Coldcard हैक: $130 मिलियन की चोरी, 7,700+ वॉलेट खाली — पूरी कहानी

हैकर को फ़िज़िकल एक्सेस, फ़िशिंग ईमेल या मैलवेयर की ज़रूरत नहीं थी। कमज़ोर एंट्रॉपी आउटपुट को रिवर्स-इंजीनियर करके, वे दूर से ही पीड़ितों के 12 या 24 शब्दों वाले सीड फ्रेज को रिकंस्ट्रक्ट कर सकते थे और उन वॉलेट को खाली कर सकते थे जो कभी इंटरनेट से कनेक्ट भी नहीं हुए थे ।

Coldcard के CEO रोडोल्फो नोवाक ने 30 जुलाई 2026 को इस समस्या की पुष्टि की और सुझाव दिया कि यह कमज़ोरी AI टूल्स की मदद से खोजी गई होगी, जो बड़े पैमाने पर ओपन-सोर्स फर्मवेयर को एंट्रॉपी कमज़ोरियों के लिए स्कैन कर सकते हैं ।

चोरी का पैमाना और समयरेखा

हमला कई समन्वित लहरों में हुआ:

• 30 जुलाई — पहली लहर: रात 21:56 ET के आसपास शुरू हुई 25 मिनट की इस कार्रवाई में, हैकर ने सबसे बड़े बैलेंस को टार्गेट करते हुए, लगभग 500 वॉलेट से लगभग 594 BTC (~$38M) चुरा लिए । Chainalysis ने पाया कि सिर्फ़ पहले 10 मिनटों में ही $30 मिलियन चुरा लिए गए थे ।
• 31 जुलाई – 4 अगस्त — दूसरी और तीसरी लहर: अतिरिक्त स्वीप ने लगभग 7,300 पतों पर कुल नुकसान को 1,596 BTC (~$100M+) तक पहुंचा दिया ।
• संदिग्ध चौथी लहर: Galaxy Research ने एक संभावित चौथी लहर का संकेत दिया, जिसकी पुष्टि होने पर कुल नुकसान 2,055 BTC (~$130M) हो जाएगा ।

अगस्त की शुरुआत तक, TRM Labs ने Coldcard घटना को 2026 का तीसरा सबसे बड़ा क्रिप्टो हैक बताया । Galaxy Research ने अब कम से कम 15 अलग-अलग हैकर्स की पहचान की है, जो अभी भी असुरक्षित और माइग्रेट न किए गए वॉलेट्स का फायदा उठाने की होड़ में हैं ।

7 अगस्त को फंड मूवमेंट: 30.185 BTC ($1.94M)

7 अगस्त 2026 को, ऑन-चेन ट्रैकर Lookonchain के अनुसार, Coldcard हैकर से जुड़े एक वॉलेट से 30.185 BTC (~$1.94M) एक नए बनाए गए पते पर ट्रांसफर किए गए । यह अपनी शुरुआत के बाद से चुराए गए फंड की पहली मूवमेंट थी।

• यह ट्रांसफ़र कुल 2,055 BTC लूट का लगभग 1.5% था ।
• विश्लेषकों ने इसे किसी बड़ी कैश-आउट की तैयारी या एक टेस्ट ट्रांज़ेक्शन के रूप में देखा ।
• Bitcoin की कीमत पर इसका कोई खास असर नहीं पड़ा और यह उस समय लगभग $64,152 पर कारोबार कर रहा था ।

90% चुराए गए फंड अभी भी अछूते

7 अगस्त के ट्रांसफर के बाद भी, चुराए गए लगभग 2,055 BTC का लगभग 98.5% हिस्सा हैकर के वॉलेट में अछूता है । यह पैटर्न परिष्कृत हमलावरों के अनुरूप है, जो बड़ी रकम को लॉन्डर करने की कोशिश करने से पहले महीनों या वर्षों तक इंतजार करते हैं। ब्लॉकचेन फोरेंसिक फर्म और एक्सचेंज इन पतों पर कड़ी नज़र रखे हुए हैं ।

Coinkite की प्रतिक्रिया और फर्मवेयर अपडेट

30 जुलाई को कमज़ोरी का पता चलने के बाद Coinkite ने तेज़ी से काम किया:

