Binance से 6 अरब डॉलर चोरी हुए, फ्रीज़ बटन ने लगभग आधे बचा लिए

29 अक्टूबर 2026 को 20:20:59 UTC पर Ethereum नेटवर्क पर 14.46 डॉलर की फीस वाला एक ट्रांज़ैक्शन दर्ज हुआ। उसमें कोई पैसा नहीं गया; वैल्यू वाला खाना शून्य दिखाता है। उसी दिन पहले हमलावर ने अपने ही वॉलेट पर यह तरकीब आज़माई थी और हर बार 2 से 6 डॉलर ही हिलाए थे। साढ़े तीन मिनट बाद Binance के एक हॉट वॉलेट से, जिसे विश्लेषक Binance 14 के नाम से जानते हैं, 167,464 ईथर और 1.6 अरब डॉलर के USDT स्टेबलकॉइन निकल गए। सुबह तक एक्सचेंज ने नुकसान को करीब 6.3 अरब डॉलर बताया। बाहरी विश्लेषक अभी तक इससे कम गिन रहे हैं: 5.3 से 5.9 अरब डॉलर के बीच। पिछला रिकॉर्ड फरवरी 2025 में Bybit एक्सचेंज की चोरी का था, जो लगभग 1.5 अरब डॉलर थी।

फिर भी सबसे अजीब बात रकम का आकार नहीं है। लूट का लगभग आधा हिस्सा, करीब 3 अरब डॉलर, कुछ ही घंटों में रोक लिया गया। न पुलिस ने रोका, न “ब्लॉकचेन ने खुद”; यह काम मुट्ठी भर कंपनियों ने किया, जिनके पास फ्रीज़ बटन है। जबकि क्रिप्टोकरेंसी बनी ही इसलिए थी कि किसी के पास ऐसा बटन न रहे।

चौदह डॉलर की मुख़्तारनामा

एक्सचेंज ग्राहकों का पैसा दो तरह के वॉलेट में रखता है। कोल्ड वॉलेट इंटरनेट से कटे रहते हैं और मुख्य रिज़र्व संभालते हैं। हॉट वॉलेट हमेशा जुड़े रहते हैं: रोज़ की निकासी इन्हीं से होती है, इसलिए इनमें हर समय कामकाजी बैलेंस रहता है। दुनिया के सबसे बड़े एक्सचेंज पर यह बैलेंस अरबों में पहुँचता है।

हमले की कुंजी EIP-7702 नाम का एक फीचर था। यह 7 मई 2025 को Pectra अपग्रेड के साथ Ethereum में आया। आसान शब्दों में, यह मुख़्तारनामा है: एक साधारण वॉलेट किसी बाहरी प्रोग्राम को अपनी ओर से काम करने का अधिकार देता है। इसे सुविधा के लिए बनाया गया था, ताकि कई कार्रवाइयाँ एक क्लिक में हो सकें या फीस कोई और भर सके। ऐसी मंज़ूरी पर सिर्फ़ वॉलेट ख़ुद दस्तख़त कर सकता है। मालिक के रद्द करने तक यह लागू रहती है।

14.46 डॉलर का वह ट्रांज़ैक्शन ठीक ऐसी ही मंज़ूरी था। उसमें ऐसी 50 मंज़ूरियाँ थीं, और हर एक Binance 14 को उस “स्वीपर” प्रोग्राम के हवाले कर रही थी जिसे हमलावर ने चार घंटे पहले तैनात किया था। पचास में से एक चल गई। चेकबुक की कल्पना कीजिए, जिसमें मंज़ूरी सिर्फ़ एक ख़ास नंबर वाले चेक पर लागू होती है। हॉट वॉलेट ऐसे “चेक” लगातार काटता रहता है, इसलिए अगला नंबर अंदाज़े से बताना मुश्किल है। लगातार पचास दस्तख़त इस बात का पक्का इंतज़ाम लगते हैं कि कोई एक तो निशाने पर बैठे।

स्वीपर ने Binance 14 को एक ही ऑपरेशन में ख़ाली कर दिया और पीछे सिर्फ़ 1 ईथर छोड़ा। अगले 12 मिनट में चार नेटवर्क पर एक्सचेंज के दस और हॉट वॉलेट से पैसा उसी पते पर बहता गया। ब्लॉकचेन सुरक्षा कंपनी Blockaid ने हमले की तस्वीर इसी तरह दोबारा जोड़ी।

