डेविड श्वाट्र्ज ने कहा कि कोल्डकार्ड सेंध यह दर्शाती है कि दुर्लभ कस्टडी विफलताएं विनाशकारी नुकसान पहुंचा सकती हैं, उन्होंने इस घटना की तुलना पारंपरिक वित्त में हुई पिछली विफलताओं से की।

श्वाट्र्ज ने कोल्डकार्ड सेंध की तुलना TradFi विफलताओं से की

रिपल के सीटीओ एमेरिटस डेविड श्वाट्र्ज ने कोल्डकार्ड हमले को असाधारण जोखिम के उदाहरण के रूप में प्रस्तुत किया — यह संभावना कि एक दुर्लभ तकनीकी विफलता उपयोगकर्ताओं की अपेक्षा से कहीं अधिक नुकसान पहुंचा सकती है।

श्वाट्र्ज ने इस घटना की तुलना एमएफ ग्लोबल के 2011 के पतन से की, जहां ब्रोकरेज द्वारा अलग रखी जाने वाली धनराशि का दुरुपयोग करने के बाद ग्राहकों ने अस्थायी रूप से धन तक पहुंच खो दी थी। उनकी टिप्पणियों ने इस धारणा को चुनौती दी कि स्व-कस्टडी काउंटरपार्टी या परिचालन जोखिम के हर रूप को समाप्त कर देती है।

हार्डवेयर वॉलेट उपयोगकर्ताओं को एक्सचेंज या अन्य वित्तीय मध्यस्थ पर निर्भर किए बिना अपनी निजी कुंजियों को नियंत्रित करने की अनुमति देते हैं। हालांकि, मालिकों को अभी भी इस बात पर भरोसा करना चाहिए कि डिवाइस का हार्डवेयर और फर्मवेयर उन कुंजियों को सही ढंग से उत्पन्न और संरक्षित करते हैं।

श्वाट्र्ज ने पारंपरिक वित्त और क्रिप्टो स्व-कस्टडी के बीच एक बड़े अंतर की ओर भी इशारा किया। विनियमित वित्तीय संस्थानों के ग्राहकों को बीमा, दिवालियापन कार्यवाही, या अन्य वसूली तंत्र तक पहुंच हो सकती है। कोल्डकार्ड मालिकों के बिटकॉइन को समझौताग्रस्त सीड्स के माध्यम से चुराया गया है, उनके पास वर्तमान में कोई तुलनीय सुरक्षा जाल नहीं है।

कोल्डकार्ड हैक क्या है?

कोल्डकार्ड एक बिटकॉइन-ओनली हार्डवेयर वॉलेट है जिसे कनाडाई निर्माता कोइंकाइट (Coinkite) द्वारा बनाया गया है। यह डिवाइस निजी कुंजियों को ऑफ़लाइन संग्रहीत करता है और इंटरनेट से सीधे कनेक्ट किए बिना लेनदेन पर हस्ताक्षर कर सकता है।

वर्तमान सेंध में हमलावरों द्वारा कोल्डकार्ड उपकरणों को दूरस्थ रूप से एक्सेस करना शामिल नहीं था। इसके बजाय, यह मार्च 2021 में जारी फर्मवेयर के माध्यम से पेश की गई सीड-जनरेशन की खराबी के कारण हुआ।

कोइंकाइट की तकनीकी समीक्षा के अनुसार, प्रभावित फर्मवेयर ने डिवाइस के हार्डवेयर जनरेटर से पर्याप्त यादृच्छिकता प्राप्त करने के बजाय एक सॉफ्टवेयर-आधारित छद्म-यादृच्छिक संख्या जनरेटर का उपयोग किया। समस्या ने कुछ कोल्डकार्ड फर्मवेयर संस्करणों पर बनाए गए सीड्स को प्रभावित किया, जिसमें संस्करण 4.0.1 से 4.1.9 तक के एमके2 और एमके3 रिलीज शामिल हैं।

सीड वाक्यांशों में इतनी यादृच्छिकता होनी चाहिए कि उनका अनुमान लगाना गणनात्मक रूप से अवास्तविक हो। कोल्डकार्ड की खराबी ने उस सुरक्षा को कम कर दिया, जिससे हमलावरों को ऑफ़लाइन संभावित सीड्स उत्पन्न करने और ब्लॉकचेन पर सार्वजनिक रूप से दृश्यमान पतों के साथ उनके व्युत्पन्न बिटकॉइन पतों की तुलना करने की अनुमति मिली।