• 30 जुलाई — इस बग को सार्वजनिक रूप से खुलासा करते हुए एक तत्काल सुरक्षा सलाह जारी की ।
• 31 जुलाई — हर प्रभावित मॉडल और रिलीज़ ट्रैक के लिए आपातकालीन पैच फर्मवेयर जारी किया :
  • Mk3: वर्ज़न 4.2.0 या उसके बाद का
  • Mk4/Mk5 स्टैंडर्ड: वर्ज़न 5.6.0 या उसके बाद का
  • Q स्टैंडर्ड: वर्ज़न 1.5.0Q या उसके बाद का
  • Mk4/Mk5 Edge: वर्ज़न 6.6.0X या उसके बाद का
  • Q Edge: वर्ज़न 6.6.0QX या उसके बाद का

महत्वपूर्ण चेतावनी: पैच किए गए फर्मवेयर को इंस्टॉल करने से पहले से कॉम्प्रोमाइज़ हुआ सीड ठीक नहीं होता। Coinkite ने सभी प्रभावित उपयोगकर्ताओं को पैच फर्मवेयर पर एक नया सीड जनरेट करने और तुरंत अपने सिक्के स्थानांतरित करने को कहा । कंपनी ने कमज़ोर फर्मवेयर के साथ निर्मित बची हुई इन्वेंट्री को भी नष्ट कर दिया और शिपमेंट रोक दिया ।

प्रभावित फर्मवेयर वर्ज़न

• सबसे अधिक जोखिम: Mk3 फर्मवेयर 4.0.1 से 4.1.9, बिना कम से कम 50 स्वतंत्र डाइस रोल या एक मजबूत, अद्वितीय BIP-39 पासफ्रेज़ के जनरेट किए गए सीड
• ये भी प्रभावित: Mk4, Mk5, और Q मॉडल ऊपर बताए गए फिक्स्ड फर्मवेयर वर्ज़न से पहले के
• प्रभावित नहीं: कमज़ोर फर्मवेयर विंडो से पहले जनरेट किए गए सीड; 50+ डाइस रोल का उपयोग करने वाले सीड; अद्वितीय BIP-39 पासफ्रेज़ द्वारा सुरक्षित सीड; TAPSIGNER, OPENDIME, और SATSCARD डिवाइस (अलग कोडबेस); और कम से कम एक गैर-कमज़ोर कुंजी वाली मल्टीसिग सेटअप

सेल्फ-कस्टडी और क्रिप्टो समुदाय के लिए निहितार्थ

• हार्डवेयर वॉलेट अचूक नहीं हैं। Coldcard घटना ने इस धारणा को तोड़ दिया कि ऑफ़लाइन वॉलेट रिमोट सीड चोरी से अछूते हैं । यह खामी फर्मवेयर में पाँच साल से अधिक समय तक बिना पकड़ में आए रही।
• कमज़ोर फर्मवेयर पर बनाए गए सीड हमेशा के लिए कॉम्प्रोमाइज़ हो चुके हैं। फिक्स इंस्टॉल करने के बाद भी, पुराने सीड का अनुमान लगाया जा सकता है । उपयोगकर्ताओं को पूरी तरह से नए वॉलेट बनाने और फंड को माइग्रेट करना होगा।
• बाजार में व्यापक डर। Glassnode ने रिपोर्ट किया कि हैक के बाद के सप्ताह में लॉन्ग-टर्म होल्डर वॉलेट (155+ दिनों से निष्क्रिय) से लगभग 210,000 BTC स्थानांतरित किया गया — जो 2024 के बाद का सबसे बड़ा बदलाव है — जो सेल्फ-कस्टडी Bitcoin धारकों में व्यापक विश्वास की कमी का संकेत देता है ।
• AI-संचालित ऑडिटिंग तेज़ हो रही है। सुरक्षा शोधकर्ताओं ने नोट किया कि यह हमला संभवतः AI टूल्स द्वारा सहायता प्राप्त था, जो बड़े पैमाने पर ओपन-सोर्स फर्मवेयर को एंट्रॉपी कमज़ोरियों के लिए स्कैन कर सकते हैं। अब यह क्षमता सभी हार्डवेयर वॉलेट प्रोजेक्ट्स में तेज़ी से अपनाई जा रही है ।
• "मैंने सब कुछ सही किया" अब पर्याप्त नहीं है। कई पीड़ितों ने सर्वोत्तम सेल्फ-कस्टडी प्रथाओं का पालन किया और फिर भी सब कुछ खो दिया, जो इस बात को रेखांकित करता है कि फर्मवेयर इंटीग्रिटी हार्डवेयर वॉलेट जोखिम का नया मोर्चा है ।