वॉलेट का दस्तख़त हमलावर को कैसे मिला, यह अब भी साफ़ नहीं है। Binance के शुरुआती बयान के मुताबिक़ सब कुछ एक DevOps इंजीनियर के हैक हुए लैपटॉप से शुरू हुआ, यानी उस कर्मचारी से जो सर्वर और सॉफ़्टवेयर की तैनाती संभालता है। उसी लैपटॉप के रास्ते घुसपैठिया एक सर्विस कंटेनर तक पहुँचा और वहीं से बिना अनुमति के निकासी भेजता रहा। एक्सचेंज का कहना है कि किसी वॉलेट की प्राइवेट की लीक होने का कोई सबूत नहीं मिला। अगर यह सही है, तो चोर को कोई चाबी चुरानी ही नहीं पड़ी। उसने एक्सचेंज के अपने सिस्टम से ही अपने लिए मंज़ूरी पर दस्तख़त करवा लिए।

वह बटन जो बिटकॉइन में नहीं है

USDT और USDC को स्टेबलकॉइन कहा जाता है। ये दो निजी कंपनियों, Tether और Circle, के जारी किए डिजिटल डॉलर हैं, और दोनों वादा करती हैं कि अपने टोकन के बदले एक डॉलर लौटाएँगी। इनकी एक ख़ासियत की चर्चा कम होती है: जारी करने वाली कंपनी नेटवर्क पर किसी भी पते को ब्लॉक कर सकती है। USDC की शर्तों में Circle साफ़ तौर पर किसी पते से और उस पते तक ट्रांसफ़र रोकने का अधिकार अपने पास रखता है। Tether के पास भी यही क्षमता है।

उस रात उन्होंने इसका इस्तेमाल किया। Tether के CEO Paolo Ardoino ने लिखा कि कंपनी ने 1.567 अरब से ज़्यादा USDT फ्रीज़ कर दिए। Circle के CEO Jeremy Allaire ने बताया कि क़ानून प्रवर्तन एजेंसियों के साथ तालमेल में 80 करोड़ से ज़्यादा USDC ब्लॉक किए गए। Ripple ने अपने स्टेबलकॉइन के करीब 20 करोड़ डॉलर रोके, World Liberty Financial ने करीब 2.7 करोड़। यहाँ तक कि Arbitrum ने भी, जिसे आमतौर पर विकेंद्रीकृत नेटवर्क कहा जाता है, अपनी सिक्योरिटी काउंसिल के फ़ैसले से 74.56 मिलियन ARB टोकन फ्रीज़ कर दिए।

ईथर और बिटकॉइन का मामला अलग था। न कोई जारीकर्ता, न कोई बटन। एनालिटिक्स फर्म Glassnode ने चुराई गई संपत्तियों में 17,985 बिटकॉइन गिने, यानी करीब 1.45 अरब डॉलर। पहली सफ़ाई में निकला ईथर भी हमलावर के पास ही रहा। सही चाबी से दस्तख़त किए गए ट्रांसफ़र को धरती पर कोई पलट नहीं सकता। चोर के लिए यही बिटकॉइन की सबसे बड़ी ख़ूबी है। हमलावर एक्सचेंज के अलग बिटकॉइन वॉलेट तक कैसे पहुँचा, यह Binance ने अभी नहीं बताया। सर्विस कंटेनर वाली थ्योरी, जिसमें निकासी पर सिस्टम ख़ुद दस्तख़त करता है, इसे समझा देगी।

वीटो वाला बचावकर्ता

सच कहें तो यह बेतुका है। क्रिप्टो इतिहास की सबसे बड़ी चोरी का लगभग आधा हिस्सा उन औज़ारों ने रोका, जो “असली” क्रिप्टोकरेंसी में होने ही नहीं चाहिए। बिटकॉइन ठीक वैसे चला जैसा उसके रचनाकार ने चाहा था: दस्तख़त हो चुका ट्रांसफ़र अंतिम है। डिजिटल डॉलर बैंक की तरह पेश आए।

