Coldcard हैक: 5 साल पुरानी फर्मवेयर खामी से 8.9 करोड़ डॉलर का Bitcoin कैसे चोरी हुआ

समस्या को और गंभीर बनाने वाली बात यह थी कि supporting library में मौजूद जांच केवल यह देखती थी कि configuration setting मौजूद है या नहीं। वह यह नहीं जांचती थी कि setting वास्तव में enabled है या नहीं । इसलिए डिवाइस ने किसी स्पष्ट error के बिना कमजोर fallback का इस्तेमाल जारी रखा।

Seed phrase किसी Bitcoin वॉलेट की मास्टर चाबी की तरह होती है। प्रभावित डिवाइसों में यह phrase ऐसे गैर-गुप्त chip data से तैयार हुआ, जिसमें device serial number और clock registers जैसी जानकारी शामिल थी । नतीजा यह हुआ कि अपेक्षित 128-bit entropy के बजाय seed में करीब 72-bit entropy रह गई—इतनी कम कि हमलावर offline brute-force के जरिए संभावित keys दोबारा बना सकता था ।

कौन-से Coldcard डिवाइस प्रभावित हुए?

Coinkite के अनुसार, जोखिम खास firmware versions पर चलने वाले कई Coldcard मॉडल में था:

• Mk3: firmware 4.0.1 से 5.0.3 तक
• Mk4 और Mk5: firmware 5.6.0 से पहले के संस्करण
• Coldcard Q: firmware 1.5.0Q से पहले के संस्करण

मार्च 2021 के बाद प्रभावित डिवाइस पर बनाया गया कोई भी seed phrase संभावित रूप से जोखिम में था । इसका अर्थ यह नहीं था कि हर Coldcard डिवाइस प्रभावित हुआ, बल्कि खतरा खास firmware versions और उन पर बनाए गए seed phrases तक सीमित था ।

हमले में कितनी रकम गई?

हमले की कम-से-कम तीन लहरें करीब 30 जुलाई 2026 से शुरू हुईं और 4,500 से अधिक पतों को प्रभावित किया । एक तेज हमले में केवल 25 मिनट के भीतर 594 BTC चोरी होने की बात सामने आई ।

शुरुआती अनुमान Galaxy Research ने करीब 7 करोड़ डॉलर का लगाया था। बाद में अधिक प्रभावित पतों की पहचान होने पर रिपोर्टों में कुल नुकसान लगभग 8.9 करोड़ से 11.6 करोड़ डॉलर के बीच बताया गया—यह अंतर रिपोर्टिंग के समय Bitcoin की कीमत और पहचाने गए पतों की संख्या से जुड़ा था ।

महत्वपूर्ण बात यह है कि यह Bitcoin protocol या उसकी cryptography में कमजोरी नहीं थी। मूल समस्या Coldcard firmware में seed generation के दौरान randomness के गलत इस्तेमाल की थी ।

Whale खरीदते रहे, छोटे निवेशक घबराकर बिके

Coldcard घटना के बाद on-chain data में निवेशकों के व्यवहार का स्पष्ट अंतर दिखाई दिया। Santiment के आंकड़ों के अनुसार, 10 से 10,000 BTC रखने वाले बड़े वॉलेटों ने 29 जुलाई से अगस्त की शुरुआत तक कुल 19,610 BTC जोड़े। यह उनकी संयुक्त holdings में 0.14% की बढ़ोतरी थी और उस समय लगभग 1.25 अरब डॉलर के बराबर थी । कुछ अन्य रिपोर्टों में आठ दिनों की अवधि में यह accumulation 19,696 से 19,700 BTC के बीच बताया गया ।

दूसरी ओर, 0.01 BTC से कम रखने वाले छोटे वॉलेटों की balances इसी अवधि में 0.55% घट गईं । Spot BTC trading volume भी 75% तक गिरा, क्योंकि छोटे निवेशकों की dip-buying गतिविधि कमजोर पड़ गई । इस panic selling को नवंबर 2022 के FTX collapse के बाद देखे गए स्तरों के समान बताया गया ।

इन आंकड़ों से यह जरूर पता चलता है कि बड़े और छोटे वॉलेटों का व्यवहार अलग था, लेकिन whale accumulation को बाजार में तेजी की गारंटी नहीं माना जा सकता। यह केवल उस समय के on-chain distribution और investor sentiment का संकेत है।

2026 में पहले से बढ़ा हुआ था crypto security संकट

Coldcard हैक ऐसे समय सामने आया जब 2026 की पहली छमाही पहले ही क्रिप्टो सुरक्षा के लिए बेहद खराब साबित हो चुकी थी:

• जनवरी से जून 2026 के बीच 207 crypto hacks और exploits दर्ज हुए—किसी भी छह महीने की अवधि का रिकॉर्ड और 2025 की पहली छमाही के 85 मामलों से दोगुने से अधिक ।
• कुल नुकसान करीब 97.2 करोड़ डॉलर रहा, जो 2025 की पहली छमाही में चोरी हुए 2.3 अरब डॉलर के आधे से भी कम था ।
• North Korea-linked समूहों को करीब 66% चोरी की रकम, यानी लगभग 64.3 करोड़ डॉलर, के लिए जिम्मेदार ठहराया गया ।
• Smart contract exploits 207 में से 125 मामलों, यानी करीब 60%, के लिए जिम्मेदार रहे ।
• Infrastructure और operational compromises केवल 15% घटनाओं में दिखे, लेकिन कुल चोरी की रकम में उनका हिस्सा करीब 76% था ।

यह तस्वीर बताती है कि हमले अधिक बार हो रहे हैं, भले ही हर हमले का औसत नुकसान पहले की तुलना में कम हो। साथ ही, कम संख्या वाले infrastructure या key-management failures अब भी बहुत बड़ी रकम का नुकसान कर सकते हैं।

Coldcard उपयोगकर्ताओं के लिए इसका मतलब

इस घटना के बाद सुरक्षा शोधकर्ताओं और एक्सचेंजों ने प्रभावित Coldcard उपयोगकर्ताओं से seed phrase बदलने और funds को नए वॉलेट में migrate करने की अपील की । केवल firmware update करना उन पुराने seed phrases के लिए पर्याप्त सुरक्षा नहीं माना जा सकता, क्योंकि एक बार कमजोर randomness से seed बन जाने के बाद उसकी private key संभावित रूप से दोबारा बनाई जा सकती है।

Coldcard जैसे air-gapped hardware wallet का मूल विचार यह है कि private keys इंटरनेट से दूर रहें। लेकिन यह मामला दिखाता है कि सुरक्षा केवल physical isolation पर निर्भर नहीं करती। Firmware, build configuration, random-number generation और software supply chain—इन सभी कड़ियों का सही काम करना जरूरी है। एक छोटी coding error भी वर्षों बाद बड़े पैमाने पर नुकसान का कारण बन सकती है।