पिछले हफ्ते $116 मिलियन के Coldcard हैक ने Bitcoin होल्डर्स को हिला दिया। Ledger के टॉप सिक्योरिटी एक्जीक्यूटिव का कहना है कि हेडलाइन ने असल मुद्दा पूरी तरह मिस कर दिया।
Bloomberg से बात करते हुए Ledger के Chief Human Agency Officer Ian Rogers ने कहा कि ये अटैक किसी भी तरह से सेल्फ-कस्टडी या हार्डवेयर वॉलेट्स को इनहेरेंटली रिस्की साबित नहीं करता। असली स्टोरी ये है कि AI कैसे वीक रैंडमनेस पर बने सिस्टम्स को अटैक करने वालों के लिए आसान बना देता है।
Ledger पर असर क्यों नहीं पड़ा?
Coldcard वल्नरेबिलिटी 2021 के फर्मवेयर बग तक ट्रेस हुई थी, जिसमें सीड जेनरेशन डिवाइस के हार्डवेयर चिप के बजाय एक सॉफ्टवेयर प्सूडो-रैंडम नंबर जनरेटर के जरिए होती थी।
इससे करीब 40 से 72 बिट्स की एंट्रोपी मिलती थी, जो इतनी छोटी थी कि AI-पावर्ड अटैकर पूरे ऐड्रेस स्पेस को systematic तरीके से स्कैन कर प्राइवेट कीज़ ढूंढ सकते थे। TRM Labs ने ट्रैक किया कि पहले वेव में 41 मिनट के अंदर 1,082 BTC निकाले गए थे। ये 30 जुलाई को हुआ था।
Ledger की डिवाइस में एंट्रोपी पूरी तरह हार्डवेयर में जनरेट होती है, Rogers ने Bloomberg को बताया। इसमें एक सर्टिफाइड सिक्योर चिप होता है और कोई सॉफ्टवेयर बैकअप नहीं। उनकी भाषा में, “तीन के आगे 67 जीरो वाली संख्या” जितना बड़ा ऐड्रेस स्पेस है। कोई भी अटैकर इतना ब्रूट-फोर्स नहीं कर सकता।
ये पहली बार नहीं है जब Ledger ने ऐसी गलती पकड़ी हो। 2022 में कंपनी ने Trust Wallet में भी एक ऐसी ही वल्नरेबिलिटी पाई थी और जिम्मेदारी के साथ डिस्क्लोज करके यूज़र्स को फंड ट्रांसफर करने में मदद की। BeInCrypto की Coldcard के करंट थीफ्ट वेव्स पर कवर स्टोरी दिखाती है कि जैसे ही वल्नरेबिलिटी सामने आई, अटैक्स कितने जल्दी और systematic हो गए।
AI ने कैसे बदल दी है थ्रेट: 3 तरीके
Rogers ने तीन बड़ी चुनौतियां सामने रखीं।
पहला, AI अब अटैकर्स को किसी भी सिस्टम में वल्नरेबिलिटी खोजने के लिए ज्यादा ताकत देता है, सिर्फ क्रिप्टो नहीं। उन्होंने US वॉटर इंफ्रास्ट्रक्चर पर हुए अटैक्स का उदाहरण देते हुए बताया कि ये ट्रेंड जनरल टूल्स की वजह से ही है।
दूसरा, AI-असिस्टेड डवलपमेंट के कारण अब इंडस्ट्री में ज्यादा कोड जल्दी शिप हो रहा है, जिससे सभी के लिए अटैक सरफेस बढ़ रहा है। BeInCrypto की रिपोर्ट दिखाती है कि AI-पावर्ड स्मार्ट कॉन्ट्रैक्ट एक्सप्लॉइट्स अब उन्हें डिटेक्ट करने वाले टूल्स से भी तेज हैं।
तीसरी बात, और यहीं Rogers Coldcard की स्टोरी से आगे जाते हैं, एंटरप्राइजेज ऐसे एजेंट्स डिप्लॉय कर रहे हैं जिनके पास इंटरनल सीक्रेट्स—जैसे ईमेल, Slack और credentials—तक एक्सेस है। Bloomberg ने Coldcard एक्सप्लॉइट को हार्डवेयर स्टोरी के रूप में दिखाया था। Rogers इसे AI के दौर में सिक्योरिटी की एक बड़ी समस्या का शुरुआती संकेत मानते हैं।
Agentic Threat, जिसके बारे में Rogers ने चेतावनी दी थी
पिछले साल के आखिर में, Rogers ने डिस्क्राइब किया था कि भविष्य में लोग AI एजेंट्स को अपने पासवर्ड, क्रेडिट कार्ड और पहचान सौंप देंगे, जो एक खतरनाक और अनमैनेज्ड रिस्क है। उस समय बहुत कम लोगों को उनकी बात समझ आई थी। अब लोग इसे समझने लगे हैं।
उनकी तुलना में AI एजेंट्स और सीक्रेट्स का रिश्ता एक टीनेजर और कार की चाबी जैसा है। चाबियां कभी भी टीनेजर के रूम में नहीं रहतीं। पैरेंट्स सिचुएशन देखकर तय करते हैं कि एक्सेस कब देना है। सोमवार सुबह स्कूल ड्राइव करना ठीक है, लेकिन शुक्रवार रात पार्टी के बाद नहीं। Rogers के मुताबिक, यही लॉजिक तय करना चाहिए कि किसी भी एजेंट को कब और क्या एक्सेस मिल सकता है।
Ledger पहले से ऐसे टूल्स देता है, जिससे एजेंट वॉलेट होल्ड कर सकता है मगर प्राइवेट कीज़ नहीं। यही प्रिंसिपल हार्डवेयर सिक्योरिटी में हमेशा से चलता आया है—डिज़ाइन से प्रोटेक्शन, सिर्फ पॉलिसी से नहीं।
आपकी एसेट्स जहां भी स्टोर हों, आपको उनकी सिक्योरिटी के लेवल में इंटरेस्टेड होना चाहिए, जो उन्हें प्रोटेक्ट कर रहा है।
Rogers ने Bloomberg से कहा।
