Revolut के हैकरों ने अपने निशाने एक सार्वजनिक बही में खोजे, और भुगतान वहाँ चाहते हैं जहाँ कोई बही नहीं है

क्या हुआ

Revolut ने 12 सितंबर को बताया कि उसने ग्राहक डेटा ऐसे किसी को सौंप दिया जिसे वह कभी नहीं मिलना चाहिए था। करीब 680 लोग प्रभावित हैं, उनमें बारह आयरलैंड में। श्रेणियाँ लगभग उतनी ही बुरी हैं जितनी हो सकती हैं: पूरे नाम, जन्मतिथि, पेशा, पते, संपर्क विवरण, पासपोर्ट, ड्राइविंग लाइसेंस, वित्तीय विवरण और ग्राहक-पहचान जाँच के लिए ली गई चेहरे की सत्यापन तस्वीरें।

कोई क्रिप्टोग्राफ़ी नहीं तोड़ी गई। प्रकाशित रिपोर्टों के अनुसार, हमलावरों ने एक इतालवी सरकारी ईमेल प्रणाली से समझौता किया और, एक वैध सरकारी डोमेन से लिखते हुए, कानून प्रवर्तन बनकर नामित खातों की जानकारी माँगी। उन्होंने यह महीनों तक किया, और ये अनुरोध Revolut की जाँचों से पार हो गए।

16 सितंबर को iamnotavillain नाम से पहचान रखने वाले एक समूह ने चौबीस घंटे की उलटी गिनती के साथ माँग प्रकाशित की: 6,000 XMR, उस दिन करीब 3 मिलियन डॉलर। संदेश था कि अगर Revolut ने भुगतान नहीं किया तो "सारा डेटा बेच दिया जाएगा, और खून तुम्हारे हाथों पर होगा"। उलटी गिनती अगले दिन बिना किसी सार्वजनिक जवाब के खत्म हो गई।

Revolut का कहना है कि उसे "इन दावों को करने वाले व्यक्तियों या समूह से कोई सीधा संपर्क या माँग प्राप्त नहीं हुई है", कि उसके सिस्टम और ग्राहकों की धनराशि अप्रभावित रहे, और कि उसने अनुरोधों में इस्तेमाल किया गया पता अवरुद्ध किया और संबंधित सरकारी एजेंसी, कानून प्रवर्तन, डेटा संरक्षण निकायों तथा वित्तीय नियामकों को सूचित किया।

हम उस समूह की साइट से नहीं जोड़ेंगे, और यहाँ कुछ भी इस पुष्टि के रूप में न पढ़ा जाए कि उसके पास होने का दावा किया गया डेटा असली या पूरा है।

वह हिस्सा जो बिटकॉइन धारकों को चिंतित करना चाहिए

रिपोर्टों का एक विवरण उससे कहीं अधिक ध्यान का हकदार है जितना उसे मिला।

हमलावरों ने 680 नाम यूँ ही नहीं उठाए, और उन्होंने आम तौर पर Revolut के सबसे अमीर ग्राहकों को भी नहीं चुना। उन्होंने बड़ी क्रिप्टो होल्डिंग वाले खाते ढूँढ़ने के लिए ब्लॉकचेन विश्लेषण का इस्तेमाल किया, और फिर उन्हीं खास लोगों के पीछे गए।

क्रम पर ठहरिए। सार्वजनिक बही ही निशाना साधने की प्रणाली थी। Bitcoin की पारदर्शिता, वही गुण जो किसी को भी बिना अनुमति आपूर्ति की जाँच करने और अपने सिक्के सत्यापित करने देता है, वही गुण है जिसने एक आपराधिक समूह को फ़िरौती लायक लोगों की सूची बनाने दी। यह डिज़ाइन का दोष नहीं है। यह डिज़ाइन है, ठीक वैसे ही काम करता हुआ जैसा तय था, एक ऐसे उपयोग में जो कोई नहीं चाहता था।

दूसरा कदम वही है जिसने इन लोगों की निजता सचमुच छीनी, और उसका किसी चेन से कोई लेना-देना नहीं था। वह एक समझौता किया गया ईमेल खाता और एक अनुरोध प्रक्रिया थी जिसे एक बैंक ने माना। चेन का डेटा कहता था "यह खाता हमले लायक है"। अभिरक्षक की फ़ाइलें कहती थीं "और यह रहा उसका पासपोर्ट, उसका पता और उसका चेहरा"।

सार्वजनिक बही पर छद्मनामिता और किनारों पर सत्यापित पहचान, मिलकर औसतन आंशिक निजता नहीं बनते। जो कोई किनारे तक पहुँच सके, उसके लिए यह शून्य निजता में बदल जाता है।

