Ledger स्पाई चिप घोटाला: क्या हार्डवेयर वॉलेट्स अब भी क्रिप्टो कोल्ड स्टोरेज सुरक्षित रख सकते हैं?

​Ledger ने एक ग्राहक के डिवाइस में अनधिकृत हार्डवेयर इम्प्लांट की पुष्टि की, जिसका संबंध $86 मिलियन से अधिक के क्रिप्टो नुकसान से है। इससे हार्डवेयर-वॉलेट आपूर्ति-श्रृंखला की गंभीर कमजोरी उजागर होती है। दक्षिण-पूर्व एशियाई रीसेलर CryptoBilis की आगे की जांच से भौतिक छेड़छाड़ के जोखिमों और कोल्ड वॉलेट्स को क्रिप्टो स्टोरेज के सबसे सुरक्षित माध्यम के रूप में फिर से स्थापित करने के तरीकों का पता चलेगा।

पुष्ट इम्प्लांट और नुकसान का पैमाना

Ledger द्वारा अनधिकृत हार्डवेयर इम्प्लांट की पुष्टि ने उसके वॉलेट्स से जुड़ी कई छिपी समस्याओं को उजागर किया है। प्रमुख जोखिम उन खरीदारों में देखे गए हैं जिन्होंने दक्षिण-पूर्व एशियाई रीसेलर CryptoBilis के माध्यम से डिवाइस खरीदे थे। Ledger का कहना है कि उसके सिस्टम में कोई कमजोरी नहीं है। Bitquery के ब्लॉकचेन विश्लेषकों ने Tron, Bitcoin, Ethereum, BNB Chain, Polygon और Solana में फैले 315 वॉलेट्स से लगभग $93.2 मिलियन निकाले जाने का अनुमान लगाया। Tether ने संबंधित USDT में से लगभग $10 मिलियन फ्रीज कर दिए। Ledger ने अभी तक इन आंकड़ों की पुष्टि नहीं की है। 

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

10 अक्टूबर को Ledger Support ने स्थिति संबंधी अपडेट पोस्ट करते हुए कहा: 

“Ledger पुष्टि कर सकता है कि प्रभावित उपयोगकर्ताओं में से एक के डिवाइस में अनधिकृत हार्डवेयर इम्प्लांट था।” 

कंपनी अधिकारियों और सुरक्षा समूह SEAL 911 के साथ सहयोग कर रही है। उसने CryptoBilis से सभी हार्डवेयर-वॉलेट बिक्री रोकने का अनुरोध किया है। 

बयान में आगे कहा गया, “हमें ऐसा कोई संकेत नहीं मिला है कि Ledger के सुरक्षा इन्फ्रास्ट्रक्चर, सिस्टम या सेवाओं से समझौता हुआ है।” 

स्पाई मॉड्यूल की संरचना

शोधकर्ताओं ने एक परिष्कृत भौतिक संशोधन का वर्णन किया है, जिसके लिए सॉफ्टवेयर एक्सप्लॉइट या सिक्योर एलिमेंट में सेंध की आवश्यकता नहीं थी। पूर्व Mt. Gox मुख्य कार्यकारी Mark Karpelès ने मलेशिया में खरीदे गए Ledger Nano X की जांच की और उसमें एक छोटा सर्किट बोर्ड पाया। 

उन्होंने लिखा, “मेरा स्पाई-इम्प्लांट वाला Ledger मलेशिया से आया था और उसकी श्रिंक रैपिंग बिल्कुल सही थी।” “इसे खोलने पर भी, शुरुआत में इम्प्लांट दिखाई नहीं देता, क्योंकि इसे चतुराई से वहां छिपाया गया है जहां स्क्रीन की पैडिंग होनी चाहिए।”

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

इम्प्लांट में आमतौर पर एक माइक्रोकंट्रोलर, सेल्युलर या LTE मॉड्यूल, एक eSIM और एक एंटीना शामिल होता है। डिवाइस प्रारंभिक सेटअप के दौरान जब अपनी 24-शब्दों वाली रिकवरी फ्रेज बनाता है, तो मॉड्यूल पिक्सेल स्ट्रीम से शब्दों का पुनर्निर्माण कर उन्हें सेल्युलर नेटवर्क के माध्यम से भेज सकता है। चूंकि सिक्योर एलिमेंट असली बना रहता है, Ledger का “Genuine Check” फिर भी पास हो जाता है। इसलिए सामान्य उपयोगकर्ता के लिए समस्या पहचानने की संभावना लगभग नहीं के बराबर होती है।

