$70 मिलियन का Coldcard फर्मवेयर एक्सप्लॉइट: कैसे पांच साल पुरानी एंट्रॉपी बग ने 1,082 BTC उड़ाए

एक अलग पहले हमले में, लगभग 25 मिनट में करीब 500 सिंगल-सिग्नेचर वॉलेट से 594 BTC (~$38 मिलियन) चुराए गए । Galaxy Research, Chainalysis और Block की इंजीनियरिंग टीम ने स्वतंत्र रूप से इन चोरियों को Coldcard की कमज़ोरी से जोड़ा ।

कैसे हैकर ने ब्लॉकचेन एनालिटिक्स सेवा का इस्तेमाल किया?

Block की Bitcoin इंजीनियरिंग और सुरक्षा टीम के इंजीनियर क्ले गैरेट के अनुसार, हैकर ने एक प्रसिद्ध ब्लॉकचेन-सर्विसेज़ प्रदाता के पेड अकाउंट का इस्तेमाल कमज़ोर वॉलेट की पहचान करने और उनके एड्रेस को क्वेरी करने के लिए किया । जांचकर्ताओं को हैकर के ऑन-चेन पैटर्न से यह संदेह हुआ, जिसमें एक ही कमज़ोरी वाले एड्रेस को बहुत तेज़ी से और लगातार टार्गेट किया गया था । गैरेट ने इसे "असाधारण विशिष्टता, अकाउंट स्तर तक" बताया । इस सेवा ने हैकर को एक रिकॉनिसेंस टूल की तरह काम दिया, जिससे वह सबसे अमीर वॉलेट को प्राथमिकता दे सका ।

मूल कारण: एक प्रीप्रोसेसर गलती

यह बग मार्च 2021 के फर्मवेयर कमिट (Mk3 फर्मवेयर v4.0.1 से शुरू) में Bitcoin Core की libsecp256k1 लाइब्रेरी में माइग्रेशन के दौरान आया । एक बिल्ड-कंफ़िगरेशन मैक्रो एरर के कारण फर्मवेयर ने डिवाइस के समर्पित STM32 हार्डवेयर रैंडम नंबर जनरेटर (TRNG) को बायपास कर दिया और MicroPython के डिटर्मिनिस्टिक Yasmarang सॉफ्टवेयर RNG का उपयोग करने लगा ।

प्रोडक्शन बोर्ड कॉन्फ़िगरेशन ने MICROPY_HW_ENABLE_RNG को जीरो पर सेट किया था क्योंकि Coldcard का अपना एक अलग हार्डवेयर-RNG रैपर था। लेकिन libngu लाइब्रेरी ने इस मैक्रो की जांच गलत तरीके से की: उसका गार्ड कंडीशन (#ifndef MICROPY_HW_ENABLE_RNG) सिर्फ यह चेक करता था कि मैक्रो डिफ़ाइन है या नहीं, न कि उसकी वैल्यू क्या है । चूंकि मैक्रो डिफ़ाइन था (भले ही वैल्यू जीरो थी), libngu ने सोचा कि हार्डवेयर पाथ उपलब्ध है और MicroPython के सॉफ्टवेयर-आधारित rng_get() फंक्शन को बाइंड कर दिया ।

इससे सीड की एंट्रॉपी सिर्फ 32-40 बिट्स (128+ बिट्स के बजाय) रह गई, जिसका मतलब था कि केवल 4 अरब संभावित सीड वैल्यू थीं, जिन्हें आधुनिक हार्डवेयर से आसानी से क्रैक किया जा सकता था । जिन सीड्स को बिना यूज़र-एडेड डाइस रोल या BIP 39 पासफ़्रेज़ के जनरेट किया गया था, वे पूरी तरह से असुरक्षित थे ।

Coinkite के CEO Rodolfo Novak (NVK) ने बाद में इस गलती को स्वीकार किया: "मैंने MICROPY_HW_ENABLE_RNG को जीरो पर सेट किया था, यह सोचकर कि हमें किसी भी वर्ज़न की ज़रूरत नहीं है, लेकिन यह वैसे काम नहीं करता" ।

