उलटा है। FTX होता है, और हर कोई अपना पैसा स्व-कस्टडी में डाल देता है, और अब यह वापस आ रहा है।”

उन्होंने कहा कि निजी कुंजियों (private keys) को प्रबंधित करने के लिए उपयोगकर्ताओं को अपनी सुरक्षा की जिम्मेदारी लेनी पड़ती है, जबकि एक्सचेंज समर्पित सुरक्षा दल और स्वचालित निगरानी प्रणाली प्रदान कर सकते हैं।

ब्रॉकमेयर ने बताया कि OKX ग्राहकों के प्रभावित होने से पहले संदिग्ध व्यवहार की पहचान करने के लिए आर्टिफिशियल इंटेलिजेंस द्वारा समर्थित स्तरित सुरक्षा नियंत्रणों (layered security controls) का उपयोग करता है, जबकि उपयोगकर्ताओं को अपनी पसंद के अनुसार स्व-कस्टडी चुनने की अनुमति भी देता है।

कोल्डकार्ड एक्सप्लॉइट ने कस्टडी निर्णयों को बदल दिया है

ये टिप्पणियाँ ऐसे समय में आई हैं जब अन्वेषक कोल्डकार्ड हार्डवेयर वॉलेट की भेद्यता से जुड़े नुकसानों पर नज़र रख रहे हैं, जो वॉलेट सीड जेनरेशन में एक खामी से जुड़ी सबसे बड़ी ज्ञात बिटकॉइन चोरी में से एक बन गई है।

गैलेक्सी रिसर्च ने 4 अगस्त को कहा कि उसने तीन सत्यापित हमला लहरों में लगभग 7,300 पतों से 1,596 BTC की चोरी की पुष्टि की है। फर्म ने कहा कि यदि चौथी संदिग्ध लहर को प्रभावित वॉलेट मालिकों से पर्याप्त पुष्टि मिलती है, तो कुल आंकड़ा लगभग 2,055 BTC तक बढ़ सकता है, जिसकी कीमत लगभग $13 करोड़ है।

पहले के ब्लॉकचेन विश्लेषण ने चार देखी गई लहरों में बड़े ऑन-चेन नुकसान का अनुमान लगाया था, लेकिन गैलेक्सी ने ब्लॉकचेन टिप्पणियों से सत्यापित पीड़ित रिपोर्टों को अलग करने के बाद अपने पुष्टि किए गए आंकड़ों को सीमित कर दिया। शोध फर्म के अनुसार, अन्वेषक क्रिप्टोकरेंसी एक्सचेंजों, साइबर जांच समूहों और अमेरिकी कानून प्रवर्तन एजेंसियों के साथ समन्वय करते हुए पता मानचित्रण (address mapping) को परिष्कृत करना जारी रखे हुए हैं।

गैलेक्सी ने यह भी बताया कि चोरी किए गए बिटकॉइन का लगभग 90% हमलों के बाद से स्थानांतरित नहीं हुआ है, जिससे अन्वेषकों को धन की निगरानी के लिए अतिरिक्त समय मिल गया है यदि वे एक्सचेंजों या अन्य सेवाओं के माध्यम से चलना शुरू करते हैं।

OKX का कहना है कि AI ने लाखों के घोटाले के नुकसान को रोका है

ग्राहक व्यवहार में बदलाव के साथ, ब्रॉकमेयर ने द ब्लॉक को बताया कि धोखाधड़ी की रोकथाम एक्सचेंज के लिए एक बढ़ता हुआ फोकस बन गया है क्योंकि डिजिटल संपत्ति घोटाले और एक्सप्लॉइट उपयोगकर्ताओं को प्रभावित करना जारी रखे हुए हैं।

OKX द्वारा साझा किए गए आंकड़ों के अनुसार, एक्सचेंज ने 2026 की पहली छमाही के दौरान संदिग्ध हस्तांतरणों को पूरा होने से पहले रोककर $2.63 करोड़ के घोटाले से संबंधित नुकसान को रोका। कंपनी ने यह भी कहा कि उसने उसी अवधि के दौरान 500,000 से अधिक उपयोगकर्ताओं से संबंधित $1.1 अरब से अधिक की ग्राहक संपत्ति को सुरक्षित रखा।

