उत्तरप्रकाशित30 स्रोत
कोल्डकार्ड हैक: 5 साल पुराने फर्मवेयर बग ने कैसे उड़ाए 2,055 बिटकॉइन?
2021 में एक फर्मवेयर अपडेट ने कोल्डकार्ड Mk3 में हार्डवेयर रैंडम नंबर जनरेटर (TRNG) को बायपास कर सॉफ्टवेयर आधारित पीआरएनजी का इस्तेमाल शुरू कर दिया, जिससे 128 बिट एन्ट्रॉपी सिर्फ 40 बिट्स रह गई। जुलाई 2026 में शुरू हुए हमले की चार लहरों में कुल नुकसान का अनुमान 2,055 BTC या लगभग $130 मिलियन है, हालांकि कंपनी के पास...
शोध उत्तर
मुख्य निष्कर्ष
- 2021 में एक फर्मवेयर अपडेट ने कोल्डकार्ड Mk3 में हार्डवेयर रैंडम नंबर जनरेटर (TRNG) को बायपास कर सॉफ्टवेयर आधारित पीआरएनजी का इस्तेमाल शुरू कर दिया, जिससे 128 बिट एन्ट्रॉपी सिर्फ 40 बिट्स रह गई।
- जुलाई 2026 में शुरू हुए हमले की चार लहरों में कुल नुकसान का अनुमान 2,055 BTC या लगभग $130 मिलियन है, हालांकि कंपनी के पास सटीक डेटा की कमी के कारण यह आंकड़ा बदलता रहता है।
- Coinkite ने 31 जुलाई को इमरजेंसी फर्मवेयर जारी किया, लेकिन दिया स्पष्ट चेतावनी: फर्मवेयर अपडेट पहले से बनी सीड को ठीक नहीं कर सकता; उपयोगकर्ताओं को नई वॉलेट क्रिएट कर फंड ट्रांसफर करना होगा।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What caused the massive Coldcard hardware wallet breach in 2026, how much Bitcoin was stolen and why do loss estimates vary, what was the fi. Article summary: ## The 2026 Coldcard Breach: What Happened. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
30 जुलाई 2026 को, हैकर्स ने Coinkite के Coldcard हार्डवेयर वॉलेट से बिटकॉइन निकालना शुरू कर दिया। ये वॉलेट्स क्रिप्टोकरेंसी सेल्फ-कस्टडी के लिए सबसे सुरक्षित माने जाते थे। अगले कुछ दिनों में, चार अलग-अलग चरणों में 7,300 से अधिक वॉलेट एड्रेस को निशाना बनाया गया, और कुल नुकसान 2,055 बिटकॉइन (BTC) तक पहुंच गया, जिसकी कीमत तब लगभग 130 मिलियन डॉलर ($130M) थी । इस पूरी घटना की जड़ मार्च 2021 में हुई एक छोटी सी फर्मवेयर गलती थी, जिसने सीड फ्रेज़ (wallet recovery phrase) की रैंडमनेस को खत्म कर दिया
।
फर्मवेयर खामी: कैसे टूटी एन्ट्रॉपी की चेन
मार्च 2021 में एक फर्मवेयर इंटीग्रेशन एरर के कारण, Coldcard डिवाइस ने सीड फ्रेज़ जनरेट करते समय अपने समर्पित हार्डवेयर एन्ट्रॉपी (यादृच्छिकता) चिप को बायपास कर दिया और इसके बजाय सॉफ्टवेयर-आधारित स्यूडो-रैंडम नंबर जनरेटर (PRNG) का इस्तेमाल करना शुरू कर दिया । यह बग फर्मवेयर वर्जन 4.0.1 से 4.1.9 को प्रभावित करता था, बाद में पता चला कि Mk3 यूनिट पर 5.0.3 तक के वर्जन भी असुरक्षित थे
।
प्रभावित Mk3 डिवाइस पर, प्रभावी एन्ट्रॉपी (Key की क्रिप्टोग्राफिक ताकत) अपेक्षित 128 बिट्स से घटकर लगभग 40 बिट्स रह गई। इसका मतलब यह हुआ कि हैकर्स बिना किसी भौतिक पहुंच, फिशिंग या मैलवेयर के, ऑफलाइन ही सीड फ्रेज़ को ब्रूट-फोर्स कर सकते थे । Coinkite के अपने विश्लेषण ने भी पुष्टि की कि कुछ Mk3 सीड्स में सिर्फ 40 बिट्स के आसपास ही एन्ट्रॉपी थी
। इस बग का पांच साल से अधिक समय तक पता नहीं चल पाया क्योंकि उसी अपडेट ने उस फर्मवेयर चेक को भी तोड़ दिया था जो हार्डवेयर RNG की जांच करता था
।
तकनीकी विवरण
