जो कंपनी पुलिस, ख़ुफ़िया एजेंसियों और एक्सचेंजों को मोटी रक़म लेकर क्रिप्टो अपराधियों को पकड़ने के औज़ार बेचती है, वह अपना ही आँगन नहीं बचा पाई। Chainalysis ने आधिकारिक तौर पर माना है कि एक बाहरी हमलावर ने उसके सिस्टम और आंतरिक टूल तक अनधिकृत पहुँच हासिल की और फिर प्लेटफ़ॉर्म के उपयोगकर्ताओं का डेटा निकाल लिया। यह स्वीकारोक्ति 30 अक्टूबर को आई — ठीक उसी दिन, जब इसी Chainalysis ने सर्वज्ञ भविष्यवक्ता के अंदाज़ में क्रिप्टो इतिहास की सबसे बड़ी डकैती के गुनहगार का नाम लिया था: उसके मुताबिक़, Binance के वॉलेट से लगभग 6.4 अरब डॉलर उत्तर कोरियाई समूह TraderTraitor ले उड़ा।
जैसे ही आप ख़ुद कंपनी के दिए ब्योरे पढ़ना शुरू करते हैं, जासूसी वाली बारीकी न जाने कहाँ उड़ जाती है। बस इतना बताया गया है कि घुसपैठ “इसी महीने” पकड़ी गई। हमलावर उपयोगकर्ता आईडी, पूरे नाम, दफ़्तरी ईमेल पते और संगठनों के भीतर के पद ले गया — इनमें वे ग्राहक भी शामिल हैं, जिन्हें Chainalysis इन दिनों ऐसी चिट्ठियाँ भेज रही है जिनसे किसी का दिन नहीं बनता। कंपनी के मुताबिक़, कुछ पीड़ितों को इसकी जानकारी पहले ही चुपचाप दे दी गई थी। कुल कितने रिकॉर्ड लीक हुए और किन-किन के खाते खँगाले गए, यह दुनिया के शीर्ष विश्लेषक अब तक गिन नहीं पाए हैं: हर ग्राहक को अलग ब्योरा भेजने का वादा है, “जैसे ही वह विश्लेषण पूरा होगा”। जिन छेदों से घुसपैठिया अंदर आया, उन पर इस वक़्त चलते-चलते पैबंद लगाए जा रहे हैं।
इसके साथ ही, सार्वजनिक रिपोर्ट में सभी अहम सवालों की जगह खालीपन मुँह बाए खड़ा है: घुसपैठ ठीक किस दिन पकड़ी गई, हमलावर कितने हफ़्ते नेटवर्क में मनमानी करता रहा, वह किस कमज़ोरी के रास्ते अंदर आया और किन “आंतरिक टूल” का इस्तेमाल कर पाया। न एक आँकड़ा, न एक तारीख़, न एक भी तकनीकी तथ्य।
चोरी हुई जानकारी को Chainalysis तसल्ली देने वाले लहजे में “गैर-संवेदनशील” बताती है। सुनने में अच्छा लगता है, बशर्ते आप भूल जाएँ कि उसका सॉफ़्टवेयर ख़रीदता कौन है: कंपनी के मुख्य ग्राहक हैं क़ानून प्रवर्तन एजेंसियाँ, कर और ख़ुफ़िया विभाग, क्रिप्टो एक्सचेंज और बैंक। क्रिप्टो अपराधों की जाँच कर रहे सक्रिय अधिकारियों के पूरे नाम, दफ़्तरी ईमेल और भूमिकाएँ कोई “गैर-संवेदनशील मामूली चीज़” नहीं, बल्कि टार्गेटेड फ़िशिंग और ब्लैकमेल के लिए तैयार सुनहरी पता-पुस्तिका हैं। Chainalysis ख़ुद यह अच्छी तरह समझती है: उसी पाठ में वह ग्राहकों से ज़ोर देकर कहती है कि पासवर्ड रीसेट के अचानक आए ईमेल, लॉगिन की पुष्टि माँगने वाली पुश सूचनाओं और कंपनी कर्मचारियों के नाम पर फ़ोन करने वाले ठगों पर भरोसा न करें।
दोष AI का, Binance का इससे कोई लेना-देना नहीं
नाकामी की आधिकारिक वजह अपने आप में एक तमाशा है। इसकी शुरुआत होती है पुराने आज़माए नुस्ख़े “सबके साथ यही हुआ” से: Chainalysis पर, बताया जाता है, “पिछले कुछ हफ़्तों में कई अन्य टेक प्लेटफ़ॉर्म की तरह” हमला हुआ — यानी आजकल तो सबकी सेंधमारी हो रही है, ज़्यादा सख़्ती से न आँकें। फिर मार्केटिंग का भारी तोपख़ाना मैदान में उतरता है: सारा दोष “पूरे उद्योग में AI-आधारित साइबर हमलों में बढ़ोतरी” और किन्हीं “आक्रामक एजेंटिक तकनीकों” का है। कौन-सा एजेंट, उसे किसने चलाया, एक कृत्रिम बुद्धि ने सुरक्षा का ही धंधा करने वाली कंपनी की घेराबंदी कैसे पार की — एक शब्द नहीं। इसके बदले छेद का इलाज उसी फ़ैशनेबल चूर्ण से करने का वादा है: जाँच में बाहरी सलाहकारों और “उन्नत बड़े भाषा मॉडल” को लगाया गया है। AI ने सेंध लगाई — अब AI ही पहरा देगा।
