ऑफ़लाइन क्रिप्टो वॉलेट ने खुद अपनी कुंजियाँ बाहर भेज दीं

9 अक्टूबर 2026 को तीन बिटकॉइन पतों से लगभग 50 लाख डॉलर एक ही बार में गायब हो गए। यह पैसा Ledger हार्डवेयर वॉलेट में रखा था, यानी ऐसे उपकरणों में जो बनाए ही इसलिए गए हैं कि क्रिप्टो की कुंजियाँ कभी इंटरनेट को छू न सकें। संभावना यही है कि पैसा उस सिम कार्ड के रास्ते निकला, जिसे किसी ने वॉलेट के खोल के भीतर छिपा दिया था।

सबसे अजीब बात रकम नहीं है। पैसे का मालिक खुद एक ठग था। ब्लॉकचेन विश्लेषण कंपनी Chainalysis ने उसे चोरी की इस लहर के सबसे बड़े पीड़ितों में से एक बताया और खोज निकाला कि उसके 60 बिटकॉइन कहाँ से आए थे। वह लोगों को नकली रिव्यू लिखने के पैसे देने का वादा करता, फिर कमाई निकालने से पहले उनसे “शुल्क” माँग लेता। 22 सितंबर को उसने सारी कमाई तीन Ledger पतों पर भेज दी। 9 अक्टूबर को किसी और ने उसे निकाल लिया।

Chainalysis यह नहीं बताती कि ठग ने अपने उपकरण कहाँ से खरीदे थे। लेकिन उसी दिन Ledger ने दक्षिण-पूर्व एशिया के खरीदारों के नुकसान की जाँच शुरू की । 10 अक्टूबर को कंपनी ने पुष्टि की कि एक पीड़ित के वॉलेट में बाहरी इम्प्लांट मिला है, और 13 तारीख को बताया कि ठीक क्या मिला: एक अतिरिक्त माइक्रोकंट्रोलर और eSIM वाला सेलुलर मॉडेम, यानी सीधे बोर्ड पर सोल्डर किया हुआ सिम कार्ड। जो उपकरण ऑफ़लाइन रहने के लिए बना था, वह चुपचाप ऑनलाइन होकर अपनी ही कुंजियाँ बाहर भेज रहा था।

स्क्रीन पर चौबीस शब्द

हार्डवेयर वॉलेट देखने में छोटी स्क्रीन और दो-तीन बटनों वाली USB स्टिक जैसा लगता है। भीतर एक सुरक्षित चिप होती है, जो गोपनीय कुंजी सँभालती है और लेन-देन पर खुद हस्ताक्षर करती है। आपका लैपटॉप या फ़ोन उसे केवल तैयार लेन-देन थमाता है और हस्ताक्षर के साथ वापस पाता है। कुंजी चिप से बाहर नहीं निकलती, इसलिए लैपटॉप में बैठा मैलवेयर उस तक नहीं पहुँच सकता।

इस व्यवस्था में एक आपातकालीन निकास भी है, जिसके बिना काम नहीं चलता। वॉलेट खो जाते हैं या टूट जाते हैं। ऐसे मौके के लिए पहली बार सेटअप करते समय उपकरण स्क्रीन पर 24 शब्द दिखाता है, और मालिक उन्हें कागज़ पर उतार लेता है।

वॉलेट का मुख्य रहस्य कुछ गिने-चुने क्षणों में ही साफ़ अक्षरों में दिखता है। अक्सर यह पहला सेटअप होता है, जब स्क्रीन पर शब्द उभरते हैं, और कभी-कभार रिकवरी, जब उन्हें वापस दर्ज किया जाता है। यह हमला इन्हीं में से पहले क्षण पर टिका है।

वॉलेट के भीतर एक फ़ोन

13 अक्टूबर को Ledger की सुरक्षा टीम Ledger Donjon ने बताया कि इम्प्लांट कैसे काम करता है। खोल के भीतर बैठा माइक्रोकंट्रोलर डिस्प्ले पर दिखने वाली चीज़ों पर नज़र रखता है, सीड के शब्द पढ़ता है और उन्हें LTE यानी फ़ोन जैसे साधारण मोबाइल इंटरनेट से भेज देता है। वह सुरक्षित चिप और फ़र्मवेयर को नहीं छेड़ता, लेन-देन या हस्ताक्षर भी नहीं बदलता। वॉलेट को कुछ पता नहीं चलता। वह ईमानदारी से अपनी कुंजी की रखवाली करता रहता है, जबकि उस कुंजी को दोबारा बना सकने वाले 24 शब्द कब के अजनबियों के हाथ में पहुँच चुके होते हैं।