ब्रॉकमेयर ने कहा कि एक्सचेंज ने ग्राहकों के धन को प्लेटफॉर्म से बाहर निकलने से पहले समझौता किए गए उपकरणों, खाते के अधिग्रहण और सोशल इंजीनियरिंग हमलों से जुड़े पैटर्न के लिए ब्लॉकचेन गतिविधि की निगरानी के लिए आर्टिफिशियल इंटेलिजेंस के अपने उपयोग का विस्तार किया है।

उन्होंने कहा कि सुरक्षा प्राथमिकताएं प्रत्येक ग्राहक की जरूरतों के अनुसार भिन्न होनी चाहिए। उन्होंने कहा कि जो उपयोगकर्ता अतिरिक्त सुरक्षा चाहते हैं वे सख्त खाता नियंत्रण चुन सकते हैं, भले ही एक्सचेंज की आंतरिक प्रणालियां उनके खातों को उच्च जोखिम के रूप में वर्गीकृत न करें।

OKX ने द ब्लॉक को यह भी बताया कि उसकी जांच इकाई में पूर्व कानून प्रवर्तन अधिकारी शामिल हैं, जिनमें पूर्व अमेरिकी ड्रग एन्फोर्समेंट एडमिनिस्ट्रेशन के कर्मचारी और सिल्क रोड जांच में शामिल एक प्रमुख एजेंट शामिल है।

कोल्डकार्ड की खामी वर्षों तक अनदेखी रही

यह हमले एक भेद्यता से उत्पन्न हुए थे जिसे कॉइनकाइट ने पिछले सप्ताह खुलासा किया था, जब यह निर्धारित किया गया था कि प्रभावित कोल्डकार्ड फर्मवेयर ने इच्छित हार्डवेयर-समर्थित ट्रू रैंडम नंबर जनरेटर के बजाय एक नियतात्मक छद्म-रैंडम नंबर जनरेटर का उपयोग करके वॉलेट सीड उत्पन्न किए थे।

कॉइनकाइट की तकनीकी समीक्षा के अनुसार, मार्च 2021 में यह खामी तब पेश की गई थी जब इंजीनियरों ने वॉलेट फर्मवेयर में एक नई क्रिप्टोग्राफिक लाइब्रेरी को एकीकृत किया था। हालांकि हार्डवेयर रैंडम-नंबर जनरेटर सॉफ्टवेयर में कहीं और सक्रिय रहा, वॉलेट निर्माण गलती से माइक्रोपाइथन के नियतात्मक जनरेटर पर निर्भर रहा, जिससे नए बनाए गए सीड वाक्यांशों की शक्ति कम हो गई।

ब्लॉक की बिटकॉइन इंजीनियरिंग और सुरक्षा टीम ने फर्मवेयर की समीक्षा करने के बाद स्वतंत्र रूप से उसी निष्कर्ष पर पहुंची। कंपनी ने कहा कि कमजोर उपकरणों ने सीड निर्माण के दौरान STM32 हार्डवेयर रैंडम-नंबर जनरेटर के बजाय नियतात्मक माइक्रोपाइथन फॉलबैक को बुलाया, हालांकि उसने उल्लेख किया कि उसने अपनी खोजों को प्रकाशित करने से पहले हर प्रभावित मॉडल पर अनुभवजन्य परीक्षण पूरा नहीं किया था क्योंकि सक्रिय चोरी की रिपोर्ट पहले ही सामने आ चुकी थी।

कॉइनकाइट का अनुमान है कि प्रभावित Mk2 और Mk3 डिवाइस लगभग 40 बिट्स की प्रभावी एंट्रॉपी प्रदान कर सकते हैं, जबकि कमजोर Mk4, Mk5 और कोल्डकार्ड क्यू मॉडल लगभग 72 बिट्स उत्पन्न कर सकते हैं, जो इच्छित 128-बिट सुरक्षा स्तर से काफी कम है।

