CZ ने iPhone उपयोगकर्ताओं को iOS अपडेट करने की चेतावनी दी, क्योंकि DarkSword से वॉलेट सुरक्षा को लेकर चिंताएँ बढ़ीं

CZ की चेतावनी वॉलेट सुरक्षा के केंद्र में डिवाइस अपडेट को रखती है

Binance के सह-संस्थापक Changpeng Zhao, जिन्हें व्यापक रूप से CZ के नाम से जाना जाता है, ने 6 नवंबर को X पर एक पोस्ट में iPhone उपयोगकर्ताओं से नवीनतम iOS अपडेट इंस्टॉल करने का आग्रह किया। उन्होंने विशेष रूप से उन लोगों पर ज़ोर दिया जिन्होंने कुछ समय से अपने डिवाइस अपडेट नहीं किए हैं। यह संदेश DarkSword के बारे में आई रिपोर्टों के बाद आया। बताया जाता है कि यह एक्सप्लॉइट Safari में खोली गई दुर्भावनापूर्ण वेबसाइटों के ज़रिए iPhone की जानकारी को निशाना बनाता है। तत्काल मुद्दा उस डिवाइस की सुरक्षा है जिसमें वॉलेट का डेटा मौजूद है—सिर्फ वॉलेट ऐप की सुरक्षा नहीं।

CZ ने एक ऐसी बात पर भी ध्यान दिलाया जिसे आसानी से नज़रअंदाज़ किया जा सकता है: क्रिप्टो वॉलेट ऐप अपडेट करने से फ़ोन का ऑपरेटिंग सिस्टम अपडेट नहीं होता। उनके संदेश में यह बात रेखांकित की गई कि सेल्फ-कस्टडी के लिए उपयोगकर्ताओं को अपने वॉलेट का प्रबंधन करने के साथ-साथ डिवाइस का रखरखाव भी खुद करना होता है। इस रिपोर्ट किए गए मामले में यह अंतर मायने रखता है, क्योंकि फ़ोन में सेंध लगाने का कथित रास्ता एक हैक की गई वेबसाइट है, न कि ऐसी खामी जिसके लिए ज़रूरी तौर पर वॉलेट ऐप के भीतर कोई कार्रवाई करनी पड़े।

बताई गई चिंता यह है कि कोई व्यक्ति संक्रमित साइट पर केवल विज़िट करके संवेदनशील जानकारी उजागर कर सकता है—इसके लिए वॉलेट कनेक्ट करना, किसी लेन-देन पर हस्ताक्षर करना या अनुमति देना ज़रूरी नहीं है। इस खतरे पर चर्चा कर रहे एक क्रिप्टो उपयोगकर्ता ने डिवाइस पर रखी वॉलेट फ़ाइलों और रिकवरी फ़्रेज़ को संभावित निशाने बताया। ये विवरण बताते हैं कि इस रिपोर्ट ने स्व-कस्टडी उपयोगकर्ताओं का ध्यान क्यों खींचा है: वॉलेट को नियंत्रित करने में मददगार जानकारी जोखिम में हो सकती है, भले ही उपयोगकर्ता कोई क्रिप्टो लेन-देन शुरू न करे।

DarkSword के बारे में शोधकर्ताओं ने क्या बताया

DarkSword के बारे में दावे केवल संभावित प्रवेश-मार्ग तक सीमित नहीं हैं। थ्रेट रिसर्चर Officer’s Notes ने बताया कि इस भेद्यता के ज़रिए लगभग 5.57 मिलियन डॉलर मूल्य की क्रिप्टोकरेंसी पहले ही चुराई जा चुकी थी। इस रिपोर्ट में यह भी आरोप लगाया गया कि 18 से अधिक वेबसाइटें दुर्भावनापूर्ण कोड वितरित करने में शामिल थीं। दी गई सामग्री में ये आँकड़े स्वतंत्र रूप से स्थापित निष्कर्षों के बजाय शोधकर्ता की रिपोर्ट हैं, इसलिए वे बताए जा रहे पैमाने का वर्णन करते हैं और उन्हें इसी श्रेय के संदर्भ में पढ़ा जाना चाहिए।

