इस कमजोरी का फायदा उठाकर हैकर ने पांच दिनों में चार हमले किए । पहली वेव में, 30 जुलाई 2026 को सिर्फ 41 मिनट में 1,082.65 BTC ($70 मिलियन) चुरा लिए गए। कुल मिलाकर TRM Labs और Galaxy Research की रिपोर्ट के अनुसार, 5,200 से अधिक वॉलेट एड्रेस से लगभग 1,816 BTC (तब लगभग $116 मिलियन) चुराए गए ।

इस चोरी ने पूरे बिटकॉइन समुदाय में हड़कंप मचा दिया। लोगों ने अपने बिटकॉइन को सुरक्षित जगहों पर शिफ्ट करना शुरू कर दिया। Checkonchain और Glassnode के डेटा से पता चलता है कि एक हफ्ते में लगभग 2.33 लाख BTC (लगभग $15 बिलियन) लॉन्ग-टर्म होल्डर वॉलेट्स से निकल गए । यह दिसंबर 2024 के बाद सबसे बड़ी साप्ताहिक गिरावट थी । इसी दौरान बिटकॉइन नेटवर्क पर एक रिकॉर्ड 22.7 लाख नए वॉलेट भी बनाए गए ।

Coldcard बनाने वाली कंपनी Coinkite ने 31 जुलाई को इमरजेंसी फ़र्मवेयर पैच जारी किया, लेकिन साफ किया कि सिर्फ फ़र्मवेयर अपडेट करने से पुरानी कमजोर सीड सुरक्षित नहीं हो जाएगी । उन्होंने सभी प्रभावित उपयोगकर्ताओं से कहा कि वे पैच किए गए फ़र्मवेयर पर पूरी तरह से नई सीड जनरेट करें और अपने सभी फंड नए वॉलेट में ट्रांसफर करें ।

इस पूरी घटना ने सेल्फ-कस्टडी (खुद अपनी क्रिप्टोकरेंसी की सुरक्षा करना) की धारणा को जोरदार झटका दिया। Casa के CEO निक न्यूमैन ने बताया कि कुछ लोग अब अपनी क्रिप्टोकरेंसी क्वालिफाइड कस्टोडियंस (जैसे एक्सचेंज) को सौंपने पर विचार कर रहे हैं ।

कमजोरी का कारण: एक बिल्ड फ़्लैग जिसने रैंडमनेस तोड़ दी

Coldcard के मार्च 2021 के फ़र्मवेयर अपडेट में कोडिंग की एक गलती हुई। इस गलती के कारण वॉलेट की सीड बनाते समय डिवाइस का समर्पित हार्डवेयर रैंडम नंबर जनरेटर (RNG) बायपास हो गया और उसकी जगह एक सॉफ्टवेयर स्यूडो-रैंडम नंबर जनरेटर का इस्तेमाल हुआ । इससे सीड की एन्ट्रॉपी 128 बिट्स से घटकर सिर्फ 40-72 बिट्स रह गई, जिससे प्राइवेट की अंदाजा लगाने योग्य (brute-force) हो गई ।

हमले की टाइमलाइन: पांच दिनों में चार वेव्स

• मार्च 2021 – फ़र्मवेयर अपडेट के दौरान बग पेश हुआ।
• 30 जुलाई 2026, 01:10–01:51 UTC – पहली वेव: 41 मिनट में 1,196 एड्रेस से 1,082.65 BTC ($70 मिलियन) चुराए गए । यह हमला Coinkite के पब्लिक वॉर्निंग जारी करने से लगभग 30 घंटे पहले शुरू हुआ ।
• 30 जुलाई, 2026 शाम (ET) – दूसरी वेव: 25 मिनट में लगभग 500 वॉलेट्स से 594 BTC ($38 मिलियन) चुराए गए ।
• जुलाई के अंत से 3 अगस्त, 2026 – कम से कम दो और वेव्स आईं। Galaxy Research ने तीन कन्फर्म वेव्स और 14 छोटी घटनाओं को ट्रैक किया ।
• 31 जुलाई, 2026 – Coinkite ने सभी प्रभावित मॉडलों के लिए इमरजेंसी पैच जारी किया ।
• 1–4 अगस्त, 2026 – जैसे-जैसे हैक जारी रहा, पब्लिक वॉर्निंग तेज हो गईं। Galaxy Research ने लॉस के आंकड़े कई बार ऊपर की ओर रिवाइज किए ।
• 7–12 अगस्त, 2026 – चेन पर हुए इस उथल-पुथल का असर दिखने लगा: बड़े पैमाने पर होल्डर माइग्रेशन और नए वॉलेट का रिकॉर्ड क्रिएशन ।

कुल कितना Bitcoin चुराया गया?