Block (Square) के शोधकर्ताओं ने 31 जुलाई को एक विस्तृत तकनीकी रिपोर्ट प्रकाशित की। उन्होंने पाया कि "Coldcard फर्मवेयर में RNG इंटीग्रेशन एरर के कारण, ngu.random फंक्शन STM32 हार्डवेयर RNG के बजाय MicroPython के डिटरमिनिस्टिक Yasmarang फॉलबैक का उपयोग करने लगता है" । इसका मतलब था कि सीड फ्रेज़ वास्तविक हार्डवेयर रैंडमनेस के बजाय पूर्वानुमानित मानों (जैसे माइक्रोकंट्रोलर का सीरियल नंबर और सिस्टम काउंटर) का उपयोग करके जनरेट हो रहे थे
।
कितना बिटकॉइन चुराया गया और अनुमान क्यों अलग-अलग हैं
नुकसान के अनुमान 38 मिलियन डॉलर से लेकर 130 मिलियन डॉलर तक हैं। यह अंतर विरोधाभासी नहीं है, बल्कि यह दर्शाता है कि जैसे-जैसे हमला सामने आया और शोधकर्ताओं ने ऑन-चेन विश्लेषण का विस्तार किया, वैसे-वैसे ये आंकड़े बदलते गए।
| अनुमानित BTC | अनुमानित USD (लगभग) | स्रोत / समय |
|---|---|---|
| 594 BTC | ~$38M | Coinkite की पहली सलाह, 500+ निष्क्रिय वॉलेट |
| 1,082.65 BTC | ~$70.2M | Galaxy Research, पहली बड़ी चोरी (41 मिनट) |
| 1,367 BTC | ~$88–89M | Galaxy Research, अगस्त की शुरुआत |
| 1,816 BTC | ~$116M | Forbes / TRM Labs, 5,200+ एड्रेस |
| 2,055 BTC | ~$130M | Galaxy Research, 4 लहरें, 7,300+ एड्रेस |
अनुमानों में अंतर क्यों?
- समय के साथ हमले की लहरें: हैकर ने 30 जुलाई से अगस्त की शुरुआत तक कम से कम चार अलग-अलग हमले किए। हर नई लहर के साथ कुल चोरी का आंकड़ा बढ़ता गया
।
- बिटकॉइन की कीमत में उतार-चढ़ाव: रिपोर्ट्स नुकसान की गणना उस समय बिटकॉइन की प्रचलित कीमत पर करती हैं, जो इस घटना के दौरान बदलती रही।
- धीरे-धीरे एड्रेस की खोज: शोधकर्ताओं ने असुरक्षित एड्रेस को धीरे-धीरे खोजा। शुरुआती आंकड़ों में केवल स्पष्ट रूप से लूटे गए वॉलेट शामिल थे, जबकि बाद के विश्लेषण (जैसे Galaxy Research और TRM Labs द्वारा) में ऐसे और भी प्रभावित सीड मिले जिनका तुरंत शोषण नहीं हुआ था
।
- Coinkite का डेटा गैप: Coinkite ने कहा कि अपनी गोपनीयता-प्रथम डिज़ाइन के कारण उसके पास कुल नुकसान की पुष्टि के लिए आवश्यक ग्राहक डेटा नहीं है, इसलिए उसने किसी भी विशिष्ट आंकड़े की पुष्टि करने से इनकार कर दिया
।
Coinkite की प्रतिक्रिया
Coinkite की प्रतिक्रिया तेज़ थी, लेकिन कंपनी एक बुनियादी सीमा से जूझ रही थी: क्योंकि कमजोरी सीड जनरेशन में ही थी, एक फर्मवेयर पैच पहले से बनाई गई सीड को ठीक नहीं कर सकता था ।
- 30 जुलाई 2026: Coinkite ने Coldcard Mk3 मालिकों के लिए एक आपातकालीन सुरक्षा सलाह जारी की, जिसमें चेतावनी दी गई कि प्रभावित फर्मवेयर से जुड़े फंड खतरे में हैं
।
- 31 जुलाई 2026: Coinkite ने सभी प्रभावित मॉडलों (Mk3 के लिए 4.2.0+; Mk4 और Mk5 के लिए 5.6.0+; Q के लिए 1.5.0Q+) के लिए पैच किया हुआ फर्मवेयर जारी किया और मूल कारण का विवरण देते हुए एक तकनीकी बैकग्राउंडर प्रकाशित किया
। कंपनी ने एक खुले पत्र में पिछले दिनों को "कंपनी के इतिहास के सबसे कठिन दिनों" में से एक बताया और सभी Coldcard उपयोगकर्ताओं से तुरंत नई सीड पर फंड ट्रांसफर करने का आग्रह किया
।
- अगस्त की शुरुआत: Coinkite ने अपनी लंबे समय से चली आ रही डेटा-डिलीशन नीति को पलट दिया और घोषणा की कि वह अब हैक से उत्पन्न होने वाले संभावित कानूनी दायित्वों को पूरा करने के लिए उपयोगकर्ता डेटा बनाए रखेगा