Officer’s Notes ने आगे बताया कि DarkSword को ऑनलाइन 30,000 डॉलर में बिक्री के लिए पेश किया जा रहा था और विक्रेता ने iOS 18.6.2 को इसके द्वारा समर्थित नवीनतम फ़र्मवेयर बताया था। शोधकर्ता ने यह भी कहा कि उन्हें iOS 26 और 27 के लिए प्लेसहोल्डर मिले। यह अवलोकन संभावित भविष्य के एक्सप्लॉइट की तैयारी का संकेत हो सकता है, लेकिन केवल प्लेसहोल्डर होने से यह साबित नहीं होता कि उन संस्करणों के लिए कारगर हमले मौजूद हैं। रिपोर्ट में इन्हें नियोजित विकास के संभावित संकेत के रूप में प्रस्तुत किया गया है, न कि मौजूदा क्षमता के प्रमाण के तौर पर।

शोधकर्ता ने कहा कि Apple ने ज्ञात एक्सप्लॉइट श्रृंखला में इस्तेमाल की गई सभी छह कमजोरियों को पहले ही ठीक कर दिया था। यह चेतावनियों के संदर्भ में एक महत्वपूर्ण स्पष्टीकरण है: बताया गया है कि पूरी श्रृंखला के सभी हिस्से बिना पैच के नहीं हैं। हालांकि, Officer’s Notes ने कहा कि पुराने संस्करण के कुछ हिस्सों का फिर से इस्तेमाल किया जा सकता है, और उसने ऐसा एक संस्करण मिलने की जानकारी दी जिसमें imToken वॉलेट के लिए खास तौर पर बनाया गया फ़ंक्शन था। उपलब्ध विवरण यह नहीं बताता कि किन परिस्थितियों में वह कोड अब भी इस्तेमाल किया जा सकता है या कौन-कौन से डिवाइस प्रभावित हैं।

iPhone से जुड़ी पहले की घटनाएं जोखिम को रेखांकित करती हैं

इसलिए, रिपोर्टें दो आपस में जुड़े, लेकिन अलग-अलग सवालों की ओर इशारा करती हैं: क्या फ़ोन में ज्ञात श्रृंखला की कमजोरियों के लिए सुधार इंस्टॉल किए गए हैं, और क्या पुराने वॉलेट-केंद्रित कोड को अब भी नए काम के लिए इस्तेमाल किया जा सकता है। शोधकर्ता के अनुसार, Apple के पैच उस श्रृंखला में पहचानी गई कमजोरियों को ठीक करते हैं, जबकि दोबारा इस्तेमाल किए जा सकने वाले घटकों का दावा पुराने संस्करण के कोड से जुड़ा है। स्रोत यह स्थापित नहीं करता कि हर iPhone अब भी जोखिम में है, और न ही जोखिम वाले डिवाइसों या सॉफ़्टवेयर स्थितियों की पूरी सूची देता है।

जो लोग फ़ोन पर रिकवरी फ़्रेज़ या वॉलेट फ़ाइलें रखते हैं, उनके लिए कथित तौर पर बिना मंज़ूरी वाला तरीका लेन-देन की सुरक्षा को देखने के आम नज़रिए को बदल देता है। उपयोगकर्ता को लग सकता है कि संपत्तियों को जोखिम में डालने से पहले वॉलेट कनेक्शन या हस्ताक्षर का संकेत दिखेगा, लेकिन रिपोर्ट के मुताबिक किसी प्रभावित वेबसाइट पर जाने के बाद संवेदनशील डेटा को निशाना बनाया जा सकता है। इसका यह मतलब नहीं कि हर बार वेबसाइट पर जाने से चोरी होती है; यह इस बात को रेखांकित करता है कि वॉलेट सॉफ़्टवेयर में मौजूद सुरक्षा उपायों के साथ-साथ डिवाइस और ब्राउज़िंग की सुरक्षा भी मायने रख सकती है।

