2 नवंबर को जालसाज़ों ने ब्राज़ील के सबसे पुराने और सबसे बड़े क्रिप्टो एक्सचेंज Mercado Bitcoin के हॉट वॉलेट से एक साथ दस ब्लॉकचेन नेटवर्क में संपत्ति निकाल ली। नुकसान के अनुमान 3 करोड़ से 4.9 करोड़ डॉलर तक हैं। एक्सचेंज ने जमा और निकासी रोक दी है और यह नहीं बता रहा कि ये कब बहाल होंगी। 3 नवंबर की सुबह भी प्लेटफ़ॉर्म मेंटेनेंस मोड में था।
Mercado Bitcoin 2013 से काम कर रहा है और ख़ुद को देश का पहला क्रिप्टो ब्रोकर बताता है। अलग-अलग आँकड़ों के मुताबिक़ इसके 45 से 48 लाख ग्राहक हैं। 27 अक्टूबर को एक्सचेंज ने ब्राज़ील के सेंट्रल बैंक से लाइसेंस के लिए आवेदन किया। जुलाई में Tether इसकी होल्डिंग कंपनी 2TM में अल्पांश शेयरधारक बनी।
यह कैसे हुआ
AuditKey के अनुसार तैयारी 1 नवंबर को मॉस्को समय के अनुसार रात लगभग 21:20 बजे ही शुरू हो गई थी। पहला ट्रांसफ़र 04:36 बजे Arbitrum नेटवर्क पर गया। इसके बाद, जैसा कि CertiK के विश्लेषक डिक्सन वू बताते हैं, हमलावर ने लगभग चार घंटे तक छोटे नेटवर्क पर छोटी रकमें आज़माईं। मुख्य निकासी लगभग आधे घंटे चली, 09:19 से 09:53 तक: Bitcoin, Ethereum, Solana, Stellar, Tron और Avalanche समेत दस नेटवर्क में हॉट वॉलेट खाली हो गए।
इसमें स्मार्ट कॉन्ट्रैक्ट की कोई कमज़ोरी नहीं थी। ये सामान्य ट्रांसफ़र थे, जिन पर एक्सचेंज की वैध कुंजियों से हस्ताक्षर हुए थे। हमलावर को हस्ताक्षर का अधिकार कैसे मिला, यह पता नहीं है। AuditKey ज़ोर देकर कहता है कि ब्लॉकचेन देखकर बाहरी हैक को किसी अंदरूनी व्यक्ति की करतूत या किसी ठेकेदार की चूक से अलग नहीं किया जा सकता।
“हमला नियंत्रित”, पर निकासी जारी रही
मॉस्को समय के अनुसार 15:56 बजे Mercado Bitcoin ने घोषणा की कि “एक सिस्टम” में हुई घटना का पता लगा लिया गया है और उसे तेज़ी से नियंत्रित कर लिया गया है, ग्राहकों का कोई नुकसान नहीं होगा और कोई डेटा लीक नहीं हुआ। ब्लॉकचेन पर उस समय कुछ और ही चल रहा था। Bitquery के हिसाब से 15:27 से 19:56 के बीच हमलावर ने Ethereum पर ग्राहकों के 36,042 डिपॉज़िट पते खाली किए और BNB Chain पर 21:08 तक 143 और पते साफ़ किए। यानी एक्सचेंज के बयान के बाद भी वह लगभग चार घंटे तक पैसा निकालता रहा।
यहाँ रकम छोटी है, लगभग 2.66 लाख डॉलर: इनमें से 91% पतों पर 10 डॉलर से कम थे। ज़्यादा अहम बात दूसरी है। हमलावर के पास सिर्फ़ हॉट वॉलेट की ही नहीं, बल्कि उन पतों की कुंजियाँ भी थीं जिन पर ग्राहक अपने खाते में पैसा जमा करते हैं। वू कहते हैं, “जिसने भी यह किया, वह ग्राहकों के डिपॉज़िट पतों से भी पैसा निकाल सकता है।” The Record से बात करने वाले शोधकर्ता एक्सचेंज के इस दावे को चुनौती देते हैं कि ग्राहकों का पैसा प्रभावित नहीं हुआ। तकनीकी रूप से एक्सचेंज सही है: डिपॉज़िट पतों पर रखे सिक्के उसी के पास हैं, और ग्राहक के पास सिर्फ़ बैलेंस की एक एंट्री है। लेकिन ठीक इसी वजह से सब कुछ इस पर टिका है कि वह अपना वादा निभाता है या नहीं।
कितना ले गए: 3 से 4.9 करोड़ डॉलर
- AuditKey: 3.03 करोड़ डॉलर। सिर्फ़ भरोसेमंद कीमत वाले टोकन गिने गए।
- Hypernative: कम से कम दस नेटवर्क में 4 करोड़ डॉलर से ज़्यादा।
- Bitquery: 4.86 करोड़ डॉलर, EVA टोकन के बिना 4.74 करोड़ डॉलर।
- Chainalysis, जिससे एक्सचेंज ने मदद माँगी: 17 नेटवर्क में लगभग 4.9 करोड़ डॉलर। Bitquery के अनुसार इन 17 नेटवर्क में वे भी शामिल हैं जिनमें दूसरे वॉलेट का पैसा चला, जबकि एक्सचेंज का अपना नुकसान दस नेटवर्क में हुआ।
