CryptoBilis से 93 मिलियन डॉलर की निकासी: Ledger मालिकों को क्या जानना चाहिए

9 अक्टूबर को दर्जनों क्रिप्टोकरेंसी वॉलेट लगभग एक साथ खाली होने लगे। पहली दिखाई देने वाली लहर TRON पर आई। इसके बाद Ethereum, BNB Chain और Polygon प्रभावित हुए, फिर एक ही ब्लॉक में सौ से अधिक बिटकॉइन वॉलेट से 200 BTC से अधिक निकल गए।

अब तक पहचड़ी गई साझा कड़ी कोई blockchain या asset नहीं है। Ledger का कहना है कि जिन प्रभावित उपयोगकर्ताओं की वह जाँच कर रहा है, उन्होंने Indonesia, Malaysia और Philippines में काम करने वाले अधिकृत विक्रेता CryptoBilis से हार्डवेयर वॉलेट खरीदे थे।

यह अंतर महत्वपूर्ण है। मौजूदा सार्वजनिक प्रमाण Ledger के firmware, उसके Secure Element या हर Ledger उपकरण की सुरक्षा करने वाली cryptography में सेंध सिद्ध नहीं करते। यह ऐसी घटना है जिसमें किसी ने एक वितरण चैनल से बेचे गए कई वॉलेट को नियंत्रित करने वाले master secrets हासिल किए प्रतीत होते हैं।

नुकसान की गिनती अभी जारी है। Bitquery की विस्तृत रिपोर्ट ने शुरुआत में 9 अक्टूबर की देर शाम तक के आँकड़ों के आधार पर 5 चेन के 311 वॉलेट से निकले 92.9 मिलियन डॉलर मापे थे। उसके investigation index ने बाद में मुख्य आँकड़ा 6 चेन के 315 वॉलेट से 93.2 मिलियन डॉलर कर दिया। इन आँकड़ों को बदलता अनुमान समझना चाहिए, पीड़ितों की अंतिम संख्या नहीं। एक व्यक्ति के कई वॉलेट हो सकते हैं और एक वॉलेट पता कई compatible networks पर सक्रिय हो सकता है।

On-chain प्रमाण पहले ही असाधारण रूप से मजबूत हैं। कारण नहीं।

लेनदेन कई चाबियाँ रखने वाले एक ऑपरेटर जैसे दिखते हैं

TRON पर 25 वॉलेट ने 3 सेकंड के भीतर उसी पते को अनुमति दी। पहली अनुमति के 6 सेकंड के भीतर लगभग 29 मिलियन डॉलर के USDT खींच लिए गए। बिटकॉइन पर 111 वॉलेट एक ही ब्लॉक में खाली किए गए। व्यापक कार्रवाई उन नेटवर्कों तक फैली जिनके लेनदेन को एक सार्वभौमिक token approval से अधिकृत नहीं किया जा सकता।

Bitquery को दो सप्ताह के छोटे rehearsal transactions भी मिले। हमलावर से जुड़े पतों ने 25 सितंबर से TRON और Ethereum पर बार-बार test loops चलाए। एक test address ने बाद में 36 मिलियन डॉलर की निकासी में हिस्सा लिया। मुख्य कार्रवाई से पहले gas वहाँ पहुँचा दी गई थी जहाँ उसकी जरूरत पड़नी थी।

यह पैटर्न सैकड़ों लोगों द्वारा स्वतंत्र रूप से एक ही समय पर एक जैसी गलती करने जैसा नहीं है। यह ऐसे सॉफ्टवेयर से मेल खाता है जो पहले से कई वॉलेट के लिए हस्ताक्षर कर सकता था, संभवतः इसलिए कि एक ऑपरेटर के पास उनकी recovery phrases या उनसे निकली private keys थीं।

यह निष्कर्ष जितना बड़ा सुनाई देता है, उतना है नहीं। Blockchain दिखा सकती है कि सही चाबियों ने हस्ताक्षर किए। वह यह नहीं दिखा सकती कि हमलावर को वे कैसे मिलीं।