जिस बटन ने चोर से डेढ़ अरब डॉलर छीन लिए, वह किसी के भी ख़िलाफ़ चल सकता है। उसे कोई कंपनी दबाती है, अदालत नहीं। इसमें मिनट लगते हैं। USDT रखने वाले के पास खाते में एक डॉलर नहीं होता, बल्कि Tether का वह वादा होता है कि टोकन के बदले डॉलर मिलेगा, और उस वादे के साथ एक शर्त भी जुड़ी है। बहुतों को यह सौदा वाजिब लगेगा: बैंक भी संदिग्ध ट्रांसफ़र रोक देते हैं। बस स्टेबलकॉइन जेब के नक़द से ज़्यादा बैंक खाते जैसा है, और इस रात ने यह फ़र्क़ किसी भी भाषण से बेहतर दिखा दिया।

Binance के ग्राहकों के लिए इसका क्या मतलब है

एक्सचेंज के अपने आँकड़ों के मुताबिक़ Binance के 33.5 करोड़ से ज़्यादा पंजीकृत उपयोगकर्ता हैं। हैक की रात उसने जमा और निकासी रोक दी, और 30 अक्टूबर की सुबह तक यह नहीं बताया था कि वे कब दोबारा शुरू होंगी। Binance की सह-संस्थापक Yi He ने वादा किया कि एक्सचेंज अपने SAFU बीमा फंड और अपने पैसे से “हैकिंग के सारे नुकसान की भरपाई करेगा”। संस्थापक Changpeng Zhao ने चोरी को लगभग दर्शक की तरह देखा। “लगता तो यही है कि Binance पर हैक हुआ है,” उन्होंने X पर लिखा, और उसी पोस्ट में यह भी जोड़ा कि अब वे एक्सचेंज नहीं चलाते, पर उम्मीद करते हैं कि उपयोगकर्ताओं का पैसा पूरा लौटेगा।

फरवरी 2026 से SAFU फंड बिटकॉइन में रखा जा रहा है, कुल 15,000 बिटकॉइन। 30 अक्टूबर के भाव पर यह करीब 1.2 अरब डॉलर बैठता है। अगर एक्सचेंज का अपना अनुमान सही है, तो नुकसान का जो हिस्सा फ्रीज़ नहीं हुआ, यानी करीब 3.3 अरब डॉलर, लगभग तीन गुना बड़ा है। यानी गड्ढे का ज़्यादातर हिस्सा एक्सचेंज को अपनी जेब से भरना पड़ेगा। वैसे फंड के पास हमलावर के उड़ाए बिटकॉइन से कम बिटकॉइन हैं।

बाज़ारों ने फ़ौरन प्रतिक्रिया दी, हालाँकि टेक कंपनियों की कमज़ोर कमाई भी उन पर भारी पड़ रही थी। बिटकॉइन 77,000 डॉलर के नीचे गिर गया, जो छह हफ़्ते का निचला स्तर है। एक्सचेंज के अपने टोकन BNB ने एक दिन में 8% से ज़्यादा खोया।

किसने किया, यह अज्ञात है। ब्लॉकचेन जासूस ZachXBT और कंपनी Blockaid ने उत्तर कोरिया को संभावित दोषी बताया, लेकिन हमले का आधिकारिक श्रेय अभी किसी ने नहीं दिया है। Bybit की चोरी का आरोप FBI ने उत्तर कोरिया पर लगाया था। Blockaid के मुताबिक़ हमलावर ने शुरुआती ऑपरेशन के लिए पैसा Tornado Cash से जुटाया, यह एक मिक्सर है जो ट्रांसफ़र के निशान धुंधले कर देता है। तथ्यों की पुष्टि होने के बाद Binance ने विस्तृत तकनीकी पोस्ट-मॉर्टम का वादा किया है।

सालों से क्रिप्टो समुदाय इस पर बहस करता आया है कि क्या पैसे में स्टॉप बटन होना चाहिए। एक ही रात में ऐसे एक बटन ने करीब 3 अरब डॉलर बचा लिए। अब बहस शायद दूसरी दिशा में मुड़ेगी: बटन कब दबाना है, यह कौन तय करे और किन नियमों से?