کولڈکارڈ ہارڈویئر والٹس میں پائی جانے والی ایک خرابی نے ہیکرز کو 1,596 سے زائد بٹ کوائن، جن کی مالیت 10 کروڑ ڈالر (USD) سے تجاوز کر گئی، چوری کرنے کا موقع دے دیا۔ یہ بگ ظاہر کرتا ہے کہ پرائیویٹ کی جنریٹ کرنے کا عمل کتنا نازک ہو سکتا ہے، حتیٰ کہ ان آلات کے اندر بھی جو خاص طور پر اسے محفوظ رکھنے کے لیے بنائے گئے تھے۔
دراصل ہوا کیا
کوائنکائٹ، جو کولڈکارڈ کے پیچھے موجود کمپنی ہے، نے Cointelegraph کے مطابق 31 جولائی 2026 کو ایک انٹروپی جنریشن خرابی سے پردہ اٹھایا۔ گیلیکسی ڈیجیٹل کے محققین کا کہنا ہے کہ ہیکرز نے منظم حملوں میں اس خرابی کا فائدہ اٹھا کر 1,596 سے زائد بٹ کوائن چرائے، جن کی مالیت کم از کم 10 کروڑ ڈالر (USD) بنتی ہے۔ کوائنکائٹ نے فرم ویئر فکس جاری کر دیے ہیں اور متاثرہ صارفین کو ہدایت کی ہے کہ وہ اپنے فنڈز نئے بنائے گئے والٹس میں منتقل کریں۔ کور لائٹننگ ڈویلپر ڈسٹن ڈیٹمر کا کہنا ہے کہ اس خرابی کی جڑیں 2021 کی فرم ویئر تبدیلیوں میں چھپی ہیں، جن کی وجہ سے ہارڈویئر رینڈم نمبر جنریٹر غیر فعال ہو گیا تھا اور والٹس کو مائیکرو پائتھون کے کمزور یاسمارانگ سیوڈو-رینڈم نمبر جنریٹر پر انحصار کرنا پڑا۔ کوائنکائٹ نے اس مخصوص ترتیب کی تصدیق نہیں کی، تاہم کمپنی کے ترجمان نے Cointelegraph کو بتایا کہ کچھ فرم ویئر ورژنز میں سیڈ جنریشن کے دوران ایک فال بیک راستہ موجود تھا جو خود ڈیوائس پر کمزور انٹروپی پیدا کر سکتا تھا۔ وہ آلات جو دستی طور پر تیار کردہ انٹروپی، جیسے ڈائس رولز، استعمال کرتے تھے، متاثر نہیں ہوئے۔
معاملہ یہاں تک کیسے پہنچا
ہر بٹ کوائن والٹ کی بنیاد ایک سیڈ فریز پر ہوتی ہے جو رینڈم ڈیٹا کے ایک ذخیرے سے تیار کی جاتی ہے۔ انٹروپی دراصل اس بات کا پیمانہ ہے کہ یہ ڈیٹا کتنا غیر متوقع ہے۔ اگر انٹروپی کمزور پڑ جائے تو حملہ آور ممکنہ پرائیویٹ کیز کا دائرہ محدود کر کے بالآخر انہیں دوبارہ تخلیق کر سکتے ہیں۔ فاؤنڈیشن کے سی ای او زیک ہربرٹ کے مطابق یہ خرابی پانچ سال سے زائد عرصے تک کسی کی نظر میں نہیں آئی۔ کمزور رینڈم نمبر جنریشن کوئی نئی بات نہیں۔ بٹ کوائن سیکیورٹی ماہر جیمسن لوپ نے ماضی میں بھی والٹس اور لائبریریز میں ایسی خامیاں دستاویزی طور پر ریکارڈ کی ہیں، جن میں Blockchain.com کا اینڈرائیڈ والٹ اور Trust Wallet شامل ہیں۔ لیجر، ٹریزر اور فاؤنڈیشن، ہر ایک الگ انٹروپی حکمت عملی اپناتے ہیں، سرٹیفائیڈ سیکیور ہارڈویئر سے لے کر متعدد آزاد ذرائع کو ملانے تک، لیکن کوئی بھی یہ ضمانت نہیں دے سکتا کہ ایک ہی نکتے پر ناکامی نہیں ہو سکتی۔
