Coldcard बग: चुपचाप हुई रैंडमनेस की नाकामी आपकी तिजोरियों तक क्यों नहीं पहुँच सकती

एक मिनट में: हुआ क्या था

30 जुलाई 2026 को हमलावरों ने ऐसे बिटकॉइन वॉलेट ख़ाली करने शुरू कर दिए जिनकी कुंजियाँ वे बस अंदाज़े से निकाल सकते थे: मार्च 2021 की एक फ़र्मवेयर ग़लती की वजह से प्रभावित डिवाइस अपनी रैंडमनेस चिप छोड़ देते थे और कुंजियाँ अंदाज़ा लगने लायक़ मानों से बनाते थे। पाँच साल तक कुछ भी ग़लत नहीं दिखा — फिर कुछ ही दिनों में कई करोड़ डॉलर निकल गए। पूरा घटनाक्रम हर जगह छप चुका है। एन्क्रिप्टेड तिजोरी रखने वाले किसी भी व्यक्ति के लिए बचा सवाल इससे आसान है: क्या ऐसा मेरे डेटा के साथ हो सकता है?

रैंडमनेस ही पूरा खेल क्यों है

एन्क्रिप्ट की गई हर चीज़ एक रैंडम नंबर से शुरू होती है। वह सचमुच रैंडम हो, तो उसका अंदाज़ा लगाना बेकार है। वह चुपचाप अंदाज़ा लगने लायक़ हो, तो उसके ऊपर बना सब कुछ बढ़िया चलता रहता है — पर कुछ भी नहीं बचाता। और बुरी बात यह कि एन्क्रिप्टेड डेटा पर हमला चुपचाप हो सकता है, हमलावर के अपने कंप्यूटरों पर, जहाँ न कोई लॉकआउट है न कोई अलार्म। उस पहले रैंडम नंबर की मज़बूती ही पूरा खेल है।

Sealby में यह चुपचाप क्यों नहीं हो सकता

Sealby अपने पासे कभी ख़ुद नहीं फेंकता। हर कुंजी ऑपरेटिंग सिस्टम में बने रैंडम स्रोत से आती है — जिसे हार्डवेयर से बीज मिलता है और जिसे प्लैटफ़ॉर्म की अपनी सुरक्षा के लिए Apple संभालता है। Sealby के भीतर ऐसा कोई घरेलू जनरेटर है ही नहीं जिसे कोई छिपी ग़लती बिगाड़ सके, और अंदाज़ा लगने लायक़ कोई चीज़ — न टाइमस्टैम्प, न डिवाइस आईडी — कभी कुंजी बनाने की सामग्री नहीं बनती।

दो और सुरक्षा-जाल। कुंजी बनाते वक़्त सिस्टम के दो अलग रास्ते जाँचे जाते हैं और उनमें से कोई भी गड़बड़ करे तो काम वहीं ठप हो जाता है — आपकी स्क्रीन पर एक एरर, पाँच ख़ामोश साल नहीं। और अगर किसी तरह कोई रैंडम नंबर दोहरा भी जाए, तो वह दो चीज़ों को चुपचाप एक ही कुंजी से नहीं बचा सकता, क्योंकि हर कुंजी का अलग होना तिजोरियों की बनावट में ही गूँथा है। हर बिल्ड तय किए हुए मानों के ख़िलाफ़ भी जाँचा जाता है, इसलिए जिस तरह के बदलाव ने वे वॉलेट तोड़े, वह Sealby का बिल्ड पहले ही दिन गिरा देता।

भरोसे की ज़रूरत नहीं: अपने पासे ख़ुद फेंकें

अपनी सबसे संवेदनशील तिजोरियों के लिए आपको किसी भी जनरेटर पर भरोसा करने की ज़रूरत नहीं — न Sealby के, न Apple के। असली पासे फेंकें, नतीजे टाइप करें, और आपकी तिजोरी की कुंजियाँ तथा रिकवरी वाक्यांश आपकी अपनी रैंडमनेस से बनते हैं। नतीजे को आप किसी अलग, स्वतंत्र टूल से जाँच भी सकते हैं। वॉलेट चोरी का असली सबक़ यही है — “हम पर भरोसा करें” नहीं, बल्कि “हमें जाँचें” — और आपकी फ़ाइलें इसी कसौटी की हक़दार हैं।