हमने इस महीने दो बार लिखा है कि अभिरक्षा का संकेंद्रण Bitcoin की गारंटियों के साथ क्या करता है, सबसे हाल में 21 सितंबर को। सामान्य सूत्र यह है कि अगर चाबियाँ आपकी नहीं, तो सिक्के भी आपके नहीं। यह उसका कम चर्चित आधा हिस्सा है। इन ग्राहकों ने अपने सिक्के नहीं खोए। Revolut कहती है कि धनराशि अछूती रही। उन्होंने अपने पहचान दस्तावेज़ और यह रिकॉर्ड खोया कि उनके पास क्या है, जो कुछ के लिए ज़्यादा ख़तरनाक नुकसान है, क्योंकि यही वह है जो आपके घर तक पीछा करता है।

मोनेरो क्यों, बिटकॉइन क्यों नहीं

यह वह हिस्सा है जिसे एक खास तरह की बहस खत्म कर देनी चाहिए।

जो समूह एक सरकारी मेल प्रणाली से समझौता करने, महीनों तक प्रतिरूपण चलाने और चेन विश्लेषण से शिकार छाँटने में सक्षम था, उसने बिटकॉइन में भुगतान नहीं माँगा। उसने मोनेरो माँगा।

जो लोग फ़िरौती से जीते हैं, उनके पास इसे सही समझने की सबसे साफ़ प्रेरणा है, और वे दोनों में भ्रमित नहीं हैं। Bitcoin हर हस्तांतरण का स्थायी, सार्वजनिक, दुनिया भर में प्रतिलिपित रिकॉर्ड है। पते छद्मनाम हैं, और छद्मनाम ठीक वही हैं जिन्हें नामों से जोड़ना चेन विश्लेषण फ़र्मों और कानून प्रवर्तन ने एक दशक लगाकर सीखा है। बिटकॉइन में चुकाई फ़िरौती ऐसा सबूत बनाती है जो समय के साथ बेहतर होता है, क्योंकि भविष्य की हर पहचान-उजागरी पिछली तारीख से लागू होती है।

तो भुगतान वाला चरण ही एकमात्र जगह है जहाँ हमलावर पारदर्शिता बर्दाश्त नहीं कर सकते, और उन्होंने वही परिसंपत्ति चुनी जो उसे हटाने के लिए बनी है। यह Bitcoin के बारे में एक सच कहता है जिसे उसके समर्थक कभी-कभी धुँधला कर देते हैं: वह निजी नहीं है। वह कभी निजी था ही नहीं। निजता उन गुणों में थी ही नहीं जो उसे देने थे।

मोनेरो असल में क्या छिपाता है

Monero का डिज़ाइन तीन ऐसी चीज़ें छिपाता है जिन्हें Bitcoin प्रकाशित करता है, तीन अलग तंत्रों से।

रिंग हस्ताक्षर भेजने वाले को छिपाते हैं। लेनदेन ऐसे हस्ताक्षरित होता है कि यह सिद्ध हो कि किसी समूह के एक सदस्य ने उसे अधिकृत किया, पर यह न पता चले कि किसने। रिंग का आकार अभी सोलह पर नियत है, इसलिए हर असली इनपुट चेन से लिए गए पंद्रह छद्म विकल्पों के बीच बैठता है।

स्टेल्थ पते पाने वाले को छिपाते हैं। भेजने वाला हर भुगतान के लिए एक बार इस्तेमाल होने वाला नया पता निकालता है, इसलिए प्रकाशित Monero पता चेन पर कभी नहीं दिखता और एक ही व्यक्ति को हुए दो भुगतान उनके गंतव्य से नहीं जोड़े जा सकते।

RingCT रकम छिपाता है। मूल्य क्रिप्टोग्राफ़िक रूप से प्रतिबद्ध होता है और उसके साथ एक रेंज प्रूफ़ आता है जो दिखाता है कि वह धनात्मक है और इनपुट तथा आउटपुट संतुलित हैं, बिना संख्या स्वयं दिखे।

व्यावहारिक असर यह है कि Bitcoin पर चेन विश्लेषक जिन तीन क्षेत्रों से काम करता है, किसने चुकाया, किसे मिला, कितना, वे विकल्प से नहीं बल्कि डिफ़ॉल्ट से अनुपस्थित हैं। यह डिफ़ॉल्ट क्रिप्टोग्राफ़ी से अधिक मायने रखता है: वह निजता सुविधा जिसे अधिकांश उपयोगकर्ता चालू नहीं करते, मुख्यतः उन्हीं की पहचान करा देती है जो करते हैं।

मोनेरो क्या नहीं छिपाता, और उसके सामने क्या है

हम आपसे यह नहीं कहेंगे कि वह अट्रेसेबल है, क्योंकि वह एक विपणन दावा है, कोई निष्कर्ष नहीं।