آپ کے لیے یہ کیوں اہم ہے
کولڈکارڈ صارفین کے لیے سب سے اہم بات یہ ہے کہ متاثرہ فرم ویئر پر بنائے گئے والٹس کے حوالے سے کوائنکائٹ کی منتقلی ہدایات پر عمل کیا جائے۔ وسیع تر انڈسٹری کے لیے، یہ واقعہ مینوفیکچررز کو مضبوط اور قابلِ تصدیق انٹروپی معیارات کی طرف دھکیل رہا ہے، جیسا کہ کریکن کے چیف سیکیورٹی آفیسر نک پرکوکو نے تجویز کیا ہے۔ فاؤنڈیشن کے اوپن سورس ماڈل کی پیروی کرتے ہوئے، بلڈرز پر دباؤ آ سکتا ہے کہ وہ اپنا فرم ویئر قابلِ تکرار (reproducible) بنا کر شائع کریں یا تیسرے فریق سے آڈٹ کروائیں۔ عام صارفین کے لیے یہ واقعہ سیلف-کسٹڈی کے ایک بڑے تجارتی تناؤ کو اجاگر کرتا ہے: ہارڈویئر والٹس رسک کو ایک ہی سیڈ جنریشن واقعے میں مرتکز کر دیتے ہیں، جبکہ متبادل ماڈلز، جیسے MPC پر مبنی والٹس بشمول bonuz، پرائیویٹ کیز کو نیٹ ورک پر تقسیم کر دیتے ہیں اور صارفین کو سیڈ فریز محفوظ رکھنے کے بجائے سوشل لاگ ان کے ذریعے رسائی کی سہولت دیتے ہیں۔
بڑا سوال یہ ہے
اگر رینڈمنیس اُن آلات کے اندر بھی خاموشی سے ناکام ہو سکتی ہے جو خاص طور پر اسے پیدا کرنے کے لیے بنائے گئے تھے، تو کسی بھی والٹ پر زندگی بدل دینے والی رقم کا بھروسہ کرنے سے پہلے کتنی تصدیق کافی ہے؟ کیا انڈسٹری کو ہر فرم ویئر ورژن کی تیسرے فریق سے سرٹیفیکیشن لازمی قرار دینی چاہیے، یا سیکیورٹی کا انحصار اس بات پر ہے کہ صارفین خود اس عمل کو سمجھیں؟ کولڈکارڈ واقعہ اس کا جواب نہیں دیتا۔ یہ صرف یہ ظاہر کرتا ہے کہ یہ سوال کتنی کم بار پوچھا جاتا ہے۔
آگے کیا دیکھنا ہے
کوائنکائٹ کا کہنا ہے کہ وہ جلد ہی اس خرابی کی مکمل تکنیکی رپورٹ شائع کرے گی، تاہم کوئی حتمی تاریخ نہیں بتائی گئی۔ متاثرہ فرم ویئر پر بنائے گئے والٹس رکھنے والے کولڈکارڈ صارفین کو کوائنکائٹ کی براہ راست منتقلی ہدایات کا انتظار کرنا چاہیے۔ نک پرکوکو کی تجویز کردہ انڈسٹری اشورنس اسٹینڈرڈ، جو انٹروپی کی توثیق اور فرم ویئر سرٹیفیکیشن کا احاطہ کرتی ہے، ابھی تک ایک زیرِ بحث موضوع ہے نہ کہ باضابطہ قانون۔ آنے والے مہینوں میں لیجر، ٹریزر اور فاؤنڈیشن کی انٹروپی پریکٹسز پر مزید جانچ پڑتال متوقع ہے۔