एक बार जब हमलावरों को एक मेल मिल गया, तो वे वॉलेट की निजी कुंजियों को फिर से बना सकते थे और उसके बिटकॉइन को स्थानांतरित कर सकते थे। उन्हें हार्डवेयर वॉलेट चुराने, उसका पिन जानने या बिटकॉइन नेटवर्क से समझौता करने की आवश्यकता नहीं थी।

कोल्डकार्ड को 100 मिलियन डॉलर से अधिक का नुकसान हुआ

जैसा कि पहले क्रिप्टो.न्यूज़ द्वारा रिपोर्ट किया गया था, गैलेक्सी रिसर्च ने कहा कि उसने तीन पुष्ट हमले की लहरों में लगभग 7,300 पतों से चुराए गए 1,596 बीटीसी की पहचान की है। फर्म ने लगभग 14 छोटी घटनाओं को भी उसी सीड-जनरेशन की खराबी से जोड़ा।

एक संदिग्ध चौथी लहर कुल को लगभग 2,055 बीटीसी तक बढ़ा सकती है, जिसकी कीमत लगभग 130 मिलियन डॉलर है। हालांकि, गैलेक्सी ने अभी तक उन अतिरिक्त नुकसानों की पुष्टि नहीं की है।

पहली बड़ी कार्रवाई 30 जुलाई के आसपास हुई, जब एक घंटे से भी कम समय में 1,200 से अधिक पतों से 1,000 से अधिक बीटीसी हटा दिए गए। दो अतिरिक्त लहरों ने बाद में भेद्य सीड्स का उपयोग करके बनाए गए अन्य वॉलेट्स को लक्षित किया।

गैलेक्सी ने सैकड़ों संदिग्ध हमलावर पते अमेरिकी संघीय जांचकर्ताओं, एक्सचेंजों और ब्लॉकचेन सुरक्षा कंपनियों के साथ साझा किए। पुष्टि की गई लहरों के दौरान चुराए गए बिटकॉइन का लगभग 90% अपनी नवीनतम अपडेट के समय तक फिर से स्थानांतरित नहीं हुआ था।

बिटकॉइन प्रोटोकॉल से समझौता नहीं किया गया था। चोरी कमजोर वॉलेट-सीड पीढ़ी के कारण हुई, जिसका अर्थ है कि अप्रभावित सॉफ्टवेयर या हार्डवेयर के माध्यम से बनाए गए वॉलेट में रखे गए बिटकॉइन इस विशिष्ट दोष से उजागर नहीं हुए थे।

कोल्डकार्ड मालिकों को भेद्य सीड्स को बदलना होगा

कोइंकाइट ने प्रभावित कोल्डकार्ड मॉडलों के लिए सुधारा हुआ फर्मवेयर जारी किया है। हालांकि, अपडेट स्थापित करने से एक मौजूदा भेद्य सीड सुरक्षित नहीं हो जाता है।

कंपनी की सुरक्षा सलाह एमके2 और एमके3 मालिकों को निर्देश देती है, जिन्होंने फर्मवेयर संस्करण 4.0.1 से 4.1.9 का उपयोग करके सीड्स बनाए थे, वे संस्करण 4.2.0 या बाद के संस्करण में अपडेट करें, पूरी तरह से नया सीड उत्पन्न करें और अपने बिटकॉइन को स्थानांतरित करें।

उपयोगकर्ताओं को पहले एक छोटा परीक्षण लेनदेन भेजना चाहिए और शेष राशि को स्थानांतरित करने से पहले प्राप्तकर्ता वॉलेट को सत्यापित करना चाहिए। कोइंकाइट ने कहा कि उसकी सुधारी गई सीड-जनरेशन प्रक्रिया पर्याप्त है, जबकि कम से कम 50 निजी पासे के रोल जोड़ना उन उपयोगकर्ताओं के लिए एक वैकल्पिक तरीका है जो स्वतंत्र एन्ट्रॉपी चाहते हैं।

यह सेंध दर्शाती है कि एयर-गैप्ड हार्डवेयर ऑनलाइन हमले के जोखिम को कम कर सकता है, लेकिन फर्मवेयर, विनिर्माण या सीड-जनरेशन के जोखिमों को समाप्त नहीं करता है। प्रभावित मालिकों के लिए, फंड को एक नए उत्पन्न वॉलेट में स्थानांतरित करना तत्काल खतरे को दूर करने का एकमात्र तरीका है।