सबसे विश्वसनीय आंकड़ा TRM Labs और Galaxy Research का है: चार वेव्स में 5,200 से अधिक एड्रेस से लगभग 1,816 BTC ($116 मिलियन) । शुरुआती रिपोर्ट्स में कम आंकड़े थे (जैसे 1,367 BTC) क्योंकि जांच अभी पूरी नहीं हुई थी । कुछ अनुमानों के अनुसार, यदि चौथी वेव पूरी तरह वेरिफाई हो जाती है तो कुल नुकसान 2,055 BTC ($130 मिलियन) तक पहुंच सकता है ।

$15 बिलियन का माइग्रेशन: 2.33 लाख BTC ने लॉन्ग-टर्म वॉलेट छोड़ा

हैक के बाद के दिनों में:

• Checkonchain के डेटा से पता चला कि 2.33 लाख BTC लॉन्ग-टर्म होल्डर वॉलेट्स से निकल गए, जिनकी कीमत लगभग $15 बिलियन थी ।
• Glassnode ने बताया कि लगभग 2.10 लाख BTC ($13.69 बिलियन) 155 दिनों से निष्क्रिय वॉलेट्स से निकले – दिसंबर 2024 के बाद यह सबसे बड़ी साप्ताहिक गिरावट थी ।

रिकॉर्ड वॉलेट क्रिएशन: एक हफ्ते में 22.7 लाख नए वॉलेट

हैक के बाद के हफ्ते में (लगभग 8 अगस्त 2026 को समाप्त), बिटकॉइन ने 2026 का ऑन-चेन एक्टिविटी रिकॉर्ड बनाया:

• 22.7 लाख नए वॉलेट बनाए गए।
• 7.51 लाख एक्टिव वॉलेट रिकॉर्ड किए गए।

सेल्फ-कस्टडी पर बहस

इस एक्सप्लॉइट ने हार्डवेयर वॉलेट और सेल्फ-कस्टडी की सुरक्षा को लेकर बहस छेड़ दी:

• Casa CEO निक न्यूमैन ने बताया कि Coldcard हैक का हवाला देते हुए कुछ ग्राहक सेल्फ-कस्टडी छोड़कर क्वालिफाइड कस्टोडियन की ओर जा रहे हैं ।

इस कमजोरी का फायदा उठाकर हैकर ने पांच दिनों में चार हमले किए । पहली वेव में, 30 जुलाई 2026 को सिर्फ 41 मिनट में 1,082.65 BTC ($70 मिलियन) चुरा लिए गए। कुल मिलाकर TRM Labs और Galaxy Research की रिपोर्ट के अनुसार, 5,200 से अधिक वॉलेट एड्रेस से लगभग 1,816 BTC (तब लगभग $116 मिलियन) चुराए गए ।

इस चोरी ने पूरे बिटकॉइन समुदाय में हड़कंप मचा दिया। लोगों ने अपने बिटकॉइन को सुरक्षित जगहों पर शिफ्ट करना शुरू कर दिया। Checkonchain और Glassnode के डेटा से पता चलता है कि एक हफ्ते में लगभग 2.33 लाख BTC (लगभग $15 बिलियन) लॉन्ग-टर्म होल्डर वॉलेट्स से निकल गए । यह दिसंबर 2024 के बाद सबसे बड़ी साप्ताहिक गिरावट थी । इसी दौरान बिटकॉइन नेटवर्क पर एक रिकॉर्ड 22.7 लाख नए वॉलेट भी बनाए गए ।

Coldcard बनाने वाली कंपनी Coinkite ने 31 जुलाई को इमरजेंसी फ़र्मवेयर पैच जारी किया, लेकिन साफ किया कि सिर्फ फ़र्मवेयर अपडेट करने से पुरानी कमजोर सीड सुरक्षित नहीं हो जाएगी । उन्होंने सभी प्रभावित उपयोगकर्ताओं से कहा कि वे पैच किए गए फ़र्मवेयर पर पूरी तरह से नई सीड जनरेट करें और अपने सभी फंड नए वॉलेट में ट्रांसफर करें ।

इस पूरी घटना ने सेल्फ-कस्टडी (खुद अपनी क्रिप्टोकरेंसी की सुरक्षा करना) की धारणा को जोरदार झटका दिया। Casa के CEO निक न्यूमैन ने बताया कि कुछ लोग अब अपनी क्रिप्टोकरेंसी क्वालिफाइड कस्टोडियंस (जैसे एक्सचेंज) को सौंपने पर विचार कर रहे हैं ।