चाबियों तक पहुँचने के चार रास्ते, अभी कोई भी सिद्ध नहीं

पहली संभावना दुर्भावनापूर्ण signing है। कोई उपयोगकर्ता नकली application से जुड़कर ऐसी transaction मंजूर कर सकता है जो हमलावर को token का नियंत्रण दे दे। खासकर smart-contract chains पर यह नुकसान का सामान्य कारण बना हुआ है। यह अलग-अलग नेटवर्क के बिटकॉइन वॉलेट और assets के साथ खाली होने की ठीक व्याख्या नहीं करता।

दूसरी संभावना recovery phrases के लिए phishing है। 24 शब्द पाने वाला कोई भी व्यक्ति physical device के बिना वॉलेट फिर से बना सकता है। साझा customer database हमलावर को भरोसेमंद support messages से खरीदारों को निशाना बनाने में मदद कर सकता है। सार्वजनिक प्रमाणों ने अभी ऐसी campaign स्थापित नहीं की है जिसने इतने प्रभावित मालिकों की phrases जुटाई हों।

तीसरी संभावना pre-seeding है। दुर्भावनापूर्ण विक्रेता उपकरण initialize करके recovery phrase अपने पास रख सकता है और खरीदार को उसी phrase का उपयोग करने के लिए मना सकता है। Ledger कहता है कि असली नया उपकरण पहले से दिया गया PIN या recovery phrase लेकर कभी नहीं आता। ऐसा कोई भी उपकरण compromised माना जाना चाहिए।

चौथी और सबसे चिंताजनक संभावना physical supply-chain implant है। सुरक्षा शोधकर्ताओं ने दिखाया है कि यह तकनीकी रूप से संभव है। Joe Grand और Tibane Labs ने ऐसे असली Nano X उपकरणों का दस्तावेजीकरण किया है जिनमें छिपा board recovery words स्क्रीन पर आते समय display connection सुनता है। इम्प्लांट को Secure Element तोड़ने की जरूरत नहीं है। वह स्क्रीन तक जाते शब्दों को देखता है और उन्हें हमलावर तक भेज सकता है।

ये नमूने एक संभावित तरीका समझाते हैं। वे यह साबित नहीं करते कि CryptoBilis के पीड़ितों को इम्प्लांट वाले उपकरण मिले थे। इसके लिए उनके वास्तविक hardware की physical forensics और जाँचे गए उपकरणों तथा खाली किए गए वॉलेट के बीच दस्तावेजी संबंध चाहिए।

हम CryptoBilis की बिक्री और समय-सीमित non-disclosure agreement से जुड़े social-media दावों को भी शामिल नहीं कर रहे हैं। Signal21 को उन्हें तथ्य की तरह पेश करने लायक प्राथमिक दस्तावेज नहीं मिले।

उपकरण Genuine Check पास करके भी समस्याग्रस्त क्यों हो सकता है

Ledger का Genuine Check उपकरण के Secure Element को cryptographic challenge देता है। सही उत्तर पुष्टि करता है कि chip असली है और उसमें factory-issued secret है। यह पूरी तरह नकली product के विरुद्ध मजबूत सुरक्षा है।

यह factory से निकलने के बाद उपकरण के साथ हुई हर चीज का पूरा इतिहास नहीं है।

Ledger की अपनी buying guide अब इस सीमा को स्पष्ट करती है: यदि मूल Secure Element सही सलामत है, तो check जासूसी implant जैसे अनधिकृत physical modification को नहीं पकड़ सकता। इसलिए कोई उपकरण असली security chip रखकर check पास कर सकता है, जबकि दूसरा component स्क्रीन पर दिख रही जानकारी देख रहा हो।

यह इस बात का प्रमाण नहीं है कि हर प्रभावित उपकरण में ऐसा component था। यह समझाता है कि authenticity check पास होना अपने आप supply-chain hypothesis को समाप्त क्यों नहीं करता।