इसीलिए असलियत की आधिकारिक जाँच यहाँ बेकार है। Ledger के अनुसार, उसकी Genuine Check सुविधा जोड़े गए पुर्ज़ों को नहीं पहचान पाती , बशर्ते मूल सुरक्षित चिप अपनी जगह हो। वह चिप को जाँचती है, उसके पड़ोसियों को नहीं।

यह शौकिया लोगों का काम नहीं था। पहले संस्करण में Tibane Labs के शोधकर्ताओं को STM32 माइक्रोकंट्रोलर, 2 गुणा 2 मिलीमीटर का eSIM और शील्ड वाला रेडियो मॉड्यूल मिला। जगह बनाने के लिए मूल बैटरी की जगह छोटी बैटरी लगाई गई थी, जो वॉलेट और “जासूस” दोनों को बिजली देती थी। दूसरे संस्करण में चिप पर लिखे निशान घिसकर मिटा दिए गए थे, और बोर्ड डिस्प्ले के नीचे उस जगह दबा था जहाँ आम तौर पर फ़ोम का पैड होता है। यह फ़ैक्टरी की तरह थोक में बनी लचीली प्लेट थी, किसी रसोई की मेज़ पर हाथ से सोल्डर की हुई चीज़ नहीं।

सही बोर्ड वाली दुकान

Ledger हर पुष्ट नुकसान को एक ही विक्रेता से जोड़ता है: मलेशिया के खुदरा विक्रेता CryptoBilis से। यह बाज़ार का कोई गुमनाम पुनर्विक्रेता नहीं था: 9 अक्टूबर तक वह इंडोनेशिया, मलेशिया और फ़िलीपींस में Ledger का आधिकारिक रीसेलर के रूप में सूचीबद्ध था। जाँच अभी यह तय नहीं कर पाई है कि डिब्बे किसने और कहाँ खोले, फ़ैक्टरी से आते समय रास्ते में या किसी गोदाम में।

लेकिन मामला एशिया तक सीमित नहीं रहा। जर्मनी में एक आम ग्राहक ने बड़ी उपभोक्ता इलेक्ट्रॉनिक्स शृंखला MediaMarkt से वॉलेट खरीदा और उसमें “जासूस” निकल आया। उसका पैसा नहीं गया, पर शृंखला ने Ledger को अपनी दुकानों और वेबसाइट से हटा दिया। Mt. Gox एक्सचेंज के पूर्व प्रमुख मार्क कार्पेलेस ने लिखा कि सिंगापुर के हवाई अड्डे की दुकान से खरीदे Ledger Flex में उन्हें इम्प्लांट मिला, हालाँकि Ledger ने इस उपकरण का CryptoBilis से संबंध नहीं माना। Ledger ने खुद दक्षिण-पूर्व एशिया के छह देशों और हॉन्ग कॉन्ग के विक्रेताओं से कहा कि जाँच पूरी होने तक वॉलेट दुकानों से हटा लें ।

कुल कितनी चोरी हुई, यह कोई नहीं जानता। tanuki42 और Specter नाम से काम करने वाले शोधकर्ताओं की गिनती के अनुसार, संदिग्ध पतों पर 7.2 करोड़ से लेकर 8.6 करोड़ डॉलर से ज़्यादा गए। Ledger साफ़ कहता है कि ये आँकड़े बाहरी पक्षों के हैं और उसने इन्हें सत्यापित नहीं किया है। Tether डिजिटल डॉलर, यानी स्टेबलकॉइन, जारी करती है और दूसरों के पतों पर पड़े अपने सिक्के फ़्रीज़ कर सकती है। उसने चोरी से जुड़े 1 करोड़ डॉलर फ़्रीज़ किए । अब तक यही एकमात्र नामित रकम है जिसे रास्ते में रोका जा सका।

वह कुंजी जो बदली नहीं जा सकती

Ledger के मामले में असलियत की जाँच एक अतिरिक्त सर्किट बोर्ड को नहीं पकड़ पाई। हार्डवेयर वॉलेट बनाने वाली दूसरी कंपनी Keystone में चोरों ने उस जाँच की कुंजी ही चुरा ली। 20 अक्टूबर को एक हमलावर तीसरे पक्ष के डेटा-निगरानी टूल की खामी के रास्ते कंपनी की वेबसाइट में घुस गया। Keystone ने बताया कि 2024 से 2026 के लगभग 26,000 खरीदारों का डेटा उजागर हुआ: नाम, संपर्क विवरण, डिलीवरी के पते और ऑर्डर की सामग्री। कंपनी के अनुसार सीड फ़्रेज़ और वॉलेट की कुंजियाँ प्रभावित नहीं हुईं।