।
- जारी: Coinkite ने जैसे ही ऐसा करना सुरक्षित हो, एक पूर्ण तकनीकी पोस्ट-मॉर्टम प्रकाशित करने का वादा किया, लेकिन अगस्त 2026 के मध्य तक इसे जारी नहीं किया था
।
शोधकर्ताओं और उद्योग की प्रतिक्रिया
सुरक्षा अनुसंधान समुदाय ने तेजी से काम किया:
- Galaxy Research ने ऑन-चेन फोरेंसिक का नेतृत्व किया, 41 मिनट में हुए 1,082.65 BTC के शुरुआती ड्रेन को मैप किया और धीरे-धीरे चार हमले की लहरों में ज्ञात दायरे का विस्तार किया
।
- Block (Square) के शोधकर्ताओं ने 31 जुलाई को RNG इंटीग्रेशन एरर का पता लगाते हुए एक विस्तृत तकनीकी विश्लेषण प्रकाशित किया
।
- TRM Labs ने एक व्यापक घटना विश्लेषण प्रकाशित किया, जिसमें 5,200 से अधिक एड्रेस से लगभग 1,816 BTC की चोरी का अनुमान लगाया गया, और इसे रिकॉर्ड पर सबसे बड़ा हार्डवेयर वॉलेट शोषण बताया
।
- एक सामुदायिक-संचालित घटना रिकॉर्ड
स्थापित किया गया
।
उद्योग पर व्यापक प्रभाव
- Bitcoin.org ने इस घटना के बाद Coldcard और Coldcard Q को अपनी आधिकारिक वॉलेट सूची से हटा दिया
।
- इस हैक ने सेल्फ-कस्टडी बहस को फिर से हवा दी, कुछ विश्लेषकों का तर्क है कि यह निवेशकों को संस्थागत कस्टडी समाधान या बिटकॉइन ETFs की ओर धकेल सकता है
। हालांकि, इस घटना के बाद बिटकॉइन नए वॉलेट निर्माण में 2026 का उच्चतम स्तर देखा गया, जो आंशिक रूप से पीड़ितों द्वारा नई सीड में स्थानांतरित होने के कारण हुआ
।
- साइबर सुरक्षा शेयरों में तेजी आई क्योंकि हार्डवेयर सुरक्षा जांच बढ़ने की उम्मीद थी, जबकि BTC और ETH की कीमतें काफी हद तक स्थिर रहीं
।
- उद्योग विशेषज्ञों और कुछ मीडिया ने अनुमान लगाया कि सीड क्रैकिंग में तेजी लाने के लिए AI-असिस्टेड ब्रूट-फोर्सिंग का इस्तेमाल किया गया हो सकता है, हालांकि कोई निर्णायक सबूत प्रकाशित नहीं हुआ है
। Coinkite ने स्वीकार किया कि फर्मवेयर कोड को स्कैन करने के लिए "सबसे अच्छे AI मॉडल" का उपयोग करने वाली एक आंतरिक समीक्षा भी इस खामी का पता लगाने में विफल रही
।
हार्डवेयर वॉलेट उपयोगकर्ताओं के लिए मुख्य सबक
- फर्मवेयर अपडेट पहले से समझौता की गई सीड को ठीक नहीं करता है। Coinkite स्पष्ट था: "फर्मवेयर अपडेट करने से प्रभावित फर्मवेयर द्वारा उत्पन्न सीड की मरम्मत नहीं होती है। नवीनतम फर्मवेयर पर एक नई सीड उत्पन्न की जानी चाहिए, और फंड को उस नए वॉलेट में स्थानांतरित किया जाना चाहिए"
।
- मैन्युअल एन्ट्रॉपी स्रोतों (डाइस रोल, BIP 39 पासफ़्रेज़) ने संभवतः जोखिम को कम किया। जिन उपयोगकर्ताओं ने Coldcard की डाइस-रोल सुविधा के माध्यम से अपनी खुद की एन्ट्रॉपी उत्पन्न की या BIP 39 अतिरिक्त पासफ़्रेज़ का उपयोग किया, वे काफी हद तक कम जोखिम में थे
।
- गोपनीयता-प्रथम डिज़ाइन की अपनी लागत होती है। Coinkite की नुकसान की पुष्टि करने या प्रभावित ग्राहकों से संपर्क करने में असमर्थता, इसके डिज़ाइन सिद्धांत से उपजी थी कि वह उपयोगकर्ता डेटा बरकरार नहीं रखता - एक व्यापार-बंद जो संकट में देयता बन गया
।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"कोल्डकार्ड हैक: 5 साल पुराने फर्मवेयर बग ने कैसे उड़ाए 2,055 बिटकॉइन?" का संक्षिप्त उत्तर क्या है?