क्रिप्टो से जुड़ी चिंताओं के संदर्भ में स्रोत में iPhone की जिस सुरक्षा समस्या का ज़िक्र है, DarkSword अकेली समस्या नहीं है। Apple के CoreGraphics 2D रेंडरिंग इंजन में एक अलग कमज़ोरी थी, जिसका फ़ायदा उठाकर डिवाइस पर खास तौर पर बनाई गई फ़ाइल प्रोसेस किए जाने पर दुर्भावनापूर्ण कोड चलाया जा सकता था। रिपोर्ट के अनुसार, Apple ने सितंबर के अंत में iOS 26.7.1 और iPadOS 26.7.1 के रूप में पहचाने गए अपडेट जारी करके इस समस्या को ठीक किया। विवरण इस घटना को तकनीकी रूप से DarkSword से नहीं जोड़ता; इसका उल्लेख डिवाइस-स्तर के जोखिम के एक अन्य रिपोर्ट किए गए उदाहरण के रूप में प्रासंगिक है।

क्या पता है—और क्या अब भी स्पष्ट नहीं है

दी गई जानकारी के अनुसार, Apple ने माना कि CoreGraphics की इस खामी का इस्तेमाल कुछ खास लोगों के ख़िलाफ़ बेहद परिष्कृत हमलों में किया गया हो सकता है। उस समय SlowMist ने क्रिप्टो उपयोगकर्ताओं को अपने डिवाइस अपडेट करने और संदिग्ध लिंक व डाउनलोड से बचने की चेतावनी दी थी। यह घटनाक्रम ऑपरेटिंग सिस्टम अपडेट पर CZ के मौजूदा ज़ोर का संदर्भ देता है, लेकिन इससे यह साबित नहीं होता कि पहले वाली खामी और DarkSword एक ही एक्सप्लॉइट हैं। दोनों घटनाओं को अलग-अलग सुरक्षा मामले बताया गया है, जिनमें संवेदनशील जानकारी को लेकर चिंता समान है।

एक अन्य मामला FomoPeek ऐप से जुड़ा था। SlowMist और OKX की सुरक्षा टीमों ने कथित तौर पर ऐप में दुर्भावनापूर्ण कोड पाया, जो iOS की कमजोरियों का फायदा उठाकर ऐसी संवेदनशील जानकारी तक पहुँच सकता था, जिसे एक्सेस करने की अनुमति FomoPeek को सामान्यतः नहीं थी। उपलब्ध कराई गई रिपोर्ट में प्रभावित उपयोगकर्ताओं की संख्या, नुकसान या किसी भी चोरी का समय नहीं बताया गया है। यहाँ इसकी प्रासंगिकता सीमित है: वेबसाइटों और ऑपरेटिंग सिस्टम की खामियों की तरह, इंस्टॉल किए गए ऐप्स को भी उनकी अपेक्षित पहुँच से बाहर की जानकारी तक पहुँचने का संभावित माध्यम बताया गया।

DarkSword के मामले में कई बातें अब भी अनिश्चित हैं: प्रभावित डिवाइसों का पूरा दायरा, कथित चोरियों की पुष्टि कैसे की गई, और क्या पहचाना गया पुराना कोड व्यवहार में मौजूदा सॉफ़्टवेयर पर काम कर सकता है। रिपोर्ट कहती है कि ज्ञात शोषण-श्रृंखला की छहों कमजोरियों को ठीक कर दिया गया है, लेकिन इन व्यापक सवालों का जवाब नहीं देती। इस अनिश्चितता के बीच CZ की सलाह स्पष्ट है—iOS को अपडेट रखें—हालाँकि स्रोत से यह निष्कर्ष निकालने का कोई आधार नहीं मिलता कि हर iPhone उपयोगकर्ता प्रभावित है या केवल अपडेट करने से वॉलेट की सुरक्षा से जुड़ी हर चिंता दूर हो जाती है।

स्रोत: CryptoPotato