क्रिप्टो रखने के लिए उपकरण खरीदने वालों के घर के पतों की सूची अपने आप में खतरनाक है। फ़्रांस में लुटेरे पहले ही ऐसे लोगों के घरों पर पहुँच रहे हैं , और उनके सुराग ठीक ऐसे ही लीक हुए डेटाबेस से आते हैं। कुछ रिकॉर्ड तो होने ही नहीं चाहिए थे। Keystone की अपनी नीति के अनुसार उन्हें 180 दिन बाद मिटा दिया जाना था, मगर स्वचालित मिटाने वाला टूल खराब हो गया। किसी ने ध्यान नहीं दिया। कंपनी ने लिखा: “हम ग्राहकों का डेटा समय पर मिटाने का अपना वादा निभाने में विफल रहे, और इस विफलता की ज़िम्मेदारी लेते हैं।”

दूसरा नुकसान ज़्यादा बुरा है। हमलावर ने वह कुंजी भी ले ली, जो हर उपकरण में फ़ैक्टरी में ही डाली जाती है ताकि ऑनलाइन जाँच में वह अपनी असलियत साबित कर सके। जो वॉलेट बन चुके हैं, उनमें यह कुंजी बदली नहीं जा सकती। यानी इसे लिए हुए नकली उपकरण उसी जाँच से निकल जाएगा, जो उसे पकड़ने के लिए बनी थी।

Keystone ने 18,835 अनबिके उपकरण नष्ट करने का फ़ैसला किया, शिपमेंट रोक दिए और अपना ऑनलाइन स्टोर प्री-ऑर्डर पर ले गई। कंपनी के अनुसार, 20 अक्टूबर से पहले पहुँचाए गए वॉलेट प्रमाणीकरण पास करने पर इस्तेमाल के लिए ठीक हैं। जिसे इस तारीख़ के बाद वॉलेट मिला, उसे पहले उसकी अतिरिक्त जाँच करानी चाहिए। Keystone यह भी चेतावनी देती है कि वह कभी ऐसे संदेश नहीं भेजेगी जिनमें ग्राहकों से उपकरण लौटाने या पैसा कहीं और ले जाने को कहा जाए: ऐसे संदेश ठगों के होते हैं।

भरोसे की एक कड़ी

निर्माता अलग-अलग तरह से प्रतिक्रिया दे रहे हैं। Trezor को अपने किसी उपकरण में छेड़छाड़ नहीं मिली, पर 1 जनवरी 2027 से वह अपना रीसेलर नेटवर्क छोटा कर रही है, और कुछ दुकानों से उसके वॉलेट बेचने का अधिकार छिन जाएगा। OneKey ने CryptoBilis के साथ साझेदारी खत्म कर दी और 1 मार्च से 13 अक्टूबर 2026 के बीच वहाँ से खरीदे अपने वॉलेट मुफ़्त बदल रही है।

Ledger सलाह देता है कि CryptoBilis के उपकरण बिल्कुल सेट अप न करें। जिनके पास पहले से हैं, वे अपना पैसा नए सीड फ़्रेज़ वाले नए वॉलेट में ले जाएँ और पुराने शब्द किसी संदिग्ध उपकरण पर कभी दर्ज न करें। Ledger का कहना है कि उसके अपने सर्वर और सीधी बिक्री से समझौता नहीं हुआ, और अब तक कुछ इसके उलट नहीं कहता। इसलिए सबसे व्यावहारिक सीख यही है: सबसे सुरक्षित रास्ता निर्माता से सीधे खरीदना है, और अज्ञात मूल का वॉलेट कभी सेट अप न करना।

बहुत कुछ अब भी अज्ञात है। पीड़ितों की संख्या सामने नहीं आई है, और बोर्ड सोल्डर करने वाले का पता नहीं चला। यह भी साफ़ नहीं कि छेड़छाड़ वाले उपकरण एक विक्रेता से आगे कितने फैले।

Binance के सह-संस्थापक चांगपेंग झाओ ने पहली खबरों वाले दिन लिखा कि अपनी संपत्ति खुद सँभालने के साथ अतिरिक्त ज़िम्मेदारियाँ जुड़ी होती हैं। मगर CryptoBilis के ग्राहकों ने अपने वॉलेट आधिकारिक विक्रेता से खरीदे थे, और कितनी भी सावधानी रखते, वे स्क्रीन के नीचे छिपे बोर्ड को नहीं पहचान सकते थे।

हार्डवेयर वॉलेट ने अपने मालिक से वादा किया था कि उसे अब किसी एक्सचेंज या बैंक पर भरोसा नहीं करना पड़ेगा। अक्टूबर ने दिखाया कि भरोसा खत्म नहीं हुआ, बस खिसक गया: अब आपको उस फ़ैक्टरी, गोदाम, दुकान और कूरियर पर भरोसा करना है, जिनके हाथों से वह डिब्बा आपके पास पहुँचने से पहले गुज़रा।