2021 में एक फर्मवेयर अपडेट ने कोल्डकार्ड Mk3 में हार्डवेयर रैंडम नंबर जनरेटर (TRNG) को बायपास कर सॉफ्टवेयर आधारित पीआरएनजी का इस्तेमाल शुरू कर दिया, जिससे 128 बिट एन्ट्रॉपी सिर्फ 40 बिट्स रह गई।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
2021 में एक फर्मवेयर अपडेट ने कोल्डकार्ड Mk3 में हार्डवेयर रैंडम नंबर जनरेटर (TRNG) को बायपास कर सॉफ्टवेयर आधारित पीआरएनजी का इस्तेमाल शुरू कर दिया, जिससे 128 बिट एन्ट्रॉपी सिर्फ 40 बिट्स रह गई। जुलाई 2026 में शुरू हुए हमले की चार लहरों में कुल नुकसान का अनुमान 2,055 BTC या लगभग $130 मिलियन है, हालांकि कंपनी के पास सटीक डेटा की कमी के कारण यह आंकड़ा बदलता रहता है।
मुझे अभ्यास में आगे क्या करना चाहिए?
Coinkite ने 31 जुलाई को इमरजेंसी फर्मवेयर जारी किया, लेकिन दिया स्पष्ट चेतावनी: फर्मवेयर अपडेट पहले से बनी सीड को ठीक नहीं कर सकता; उपयोगकर्ताओं को नई वॉलेट क्रिएट कर फंड ट्रांसफर करना होगा।
सूत्र
- bitget.comColdcard maker Coinkite preparing technical post-mortem on wallet hack: Report | Bitget News
- shattered.ioHardware Wallet Security: 12 Steps After $100M Hack [2026]
- news.bitcoin.comCoinkite Warns Coldcard Mk3 Owners After Reports of $38M Bitcoin ...
- coindesk.comColdcard exploit reignites Bitcoin self-custody debate after $38 million theft
- coingabbar.comColdcard Hack: Now 2026's Third-Largest Crypto Breach
- cc-vuln.orgThe record · COLDCARD entropy incident
- glitchwire.comThe Coldcard Exploit: Everything You Need to Know About the Ongoing $40+ Million Bitcoin Theft — Glitchwire
- techcrunch.comHackers steal over $130M by exploiting bug in offline ...
- bingx.comColdcard Bug Tied to $38M Theft Rekindles Debate Over ...
- thestar.com.myHack of supposedly safe Bitcoin tool tries faith of the devoted
- nypost.comCrypto hackers drain millions from over 1K bitcoin wallets in string of recent attacks linked to software flaw
- pro.edgex.exchangeColdcard Firmware Vulnerability Enables Bitcoin Theft of 1,367 BTC ...
- disruptionbanking.comThe Coldcard Hack: How a 2021 Firmware Flaw Drained ...
- mitrade.comColdcard reverses data-deletion policy after $116M wallet exploit
- bitcoinmagazine.comCoinkite Releases Fixed Firmware After Coldcard Bug
- cryptobriefing.comColdcard wallet exploit leads to theft of over 1778 Bitcoin ...
- coinalertnews.comCoinkite Coldcard Exploit Drains $100M, Firm Prepares Post-Mortem
- straitstimes.comHackers target Bitcoin's safest hiding place in ongoing ...
- techspot.comA Coldcard firmware flaw let hackers drain $70 million in Bitcoin in ...
- fortune.comBitcoin owners rocked by $116 million hack - Fortune
- forbes.com'I Did Everything Right'—AI Warning After $116 Million Bitcoin Hack
- news.bitcoin.comBitcoin Wallets Spike to 2026 High as Coldcard Hack Fallout Spreads
- thehackernews.comColdcard Hardware Wallet Flaw Linked to $70 Million ...
- ig.comColdcard Hardware Wallet Hack Drains $89m: What It Means - IG UK
- bleepingcomputer.comCOLDCARD wallet RNG flaw likely linked to $88 million ...
- breitbart.comSoftware Flaw in 'Coldcard' Bitcoin Wallets Leads to $116 Million Heist
- news.bitcoin.comThe Coldcard Exploit Explained: Who Lost Bitcoin and Who's at ...
- trmlabs.comThe Largest Hardware Wallet Exploit of 2026
- blockonomi.comColdcard Wallet Breach: Hackers Steal $130M+ in Bitcoin ...
- crypto.newsColdcard's RNG flaw is still draining wallets, and an AI audit just found 85 more critical bugs across Bitcoin