तब से प्रत्येक प्रभावित उत्पाद लाइन के लिए आपातकालीन फर्मवेयर अपडेट जारी किए गए हैं। हालांकि, कॉइनकाइट ने जोर दिया है कि फर्मवेयर अपडेट केवल फिक्स के बाद बनाए गए वॉलेट को ही सुरक्षित रखता है। जिन उपयोगकर्ताओं के सीड वाक्यांश कमजोर फर्मवेयर के साथ उत्पन्न हुए थे, उन्हें पूरी तरह से नए वॉलेट बनाने, एक छोटे परीक्षण लेनदेन के साथ प्राप्त करने वाले पते को सत्यापित करने और हस्तांतरण की पुष्टि करने के बाद ही धन स्थानांतरित करने का निर्देश दिया गया है।

कंपनी ने यह भी कहा कि कम से कम 50 निष्पक्ष निजी पासे के रोल का उपयोग करके बनाए गए वॉलेट केवल रैंडम-नंबर-जेनरेशन खामी से प्रभावित नहीं होते हैं, हालांकि यह अभी भी कमजोर सीड्स को माइग्रेट करने की सलाह देता है, भले ही उपयोगकर्ता एक मजबूत BIP-39 वाक्यांश का उपयोग करें।

उद्योग ने स्वतंत्र फर्मवेयर सत्यापन का आह्वान किया है

क्रेकेन के मुख्य सुरक्षा अधिकारी (Chief Security Officer) निक पर्कोको की अलग-अलग टिप्पणियों ने इस बात पर चर्चा को फिर से शुरू कर दिया है कि ग्राहकों तक पहुंचने से पहले हार्डवेयर वॉलेट का परीक्षण कैसे किया जाता है।

इस सप्ताह की शुरुआत में X पर लिखते हुए, पर्कोको ने तर्क दिया कि निर्माताओं को उत्पादन फर्मवेयर द्वारा वॉलेट सीड वाक्यांशों को कैसे उत्पन्न किया जाता है, इसका सत्यापन करने वाले एकमात्र पक्ष नहीं होना चाहिए। उन्होंने कहा कि स्वतंत्र परीक्षण से यह पुष्टि होनी चाहिए कि अनुमोदित हार्डवेयर एंट्रॉपी स्रोतों का वास्तव में वॉलेट निर्माण के दौरान उपयोग किया जाता है, बजाय इसके कि मुख्य रूप से कोड समीक्षाओं या विक्रेता ऑडिट पर निर्भर रहा जाए।

उस तर्क का समर्थन करने के लिए, पर्कोको ने NIST SP 800-90B की ओर इशारा किया, जो क्रिप्टोग्राफिक सिस्टम में उपयोग किए जाने वाले ट्रू रैंडम-नंबर जनरेटर के सत्यापन को नियंत्रित करता है, और जर्मनी के BSI AIS-31 फ्रेमवर्क की ओर भी। उनके अनुसार, सुरक्षित सीड जेनरेशन के महत्व के बावजूद हार्डवेयर वॉलेट फर्मवेयर के लिए तुलनीय एंड-टू-एंड सत्यापन नियमित रूप से नहीं किया जाता है।

नवीनतम कोल्डकार्ड घटना क्रिप्टोकरेंसी उद्योग में सुरक्षा उल्लंघनों के एक वर्ष के दौरान हुई है। पिछले साल, दुबई स्थित एक्सचेंज बायबिट ने लगभग $1.4 अरब की सबसे बड़ी दर्ज क्रिप्टोकरेंसी चोरी खो दी, जबकि ब्लॉकचेन सुरक्षा फर्म ब्लॉकएड ने बताया कि 2026 की पहली छमाही के दौरान क्रिप्टो परियोजनाओं को हैक्स में $1 अरब से अधिक का नुकसान हुआ क्योंकि सत्यापित एक्सप्लॉइट्स की संख्या रिकॉर्ड स्तर पर पहुंच गई।