कैसे $130 मिलियन के बिटकॉइन चुरा लिए गए: कोल्डकार्ड वॉलेट हैक की पूरी जांच

Galaxy Research ने इस भेद्यता का एक साथ शोषण करने वाले कम से कम 15 अलग-अलग हमलावरों की पहचान की । उल्लेखनीय रूप से, अगस्त की शुरुआत तक 90% चुराए गए बिटकॉइन अभी भी स्थानांतरित नहीं हुए थे, और Galaxy Research ने अमेरिकी संघीय कानून प्रवर्तन को हमलावरों के पते उपलब्ध कराए ।

मूल कारण: मार्च 2021 की फर्मवेयर बग

यह भेद्यता मार्च 2021 में जारी Coldcard फर्मवेयर v4.0.1 में पेश की गई एक प्रीप्रोसेसर मैक्रो त्रुटि थी । एक C प्रीप्रोसेसर गार्ड ने किसी मैक्रो के मान का परीक्षण करने के बजाय यह जांचा कि वह परिभाषित है या नहीं। इसके कारण लिंकर ने STM32 हार्डवेयर रैंडम नंबर जनरेटर (TRNG) के बजाय एक डिटर्मिनिस्टिक सॉफ्टवेयर स्यूडोरैंडम नंबर जनरेटर (PRNG) के विरुद्ध सीड जनरेशन को हल किया । यह बग ओपन-सोर्स कोड में पांच साल से अधिक समय तक अनदेखी पड़ी रही ।

एन्ट्रॉपी का पतन: Mk2 और Mk3 डिवाइसों पर (फर्मवेयर v4.0.1 से v4.1.9 तक चलने वाले), प्रभावी एन्ट्रॉपी इच्छित 128 बिट्स से गिरकर लगभग ~40 बिट्स रह गई । Mk4, Mk5 और Q मॉडल पर, फॉलबैक ने लगभग 72 बिट्स दिए — जो स्पेक से कम है । ~40-बिट एन्ट्रॉपी वाले सीड्स को डिवाइस तक भौतिक पहुंच के बिना ब्रूट-फोर्स किया जा सकता है ।

एक्सप्लॉइट की समयरेखा

यह हमला चिंताजनक गति से आगे बढ़ा:

• 30 जुलाई 2026, ~01:10–01:56 UTC: पहले हमलावर ने तीन-ब्लॉक विंडो (लगभग 25 मिनट) में ~500 सिंगल-सिग्नेचर वॉलेट्स से लगभग 594 BTC (~$38M) निकाल लिए । हमलावर ने कमजोर सीड्स को 41 मिनट में ब्रूट-फोर्स कर लिया ।
• 1 अगस्त तक: नुकसान ~1,082 BTC तक पहुंच गया। दूसरी हमले की लहर ने ~284 BTC निकाल लिए ।
• 2–4 अगस्त: तीसरी लहर आई, और Galaxy Research ने एक संदिग्ध चौथी लहर की पहचान की ।
• प्रभावित पतों की कुल संख्या: 5,200 (Forbes/TRM) से लेकर 7,300 (Galaxy Research) से अधिक ।

प्रभावित सभी वॉलेट सिंगल-सिग्नेचर कॉन्फ़िगरेशन वाले थे। मल्टी-सिग्नेचर वॉलेट प्रभावित नहीं हुए ।

Coinkite का फर्मवेयर पैच — और इसकी महत्वपूर्ण सीमा

Coinkite ने एक पैच किया हुआ फर्मवेयर जारी किया जो भविष्य की सीड जनरेशन के लिए सही हार्डवेयर RNG पथ को पुनर्स्थापित करता है । हालांकि, यह पैच समझौता किए गए फर्मवेयर द्वारा पहले से उत्पन्न सीड्स को पूर्वव्यापी रूप से ठीक नहीं कर सकता। जिन उपयोगकर्ताओं के वॉलेट मार्च 2021 और पैच जारी होने के बीच बनाए गए थे, उन्हें तुरंत एक नए फ्रेशली जनरेटेड सीड के साथ नए वॉलेट में फंड ट्रांसफर करने की सलाह दी गई । कंपनी ने बग के बारे में चेतावनी देने के लिए 2019 से ग्राहकों को ईमेल किया और अपनी शेष कमजोर इन्वेंट्री को नष्ट कर दिया ।

