Coinkite के Coldcard बग से एकल हस्ताक्षर का जोखिम उजागर; कई विक्रेताओं वाला मल्टीसिग Bitcoin कस्टडी का नया मानक

बिटकॉइन मैगज़ीन

Coinkite का Coldcard बग एकल-सिग जोखिम को उजागर करता है। मल्टी-वेंडर मल्टीसिग नया बिटकॉइन कस्टडी बेसलाइन है

Coldcard के विनाशकारी एंट्रॉपी बग के बाद, आत्म-निगरानी के समर्थक और विशेषज्ञ एक नए मानक, मल्टी-वेंडर मल्टीसिग वॉलेट की सिफारिश करने लगे हैं, जो अन्य खतरों के बीच किसी एक हार्डवेयर वॉलेट निर्माता पर निर्भरता को कम करने के लिए एक दृष्टिकोण है।

Coldcard एंट्रॉपी बग, जो कम से कम 2021 से अनदेखा रहा, ने बिटकॉइन आत्म-निगरानी के समर्थकों और उपयोगकर्ताओं को एक कठिन सबक सिखाया है। चाहे एक वॉलेट प्रदाता कितना भी वैध या सक्षम क्यों न लगे, कितना भी अच्छी तरह से सिफारिश की गई और प्रतिष्ठित हो, एक बड़ा बग संभव हो सकता है। परिणामस्वरूप, बिटकॉइनर्स पुराने सुझावों और धारणाओं पर सवाल उठा रहे हैं, जिसमें कई 'एकल सिग की मृत्यु' की घोषणा कर रहे हैं, जो निजी कुंजी जोड़ी निर्माण को केवल एक वॉलेट पर भरोसा करने की लोकप्रिय आत्म-निगरानी विधि है।

खतरे का मॉडल

किसी भी माप से आत्म-निगरानी बिटकॉइन में एक उन्नत प्रथा है। समर्थक इसे उपयोगकर्ता फंड को एक्सचेंज की गलतियों से बचाने के तरीके के रूप में सिफारिश करते हैं, जैसे कि FTX और MtGox के मामलों में देखा गया है, कई अन्य के बीच। लेकिन हाल की घटनाओं ने कस्टडी प्रथाओं का पुनर्मूल्यांकन किया है, जिसमें कई बिटकॉइन मालिकों ने सिक्कों को एक्सचेंज में स्थानांतरित किया है - कम से कम अस्थायी रूप से - जबकि अन्य अपने आत्म-निगरानी सेटअप को पूरी तरह से अपग्रेड या बदल रहे हैं। कैसा के सीईओ निक न्यूमैन ने दावा किया कि 233k बिटकॉइन Coldcard हैक के प्रतिक्रिया में सुरक्षा में स्थानांतरित हुए।

यह समझना आवश्यक है कि आत्म-निगरानी कब समझ में आती है और किसके लिए, आपके व्यक्तिगत खतरे के मॉडल को समझना आवश्यक है। खतरे का मॉडल एक व्यक्ति के लिए खतरों का सावधानीपूर्वक विश्लेषण है, जिसका उद्देश्य समय से पहले सुरक्षा प्रथाओं और संरचनाओं को डिजाइन करना है।

एक सरल खतरे के मॉडल का अभ्यास यह हो सकता है कि एक कदम पीछे हटें और आत्म-निगरानी के बारे में आपको चिंतित करने वाली सभी संभावित चीजों के बारे में सोचें, और उन्हें एक सूची में जोड़ें। फिर उन सभी चीजों के बारे में सोचें जिनके बारे में अधिवक्ता उपयोगकर्ताओं को चेतावनी देते हैं, और उन्हें उसी सूची में जोड़ें। अगला, उस सूची में आइटम को इस आधार पर क्रमबद्ध या रेट करें कि कौन सी चीजें आपके साथ होने की सबसे अधिक संभावना है, और कौन सी सामान्य रूप से होने की सबसे अधिक संभावना है। अंत में, आप सूची में प्रत्येक आइटम को इस आधार पर रैंक कर सकते हैं कि यदि यह हुआ तो यह कितना विनाशकारी होगा; क्या आपकी वर्तमान सेटअप और योजनाएँ उस खतरे की वास्तविकता को सहन कर सकती हैं?