प्रभावित और अप्रभावित डिवाइस

Coinkite ने बाद में अपनी एडवाइज़री को कुछ Mk4, Mk5 और Q फर्मवेयर वर्ज़न तक बढ़ा दिया और सभी प्रभावित मॉडलों के लिए इमरजेंसी फर्मवेयर अपडेट जारी किए ।

प्रभावित उपयोगकर्ताओं के लिए निहितार्थ

• पैसे वापस नहीं आ सकते। चुराए गए Bitcoin को कंसोलिडेट कर मिक्सिंग सेवाओं के माध्यम से लॉन्डर किए जाने की संभावना है ।
• फर्मवेयर पैच लगाने के बाद भी पुराने सीड असुरक्षित हैं। उपयोगकर्ताओं को पैच किए गए फर्मवेयर पर पूरी तरह से नया सीड जनरेट करना होगा और सभी फंड नए एड्रेस पर ट्रांसफर करने होंगे ।
• Mk3 पर मार्च 2021 से जुलाई 2026 के बीच जनरेट किए गए सीड को बर्न मानें, भले ही उनसे पैसे न चुराए गए हों, क्योंकि वे अभी भी इस हमले के प्रति संवेदनशील हैं ।
• एक्स्ट्रा पासफ़्रेज़ या यूज़र द्वारा डाले गए डाइस रोल ने बग के प्रभाव को कम कर दिया और कमज़ोर फर्मवेयर पर भी कुछ यूज़र्स को सुरक्षित रखा ।

स्व-संरक्षण (Self-Custody) बहस पर प्रभाव

इस एक्सप्लॉइट ने स्व-संरक्षण के मूलभूत वादों में से एक को हिला कर रख दिया है — कि हार्डवेयर वॉलेट का सिक्योर एलिमेंट सॉफ्टवेयर बग्स के बावजूद क्रिप्टोग्राफ़िक सुरक्षा की गारंटी देता है ।

• कोल्ड स्टोरेज भी पूरी तरह सुरक्षित नहीं है। Binance के संस्थापक Changpeng Zhao (CZ) ने सार्वजनिक रूप से चेतावनी दी है कि फर्मवेयर की कमज़ोरियां एयर-गैप्ड वॉलेट को भी असुरक्षित बना सकती हैं ।
• बहस अब यह हो रही है कि क्या आम निवेशकों के लिए स्व-संरक्षण का ऑपरेशनल रिस्क उठाना उचित है। कुछ विश्लेषकों का अनुमान है कि इस घटना के बाद निवेशक रेग्युलेटेड कस्टोडियन और Bitcoin ETFs की ओर लौट सकते हैं ।
• बग पांच साल तक ओपन-सोर्स कोड में बिना पकड़ में आए रहा, जो दिखाता है कि ओपन-सोर्स पारदर्शिता अकेले सुरक्षा की गारंटी नहीं है। कुछ शोधकर्ताओं का मानना है कि सूक्ष्म RNG इंटीग्रेशन एरर को पकड़ने के लिए AI-संचालित ऑटोमेटेड ऑडिटिंग की ज़रूरत है, न कि सिर्फ मानव कोड रिव्यू की ।
• यह घटना एक सिंगल पॉइंट ऑफ़ फ़ेलियर को भी उजागर करती है: अगर किसी हार्डवेयर वेंडर से एक एंट्रॉपी गलती हो जाए, तो उस फर्मवेयर पर जनरेट हर वॉलेट एक साथ असुरक्षित हो जाता है। कस्टोडियल समाधान की-स्प्लिटिंग और मल्टी-पार्टी कंप्यूटेशन के माध्यम से इस व्यवस्थित जोखिम को कुछ हद तक कम करते हैं।

विस्तृत तकनीकी जानकारी के लिए, Block का इंजीनियरिंग रिपोर्ट और Coinkite का तकनीकी बैकग्राउंडर देखें।