Coinkite की डेटा-डिलीशन नीति में बदलाव

ब्रीच से पहले, Coinkite की 90–120 दिनों के बाद ग्राहक डेटा (ईमेल, खरीद रिकॉर्ड) को स्वचालित रूप से हटाने की एक सख्त गोपनीयता नीति थी । हैक के बाद, कंपनी ने इस नीति को उलट दिया, यह घोषणा करते हुए कि वह अपेक्षित कानूनी कार्यवाही की तैयारी में ग्राहक रिकॉर्ड बनाए रखेगी । इसने गोपनीयता-केंद्रित उपयोगकर्ताओं से काफी प्रतिक्रिया को जन्म दिया, जिन्होंने आंशिक रूप से इसके डेटा-न्यूनीकरण रुख के लिए Coldcard को चुना था । Coinkite ने कहा कि डेटा को प्रतिबंधित पहुंच के साथ संग्रहीत किया जाएगा और ग्राहक अभी भी मानक विलोपन का अनुरोध कर सकते हैं । 117 Partners के Thomas Braziel कथित तौर पर Coinkite के खिलाफ उत्पाद देयता दावों और एक संभावित क्लास-एक्शन मुकदमे की जांच कर रहे हैं ।

उद्योग की प्रतिक्रिया: बिटकॉइन ETF में प्रवाह में वृद्धि

इस ब्रीच ने 2026 में ऑनचेन गतिविधि को उच्चतम स्तर पर पहुंचा दिया क्योंकि पीड़ितों ने शेष फंड को स्थानांतरित कर दिया और व्यापक बाजार ने सेल्फ-कस्टडी जोखिम का पुनर्मूल्यांकन किया । हैक के बाद के सप्ताह में US स्पॉट बिटकॉइन ETF में साप्ताहिक शुद्ध प्रवाह लगभग $853 मिलियन तक बढ़ गया, क्योंकि संस्थागत निवेशकों ने Coldcard की विफलता के जवाब में विनियमित कस्टडी समाधानों की ओर रुख किया ।

व्यापक सुरक्षा और सेल्फ-कस्टडी निहितार्थ

Coldcard हैक ने बिटकॉइन सेल्फ-कस्टडी समुदाय के लिए कई असुविधाजनक सच्चाइयों को स्पष्ट कर दिया:

• सिंगल-सिग्नेचर जोखिम बढ़ गया: इस घटना ने प्रदर्शित किया कि सिंगल-सिग्नेचर सेटअप उपयोगकर्ताओं को कुंजी निर्माण में एकल बिंदु विफलता के लिए उजागर करते हैं। मल्टी-सिग्नेचर या थ्रेशोल्ड योजनाएं कमजोर RNG के बावजूद भी अप्रभावित रहतीं ।
• ओपन-सोर्स पारदर्शिता की दोधारी तलवार: यह बग पांच साल से अधिक समय तक सार्वजनिक कोड में रहा और पकड़ा नहीं गया — यह "कोड का ऑडिट किया जा सकता है" और "कोड का वास्तव में ऑडिट किया गया है" के बीच के अंतर को रेखांकित करता है ।
• हार्डवेयर RNG बनाम सॉफ्टवेयर फॉलबैक: इस मामले ने दिखाया कि एक बिल्ड-कॉन्फ़िगरेशन त्रुटि चुपचाप हार्डवेयर एन्ट्रॉपी को हराकर "कोल्ड" वॉलेट को हॉट वॉलेट की भेद्यता में बदल सकती है ।
• विनियमित कस्टडी की ओर बदलाव: $853M के साप्ताहिक ETF प्रवाह ने बड़े धारकों के बीच सेल्फ-कस्टडी हार्डवेयर वॉलेट्स से संस्थागत-ग्रेड कस्टडी समाधानों की ओर एक मापनीय पलायन का सुझाव दिया ।
• हार्डवेयर वॉलेट निर्माताओं के लिए कानूनी देयता: Coinkite द्वारा अपनी डेटा-रिटेंशन नीति को उलटने और उपयोगकर्ता मुकदमों की उम्मीद ने संकेत दिया कि हार्डवेयर वॉलेट निर्माताओं को फर्मवेयर बग के लिए देयता का सामना करना पड़ सकता है, जो संभावित रूप से क्षेत्र में वारंटी शर्तों और बीमा को नया आकार देगा ।