एक आर्टिफिशियल इंटेलिजेंस (AI) सिक्योरिटी फर्म ने Ledger Ethereum ऐप की एक बग को पब्लिक कर दिया। Ledger का कहना है कि उसने यह समस्या दो हफ्ते पहले ही चुपचाप फिक्स कर दी थी।
चीफ टेक्नोलॉजी ऑफिसर Charles Guillemet ने इस डिस्क्लोजर को “डर फैलाने वाला” बताया। यह पैच 12 अगस्त को एक लाइन के नोट के साथ जारी हुआ था, जिसमें कोई सिक्योरिटी बुलेटिन नहीं था।
Ledger Ethereum ऐप में बग ने असल में क्या किया?
Ledger एक मुख्य वादा करता है — स्क्रीन पर आपको वही दिखता है, जो आप साइन कर रहे हैं। इस वादे का एक नाम है — Ledger इसे क्लियर साइनिंग कहता है। इसमें ट्रांजैक्शन कोड को डिवाइस स्क्रीन पर साधारण भाषा में बदल दिया जाता है।
TestMachine का कहना है कि उसने इस प्रक्रिया को बायपास करने का तरीका ढूंढ लिया। ये फर्म Azimuth नाम का एक AI एजेंट बनाती है, जो स्मार्ट कॉन्ट्रैक्ट्स में एक्सप्लाइट खोजता है। अपने EVMBench बेंचमार्क पर, Azimuth करीब 86.3% ज्ञात बग्स पकड़ता है, जिसमें लगभग 2.7% false positives होते हैं।
साधारण भाषा में समझें तो इसमें यह समस्या थी — अगर कोई मैलिशियस वेबसाइट किसी डिवाइस को दूसरा कमांड भेज दे, जब आप अभी पहला कमांड पढ़ ही रहे हों।
ब्राउज़र और डिवाइस के बीच चैनल को Application Protocol Data Unit, या APDU कहा जाता है। यह चैनल रिव्यू के दौरान भी सुनता रहता था, यानी डिवाइस ने कमांड स्वैप को स्वीकार कर लिया।
आप स्क्रीन पर एक छोटा ट्रांसफर देखेंगे। फिर जैसे ही आप “एप्रूव” पर टैप करेंगे, असल में आप अनलिमिटेड टोकन अप्रूवल एक अजनबी को साइन कर देंगे।
यही असली चिंता है। Chainalysis के आंकड़ों के मुताबिक, मई 2021 से अब तक करीब $1 बिलियन की क्रिप्टो, अप्रूवल फिशिंग से चोरी हो चुकी है। इन केसों में पीड़ितों ने खुद अप्रूवल साइन किया था।
TestMachine का दावा है कि उसने यह बग Ledger Flex पर कंफर्म किया है। Ledger अब तक 180 देशों में 70 लाख से ज्यादा डिवाइसेस बेच चुका है।
Ledger की Donjon टीम का कहना है कि सबसे पहले उसी ने खोजा था
Guillemet ने पूरी टाइमलाइन ही पलट दी। Donjon, Ledger की इन-हाउस हैकिंग टीम है। उन्होंने कहा कि इसी टीम ने अपने AI टूल्स के जरिए बग पकड़ा और सबसे पहले फिक्स जारी किया।
पब्लिक चेंजलॉग भी इसकी तारीख को कन्फर्म करता है। वर्ज़न 1.22.2, 12 अगस्त को आया था। इसकी सिक्योरिटी नोट में सिर्फ “Security issues.” लिखा था।
Donjon ने अभी तक 22 नंबर की सिक्योरिटी बुलेटिन्स जारी की हैं। इनमें से किसी में भी यह बग शामिल नहीं था। लेटेस्ट बुलेटिन 4 जून का है, जो Monero की key-recovery समस्या से संबंधित है।
इसी खामोशी का फायदा TestMachine ने उठाया। Ledger ने समस्या तो चुपचाप दूर कर दी, लेकिन यूज़र्स को कभी नहीं बताया कि क्या ठीक किया है।
Guillemet की सबसे बड़ी शिकायत तरीका लेकर है। उनका कहना है कि TestMachine ने बाउंटी प्रोग्राम से संपर्क उस वक्त किया जब पैच पहले ही रिलीज़ हो चुका था। TestMachine ने कभी भी बाउंटी टीम सेेर बात नहीं की।
“…फिर उन्होंने एक थ्रेड पब्लिश किया जिससे लगा कि समस्या अब भी सॉल्व नहीं हुई है। ऐसा नहीं है। ये सिक्योरिटी रिसर्च नहीं है। ये सिर्फ अटेंशन पाने के लिए डर फैलाना है,” Charles Guillemet, Ledger CTO ने कहा।
हमें X पर फॉलो करें ताकि आपको ताजा़ न्यूज़ सबसे पहले मिले
TestMachine ने फिक्स की स्पीड की तारीफ की और इनाम लेने से मना कर दिया। Ledger, Bitcoin में बाउंटी देता है, जिसमें वह हर केस के हिसाब से अमाउंट निर्धारित करता है।
AI ने बग दो बार ढूंढा, लेकिन इंसानों के बीच बहस जारी रही
दोनों साइड्स ने समान डिफेक्ट को खोजने के लिए मशीन लर्निंग का इस्तेमाल किया। यही हिस्सा देखने लायक है।
Ledger इससे पहले भी यही बात सामने रख चुका है। उसके एक्सेक्यूटिव्स महीनों से कह रहे हैं कि AI अटैकर्स वॉलेट्स के लिए कमजोर हार्डवेयर से ज़्यादा खतरनाक हैं।
Guillemet ने अपनी लिमिट डिसिप्लिन पर खींची।
“AI की स्पीड से की गई रिसर्च तब ही इकोसिस्टम को सुरक्षित बनाती है जब करने वाले लोग बेसिक सिक्योरिटी प्रिंसिपल्स फॉलो करें। जिम्मेदारी से डिस्क्लोज करें। पब्लिश करने से पहले वेरिफाई करें। और शोर को खोज से न मिलाएं।”
ये बहस नई नहीं है। सिक्योरिटी फर्म्स ने भी Trezor डिवाइस हैक होने के बाद इसे खुलेआम उठाया था, और CertiK रिसर्चर्स ने 2024 में Kraken के साथ डिस्क्लोजर टर्म्स को लेकर बहस की थी।
फ्लॉ भी जाना-पहचाना है। जनवरी 2021 में Donjon ने बताया था कि यही Ethereum ऐप सपोर्ट न किए गए एसेट्स की ट्रांजैक्शन डाटा नहीं दिखाता। वही ऐप, वही सीख। जो आपने देखा, वही आपने साइन नहीं किया था।
AI अब इन बग्स को कुछ घंटों में पकड़ लेता है। वेंडर्स और रिसर्चर्स अब भी ह्यूमन स्पीड पर ही कोऑर्डिनेट करते हैं। इसी गैप में ये बहस है।
ओनर्स के लिए, फिक्स बहुत सिंपल है। Ledger Live खोलें, Ethereum ऐप अपडेट करें और चेक करें कि वर्जन 1.22.2 दिख रहा है या नहीं।