चैनल की समस्या, फैक्ट्री की विफलता नहीं

Ledger ने कहा है कि यह घटना केवल CryptoBilis के माध्यम से बेचे गए डिवाइसों तक सीमित है, जो इंडोनेशिया, मलेशिया और फिलीपींस में काम करने वाला एक अधिकृत रीसेलर है। फिलहाल, Ledger के अपने स्टोर से सीधे खरीदे गए डिवाइसों में किसी समस्या का कोई मामला नहीं है। कंपनी का कहना है कि फैक्ट्री से उत्पाद निकलने के बाद कोई भी वैश्विक आपूर्ति-श्रृंखला अवरोधन से पूरी तरह सुरक्षित नहीं होती। CryptoBilis के पूर्व सह-संस्थापकों ने कहा है कि 2026 की शुरुआत में व्यवसाय का स्वामित्व बदल गया था, इसलिए उनका दावा है कि वे इन निकासियों के लिए जिम्मेदार नहीं हैं।

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

ऑन-चेन गतिविधि का पैटर्न दिखाता है कि कई वॉलेट्स ने सेकंडों के भीतर एक ही स्पेंडर को अनुमति दी। इससे साबित होता है कि ये मामले अलग-अलग फिशिंग प्रयासों के बजाय निजी कुंजियों तक समन्वित पहुंच के उदाहरण हैं। हालांकि, आंतरिक जांच जारी रहने के कारण Ledger ने प्रत्येक खाली किए गए पते को किसी पुष्ट इम्प्लांट से नहीं जोड़ा है।

विशेषज्ञों की जांच और पहले की चेतावनियां

हार्डवेयर विश्लेषकों ने निर्धारित किया है कि मॉड्यूल सिक्योर एलिमेंट पर हमला किए बिना अनएन्क्रिप्टेड डिस्प्ले ट्रैफिक की निष्क्रिय निगरानी करता है। Karpelès और Tibane Labs के अनुसार, बाद के संस्करणों में दिखने वाली वायरिंग कम कर दी गई थी। इससे साधारण जांच में बच निकलने के लिए मूल बैटरी बरकरार रही। विशेषज्ञों ने उपयोगकर्ताओं के लिए अपने डिवाइस सत्यापित करने हेतु नए वीडियो ट्यूटोरियल प्रस्तुत किए हैं।

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

SlowMist के मुख्य सूचना सुरक्षा अधिकारी ने कहा कि ऐसा मॉड्यूल रिकवरी फ्रेज को लॉग कर सकता है। हालांकि, प्रमुख मूल कारणों को पूरी तरह समझने के लिए जांच आवश्यक है। इस घोटाले ने नए फिशिंग प्रयासों को भी जन्म दिया: सर्च परिणामों में नकली Ledger वेबसाइटें और ऐप्स दिखाई दिए। Ledger के प्रतिनिधियों ने याद दिलाया कि कंपनी कभी भी उपयोगकर्ता की 24-शब्दों वाली फ्रेज नहीं मांगेगी।

कोल्ड स्टोरेज के लिए निहितार्थ

हार्डवेयर वॉलेट्स को पारंपरिक रूप से सेल्फ-कस्टडी का स्वर्ण मानक माना जाता है, क्योंकि निजी कुंजियां डिवाइस से बाहर नहीं जातीं। हालांकि, यह घोटाला एक नए प्रकार का जोखिम दिखाता है जो वितरण स्तर पर उत्पन्न हो सकता है। Ledger का कहना है कि वह “आगे के, उन्नत एंटी-टैम्परिंग समाधानों” पर काम कर रहा है और उपयोगकर्ताओं को केवल आधिकारिक चैनलों से खरीदने तथा सेटअप से पहले वॉलेट्स की दृश्य जांच करने की सलाह देता है। 

X पर पोस्ट देखें लोड हो रहा है...

ट्वीट लेखक द्वारा हटा दिया गया था.

लेकिन हमने सब कुछ सहेज लिया 🙂.

फॉरेंसिक जांच से नुकसान का पूरा पैमाना सामने आएगा, क्योंकि इस बात की प्रबल संभावना है कि कई मामले अभी भी दर्ज नहीं हुए हैं। इसलिए हम प्रभावित चैनल से आए किसी भी डिवाइस को संभावित रूप से समझौता-ग्रस्त मानने की सलाह देते हैं। यदि फंड्स जोखिम में हो सकते हैं, तो विश्वसनीय (नए) वॉलेट पर नया सीड फ्रेज बनाएं।