कमजोरी का कारण: एक बिल्ड फ़्लैग जिसने रैंडमनेस तोड़ दी

Coldcard के मार्च 2021 के फ़र्मवेयर अपडेट में कोडिंग की एक गलती हुई। इस गलती के कारण वॉलेट की सीड बनाते समय डिवाइस का समर्पित हार्डवेयर रैंडम नंबर जनरेटर (RNG) बायपास हो गया और उसकी जगह एक सॉफ्टवेयर स्यूडो-रैंडम नंबर जनरेटर का इस्तेमाल हुआ । इससे सीड की एन्ट्रॉपी 128 बिट्स से घटकर सिर्फ 40-72 बिट्स रह गई, जिससे प्राइवेट की अंदाजा लगाने योग्य (brute-force) हो गई ।

हमले की टाइमलाइन: पांच दिनों में चार वेव्स

• मार्च 2021 – फ़र्मवेयर अपडेट के दौरान बग पेश हुआ।
• 30 जुलाई 2026, 01:10–01:51 UTC – पहली वेव: 41 मिनट में 1,196 एड्रेस से 1,082.65 BTC ($70 मिलियन) चुराए गए । यह हमला Coinkite के पब्लिक वॉर्निंग जारी करने से लगभग 30 घंटे पहले शुरू हुआ ।
• 30 जुलाई, 2026 शाम (ET) – दूसरी वेव: 25 मिनट में लगभग 500 वॉलेट्स से 594 BTC ($38 मिलियन) चुराए गए ।
• जुलाई के अंत से 3 अगस्त, 2026 – कम से कम दो और वेव्स आईं। Galaxy Research ने तीन कन्फर्म वेव्स और 14 छोटी घटनाओं को ट्रैक किया ।
• 31 जुलाई, 2026 – Coinkite ने सभी प्रभावित मॉडलों के लिए इमरजेंसी पैच जारी किया ।
• 1–4 अगस्त, 2026 – जैसे-जैसे हैक जारी रहा, पब्लिक वॉर्निंग तेज हो गईं। Galaxy Research ने लॉस के आंकड़े कई बार ऊपर की ओर रिवाइज किए ।
• 7–12 अगस्त, 2026 – चेन पर हुए इस उथल-पुथल का असर दिखने लगा: बड़े पैमाने पर होल्डर माइग्रेशन और नए वॉलेट का रिकॉर्ड क्रिएशन ।

कुल कितना Bitcoin चुराया गया?

सबसे विश्वसनीय आंकड़ा TRM Labs और Galaxy Research का है: चार वेव्स में 5,200 से अधिक एड्रेस से लगभग 1,816 BTC ($116 मिलियन) । शुरुआती रिपोर्ट्स में कम आंकड़े थे (जैसे 1,367 BTC) क्योंकि जांच अभी पूरी नहीं हुई थी । कुछ अनुमानों के अनुसार, यदि चौथी वेव पूरी तरह वेरिफाई हो जाती है तो कुल नुकसान 2,055 BTC ($130 मिलियन) तक पहुंच सकता है ।

$15 बिलियन का माइग्रेशन: 2.33 लाख BTC ने लॉन्ग-टर्म वॉलेट छोड़ा

हैक के बाद के दिनों में:

• Checkonchain के डेटा से पता चला कि 2.33 लाख BTC लॉन्ग-टर्म होल्डर वॉलेट्स से निकल गए, जिनकी कीमत लगभग $15 बिलियन थी ।
• Glassnode ने बताया कि लगभग 2.10 लाख BTC ($13.69 बिलियन) 155 दिनों से निष्क्रिय वॉलेट्स से निकले – दिसंबर 2024 के बाद यह सबसे बड़ी साप्ताहिक गिरावट थी ।

रिकॉर्ड वॉलेट क्रिएशन: एक हफ्ते में 22.7 लाख नए वॉलेट

हैक के बाद के हफ्ते में (लगभग 8 अगस्त 2026 को समाप्त), बिटकॉइन ने 2026 का ऑन-चेन एक्टिविटी रिकॉर्ड बनाया:

• 22.7 लाख नए वॉलेट बनाए गए।
• 7.51 लाख एक्टिव वॉलेट रिकॉर्ड किए गए।

सेल्फ-कस्टडी पर बहस

इस एक्सप्लॉइट ने हार्डवेयर वॉलेट और सेल्फ-कस्टडी की सुरक्षा को लेकर बहस छेड़ दी:

• Casa CEO निक न्यूमैन ने बताया कि Coldcard हैक का हवाला देते हुए कुछ ग्राहक सेल्फ-कस्टडी छोड़कर क्वालिफाइड कस्टोडियन की ओर जा रहे हैं ।