अपने छोटे-से पाठ में कंपनी दो बार घबराहट में ज़ोर देती है कि इस सेंधमारी का Binance से अरबों की चोरी से कोई संबंध नहीं है। हम ख़ुशी से मान लेते हैं। विडंबना कहीं और है। जब किसी और का एक्सचेंज लूटा गया, तो Chainalysis के विशेषज्ञों को एक ख़ास देश से जुड़ा सटीक निदान लिखने के लिए आठ घंटे काफ़ी थे: पैसे की निकासी 29 अक्टूबर को न्यूयॉर्क समय के अनुसार 16:20 पर शुरू हुई, और 00:30 तक दुनिया के सामने उत्तर कोरिया पेश कर दिया गया। हमने कल विस्तार से समझाया था कि अरबों डॉलर के किसी भी छेद को प्योंगयांग की साज़िशों पर डाल देना कितना सुविधाजनक है। लेकिन जैसे ही कोई Chainalysis के अपने सर्वरों में घुसा, जासूसों की मशहूर पैनी नज़र फ़ौरन जवाब दे गई: घुसपैठिए का न कोई झंडा है, न समूह, न सुराग़ — सिवाय धुंधले शब्द “एजेंटिक” के।
इससे भी मज़ेदार है पासवर्डों को लेकर शब्दों की बाज़ीगरी। प्रेस रिलीज़ की शुरुआत में कंपनी उत्साह से बताती है कि उसे “प्रमाणीकरण क्रेडेंशियल” तक पहुँच का कोई संकेत ही नहीं मिला। लेकिन कुछ पैराग्राफ़ बाद, ग्राहकों को भेजे पत्र में, यह बात चुपचाप दुबली हो जाती है: वहाँ बस इतना कहा गया है कि हमलावर “सादे टेक्स्ट” वाले पासवर्डों तक नहीं पहुँचा। यानी पासवर्डों के हैश, मानना पड़ेगा, बड़े आराम से किसी अनजान दिशा में जा सकते थे — ऊपर से यह सवाल अलग कि साइबर सुरक्षा की कोई कंपनी 2026 में “सादे टेक्स्ट वाले पासवर्डों” को अलग श्रेणी के तौर पर गिनाती ही क्यों है। और ग्राहकों को आख़िरी सलाह — “अगर आपके संगठन ने अभी तक टू-फ़ैक्टर ऑथेंटिकेशन चालू नहीं किया है, तो उसे चालू करें” — अनजाने में एक खुला रहस्य उजागर कर देती है: क़ानून प्रवर्तन और वित्तीय जाँचकर्ताओं के लिए बने बंद प्लेटफ़ॉर्म पर आज तक बिना दूसरे फ़ैक्टर के आराम से काम किया जा सकता था।
असली सुरक्षा की जगह सर्टिफ़िकेट और चमकदार नारों की दिखावटी शोकेस कैसे ले लेती है, इस पर हम Vanta के विश्लेषण में पहले ही लिख चुके हैं। Chainalysis की शोकेस इस विधा के सभी नियमों के मुताबिक़ सजी है: “विश्वस्तरीय विशेषज्ञ”, “पूरी कंपनी का दृष्टिकोण”, “सुरक्षा स्थिति को मज़बूत करना”। कमी है तो बस सीधे सवालों के जवाब की: कितने रिकॉर्ड ले जाए गए, बाहरी आदमी कितने दिन अंदर बैठा रहा और किस दरवाज़े से आया। कुल मिलाकर तस्वीर साफ़ है: जो कंपनी ब्लॉकचेन के सहारे आठ घंटे में किसी और की जेब में उत्तर कोरियाई सुराग़ ढूँढ़ लेती है, वह अपनी ही रसोई में हुई सेंधमारी के बारे में बस इतना कह पाती है कि दोष किसी बेचेहरा AI का है, Binance का इससे कतई कोई लेना-देना नहीं, और लीक हुए तो बस उन लोगों के नाम, ईमेल और पद, जिनका काम ही हैकरों को पकड़ना है।