शाम के अपडेट में ख़ुद Mercado Bitcoin ने दो आँकड़े दिए: लगभग 1.1 करोड़ डॉलर ब्लॉक किए गए, लगभग 3.8 करोड़ डॉलर “अभी ब्लॉक नहीं हुए”। कुल मिलाकर लगभग 4.9 करोड़ डॉलर। कुछ मीडिया ने 3.8 करोड़ डॉलर को कुल नुकसान बता दिया। असल में यह सिर्फ़ वह हिस्सा है जो फ़्रीज़ नहीं हुआ। Hypernative के अनुसार चोरी हुई संपत्ति में 106 BTC, 2,852 ETH, 10,700 SOL, 67 लाख XLM, 17 लाख TRX और दो सौ से ज़्यादा दूसरे टोकन हैं। Bitquery के अनुसार बिटकॉइन अभी तक हिले नहीं हैं।
फ़्रीज़: इस बार काम आया
Tether ने पहला ब्लॉक मॉस्को समय के अनुसार 13:21 बजे किया, Circle लगभग छह घंटे बाद जुड़ा। Bitquery ने 1.14 करोड़ डॉलर की फ़्रीज़ रकम गिनी: Tether के पास 59 लाख, Circle के पास 39 लाख, Paxos के पास 15 लाख और Agora व Ripple के पास लगभग 1.45 लाख डॉलर। 3.58 लाख EURC और फ़्रीज़ नहीं हुए थे। Chainalysis दूसरे आँकड़े देता है: लगभग 1 करोड़ डॉलर, जिनमें से 90 लाख डॉलर से ज़्यादा Tether के पास। फ़िलहाल इन आँकड़ों का मिलान नहीं हो पा रहा।
यहाँ फ़्रीज़ पीड़ितों के हक़ में गया। लेकिन यह वही बटन है: जारीकर्ता किसी भी पते पर USDT या USDC रोक सकता है, आपके पते पर भी, और फ़ैसला वही करता है। BTC, ETH, SOL और XLM को कोई फ़्रीज़ नहीं कर सकता, इसलिए हमलावर ने लूट का बड़ा हिस्सा Mayan और Bridgers स्वैप सेवाओं के ज़रिए आराम से बदल लिया।
बिना स्रोत का वादा
एक्सचेंज दोहराता है कि ग्राहकों का कुछ नहीं जाएगा। पैसा कहाँ से आएगा और कब तक, यह नहीं बताता: न रिज़र्व पर कुछ, न बीमा पर, न शेयरधारकों पर। निकासी “सुरक्षित होने पर” बहाल होगी। 3 नवंबर की सुबह तक ब्राज़ील के सेंट्रल बैंक, प्रतिभूति आयोग और फ़ेडरल पुलिस ने सार्वजनिक रूप से कुछ नहीं कहा था। एक्सचेंज अलग से उन धोखेबाज़ों के बारे में चेतावनी देता है जो “पैसा वापस दिलाने में मदद” की पेशकश करते हैं। अगर आप Mercado Bitcoin के ग्राहक हैं, तो ऐसी पेशकशों का जवाब न दें और जब तक एक्सचेंज पुराने डिपॉज़िट पतों को सुरक्षित घोषित न करे, उन पर कुछ न भेजें।
खुले सवाल
- हमलावर को हस्ताक्षर का अधिकार कैसे मिला: कुंजियों, साइनिंग सिस्टम, किसी कर्मचारी या किसी ठेकेदार के ज़रिए?
- जब ग्राहकों के पतों से निकासी चार घंटे और चली, तो एक्सचेंज ने हमले को नियंत्रित क्यों बताया?
- क्या डिपॉज़िट पतों की कुंजियाँ बदली गई हैं, और क्या पुराने विवरण पर फिर से पैसा जमा किया जा सकता है?
- फ़्रीज़ न हुए 3.8 करोड़ डॉलर एक्सचेंज किस पैसे से भरेगा?
- निकासी कब और किस क्रम में बहाल होगी?
- अंतिम रकम कितनी है और कितने नेटवर्क प्रभावित हुए: दस या सत्रह?
इससे क्या निकलता है
एक्सचेंज पर बैलेंस एक्सचेंज का वादा है। जब तक निकासी बंद है, आपके सिक्के सिर्फ़ उसके डेटाबेस की एक पंक्ति के रूप में मौजूद हैं, और उन तक पहुँच तब लौटेगी जब वह तय करेगा। एक्सचेंज पर उतना ही रखें जितने से आप ट्रेड करते हैं, बाक़ी ऐसे वॉलेट में जिसकी कुंजियाँ सिर्फ़ आपके पास हों। फिर भी ध्यान रखें कि स्टेबलकॉइन को जारीकर्ता आपके अपने वॉलेट में भी फ़्रीज़ कर सकता है।
संदर्भ के लिए: इससे तीन दिन पहले Chainalysis ने अपने ही सिस्टम में सेंध की जानकारी दी थी — वही कंपनी जो अब Mercado Bitcoin को चोरी का पैसा ट्रैक करने में मदद कर रही है।