CryptoBilis खरीदारों को अब क्या करना चाहिए

Ledger ने जाँच जारी रहने तक CryptoBilis से बिक्री और shipment रोकने को कहा है। 9 अक्टूबर की उसकी सूचना पिछले 90 दिनों में इस विक्रेता से Ledger उपकरण खरीदने वाले ग्राहकों के लिए दो तत्काल सावधानियाँ देती है:

1. यदि उपकरण setup नहीं हुआ है, तो उसे initialize न करें।
2. यदि setup हो चुका है, तो assets को नई recovery phrase वाले किसी नए भरोसेमंद signer में ले जाने पर विचार करें।

On-chain शोधकर्ताओं ने पाया कि कुछ पीड़ित वॉलेट को इस 90 दिन की सीमा से थोड़ा पहले पहली बार धन मिला था। वॉलेट को पहली बार धन मिलने की तारीख उपकरण खरीदने की तारीख नहीं होती, इसलिए यह जोखिम की लंबी अवधि साबित नहीं करती। जिसने CryptoBilis से इससे पहले खरीदा हो और संदेह में हो, उसे Ledger की आधिकारिक support site से संपर्क करके सावधानी बरतनी चाहिए।

धन स्थानांतरित करना सावधानी से होना चाहिए। भरोसेमंद उपकरण और wallet environment का उपयोग करें, उसी भरोसेमंद उपकरण पर पूरी तरह नई recovery phrase बनाएँ, उसकी स्क्रीन पर destination address जाँचें और पहले छोटी test transaction भेजें। पुरानी या नई recovery phrase को किसी website, desktop program, phone app, support chat या direct message में न लिखें। Ledger support को इन शब्दों की जरूरत नहीं होगी।

उपकरण को यूँ ही न खोलें। उसे खोलने से hardware को नुकसान और उपयोगी प्रमाण नष्ट हो सकते हैं। जो मालिक स्वयं को प्रभावित मानते हैं, उन्हें पहले purchase records, packaging, serial information और transaction IDs सुरक्षित रखने चाहिए, फिर आधिकारिक support और संबंधित अधिकारियों के साथ समन्वय करना चाहिए।

असहज सबक भरोसे की सीमाओं के बारे में है

हार्डवेयर वॉलेट private keys को Internet से जुड़े computer से दूर रखता है। वह factory से उपयोगकर्ता के हाथ तक की यात्रा में भरोसे के हर रूप को समाप्त नहीं करता।

Secure Element असली हो सकता है। Firmware uncompromised हो सकता है। उपयोगकर्ता उपकरण पर दिखे शब्दों को ठीक से लिख सकता है। फिर भी physical path में कहीं और रखा दुर्भावनापूर्ण component उन शब्दों को देख सकता है। इसलिए उपकरण का स्रोत, उसके वितरण की integrity और setup की प्रक्रिया सभी security model का हिस्सा हैं।

अभी जिम्मेदार निष्कर्ष सीमित है। 9 अक्टूबर के transfers किसी ऐसे व्यक्ति की योजनाबद्ध multi-chain कार्रवाई दिखाते हैं जिसके पास कई wallet keys का नियंत्रण रहा प्रतीत होता है। Ledger ने अपनी जाँच को CryptoBilis खरीदारों से जोड़ा है और सावधानियाँ जारी की हैं। Supply-chain attack संभव है और मौजूदा implant research दिखाती है कि वह कैसे काम कर सकता है, लेकिन इन नुकसानों के पीछे का सटीक तरीका सार्वजनिक रूप से स्थापित नहीं हुआ है।

यह अंतिम वाक्य जल्दी बदल सकता है। Device forensics और Ledger की incident report आने तक, समय से पहले की निश्चितता इस स्पष्ट मानचित्र से कम उपयोगी होगी कि प्रमाण क्या सिद्ध कर सकते हैं और क्या नहीं।

> सुरक्षा सूचना: यह घटना अभी बदल रही है। नए निर्देशों के लिए Ledger के आधिकारिक support channels देखें। Recovery phrase कभी साझा न करें और उसे किसी website, app या support conversation में दर्ज न करें।