सुरक्षाएँ सांख्यिकीय हैं, निरपेक्ष नहीं। छद्म विकल्प एक एल्गोरिद्म चुनता है, और जो प्रतिद्वंद्वी चेन में जाने वाली चीज़ को पक्षपाती बना सके, या लेनदेन के समय और संरचना का सहसंबंध निकाल सके, वह संभावित हस्ताक्षरकर्ताओं का समुच्चय धीरे-धीरे छाँटता जाता है। परियोजना के अपने शोधकर्ताओं के प्रकाशित विश्लेषण ऐसे हमलों का वर्णन करते हैं जो उम्मीदवार घटाने के लिए समेकन पैटर्न का उपयोग करते हैं। डिज़ाइन में नेटवर्क परत की भी कोई सुरक्षा नहीं है: लेनदेन सबसे पहले प्रसारित करने वाले IP पते बटोरने के लिए अच्छी तरह जुड़े नोड चलाना एक प्रलेखित तकनीक है, और वह पाइपलाइन पर हमला करके क्रिप्टोग्राफ़ी को पूरी तरह किनारे कर देती है। नियत रिंग की कमज़ोरी इतनी समझी जा चुकी है कि परियोजना का उत्तर, पूरी चेन की सदस्यता का प्रमाण जो रिंग की जगह समस्त आउटपुट समुच्चय पर एक प्रमाण रखेगा, विकासाधीन है और अभी आया नहीं है।

सरकारें वर्षों से इसके विरुद्ध खरीद रही हैं। 2020 में निजी क्रिप्टो की ट्रेसिंग के औज़ारों के लिए 625,000 डॉलर तक का इनाम देने के बाद, IRS ने इस समस्या पर काम के लिए Chainalysis और Integra FEC से अनुबंध किया। दोनों दिशाओं के आत्मविश्वासी दावों को संदेह से देखिए: ट्रेसिंग बेचने वाली फ़र्मों का हित अपनी क्षमता बढ़ा-चढ़ाकर बताने में है, और समुदाय का हित उसे कम करके बताने में।

फिर वह नीरस अड़चन है जो शायद यहाँ सबसे ज़्यादा मायने रखती है। मोनेरो का बाज़ार छोटा है: करीब 10.6 बिलियन डॉलर का पूँजीकरण और सभी जगहों को मिलाकर रोज़ाना लगभग 144 मिलियन डॉलर का कारोबार। छह हज़ार सिक्के आज करीब 3.4 मिलियन डॉलर के हैं, जो ऐसी परिसंपत्ति के लिए एक दिन की वैश्विक मात्रा का ठीक-ठाक हिस्सा है जिसे नियमित यूरोपीय मंच पहले ही छोड़ चुके हैं। Binance, Kraken और OKX ने यूरोपीय संघ के ग्राहकों के लिए उसे यूरोपीय धन-शोधन-रोधी विनियम के अनुच्छेद 79 से पहले ही हटा दिया, जो क्रिप्टो सेवा प्रदाताओं को गुमनामी बढ़ाने वाले क्रिप्टो से रोकता है और 10 जुलाई 2027 से लागू होता है। उस समयसीमा की अधिकांश कवरेज 1 जुलाई कहती है; विनियम दस कहता है।

इनमें से कुछ भी किसी को मोनेरो रखने या भेजने से नहीं रोकता। इसका मतलब यह ज़रूर है कि पहचान जाँचने वाले किसी मंच को छुए बिना कई मिलियन डॉलर को खर्च करने योग्य पैसे में बदलना, उसे हासिल करने से कठिन समस्या है।

हम इससे क्या लेते हैं

तीन बातें।

पहली, माँग अब पहले से अधिक मूल्य की है। अल्टीमेटम वाले दिन मोनेरो करीब 507 डॉलर पर था और प्रकाशन के समय करीब 566 डॉलर पर, यानी 6,000 सिक्के समयसीमा बीतते-बीतते करीब 3.0 मिलियन से करीब 3.4 मिलियन डॉलर हो गए। यह परिसंपत्ति का विवरण है, अपराध का नहीं, पर जो कोई फ़िरौती के अर्थशास्त्र का मॉडल बनाए उसे ध्यान देना चाहिए कि अस्थिर परिसंपत्ति में रकम तय करना दोनों ओर काटता है।

दूसरी, यहाँ विफलता प्रक्रिया की है, प्रोटोकॉल की नहीं। एक बैंक ने उन अनुरोधों का उत्तर दिया जो आधिकारिक लगते थे और थे नहीं। हर वह संस्थान जो पहचान दस्तावेज़ रखता है और कानून प्रवर्तन को जवाब देता है, वही प्रक्रिया चलाता है, और दिलचस्प सवाल यह है कि उनमें से कितने इसे पकड़ पाते।

तीसरी, और यही हम रखेंगे: हमले ने लोगों को खोजने के लिए Bitcoin के खुलेपन का और भुगतान पाने के लिए मोनेरो की अपारदर्शिता का उपयोग किया। दोनों ने वैसा ही काम किया जैसा डिज़ाइन था। अगर आपसे कहा गया है कि किसी नियमित मध्यस्थ के ज़रिए बिटकॉइन रखना दोनों दुनियाओं का सर्वोत्तम देता है, तो यही वह सप्ताह है जब उस दावे की परीक्षा हुई, और उस फ़ाइल में नामित लोग वही हैं जिन्होंने उस परीक्षा की कीमत चुकाई।

यह सामान्य बाज़ार टिप्पणी है, न कि निवेश सलाह या किसी परिसंपत्ति को खरीदने या बेचने की सिफ़ारिश।