बिटकॉइन आत्म-निगरानी में धन के नुकसान के दो सबसे संभावित कारण उपयोगकर्ता त्रुटि हैं जो बैकअप या भूले हुए पासवर्ड से संबंधित हैं, और निश्चित रूप से चोरी। कई वॉलेट्स जिन्हें खोए हुए बिटकॉइन माना जाता है जो नहीं चले हैं, वे शुरुआती दिनों में निजी कुंजियों के खराब बैकअप से आते हैं, जिसके परिणामस्वरूप एक कंप्यूटर के विफल होने के बाद डेटा का नुकसान होता है। अन्य लोगों ने बस पासवर्ड का उपयोग किया जो ब्रूट फोर्स करने के लिए बहुत कठिन थे, और फिर उन्हें भूल गए, अपने निजी कुंजियों को हमेशा के लिए एन्क्रिप्ट कर दिया।

चोरी के आयाम पर, खराब एंट्रॉपी हमले संभवतः आत्म-निगरानी पर अब तक के सबसे सफल हमलों में से एक हैं, जिसमें Coldcard एक महत्वपूर्ण सूची में शामिल हो गया है जिसमें अन्य वॉलेट शामिल हैं जिन्होंने इस प्रकार की बग का सामना किया है, चाहे वह जानबूझकर हो या अन्यथा, जैसे कि Trust Wallet, और कई कम ज्ञात और संभवतः दुर्भावनापूर्ण मोबाइल वॉलेट। कुछ मामलों में, नकली वॉलेट जैसे iOS Sparrow Wallets ने उपयोगकर्ता के फंड को केवल उपयोगकर्ता-निर्मित निजी कुंजियों की एक प्रति रखकर और जमा होने के बाद फंड को स्वीप करके चुरा लिया। इन सभी उदाहरणों में, अपने जीवन की बचत के साथ यादृच्छिक सॉफ़्टवेयर पर भरोसा करने से पहले अधिक विचारशील उपयोगकर्ता व्यवहार समाधान है।

एक बार जब उपयोगकर्ताओं के पास एक स्पष्ट खतरे का मॉडल होता है और प्रौद्योगिकी की अच्छी समझ होती है, तो सुरक्षा प्रथाओं को डिजाइन करना अधिक विज्ञान बन जाता है बनिस्बत कला के। और जबकि प्रत्येक व्यक्ति के पास विशिष्ट परिस्थितियाँ होती हैं जिन्हें उन्हें ध्यान में रखना होता है, कुछ संरचनाएँ अधिकांश खतरों के प्रति सबसे अधिक लचीली के रूप में उभरी हैं। एक ऐसी प्रथा जो दीर्घकालिक आत्म-निगरानी बिटकॉइन धारकों के बीच व्यापक रूप से अनुशंसित और अपनाई जा रही है, वह है एक सावधानीपूर्वक बनाई गई मल्टीसिग सेटअप।

मल्टी-वेंडर मल्टीसिग

शब्द “Multi-vendor Multisig” स्व-निगरानी क्षेत्र में अपेक्षाकृत नया है। हालांकि, “multisig” शब्द 2026 में वायरल हो गया, जो स्पष्ट रूप से Coldcard हैक द्वारा प्रेरित था, जिसमें एकल बीज वॉलेट से अधिकांश 100 मिलियन डॉलर मूल्य के बिटकॉइन का नुकसान हुआ। अधिकांश एकल-बीज Coldcard उपयोगकर्ताओं ने अपने निजी कुंजी को डिवाइस पर बिना अतिरिक्त पासफ़्रेज़, अतिरिक्त शब्द जो निजी कुंजी में कस्टम एंट्रॉपी जोड़ते हैं, या बिना अतिरिक्त डाइस रोल के उत्पन्न किया, जो एक अलग प्रारूप में वही करते हैं।

Coldcard फर्मवेयर से कमजोर एंट्रॉपी — जिस पर उपयोगकर्ताओं को भरोसा करने का कोई कारण नहीं था, कंपनी के मजबूत ब्रांड को देखते हुए — ने संबंधित निजी कुंजी का अनुमान लगाना आसान बना दिया, थोड़ी कस्टम कार्य के साथ, जिसे हैकर्स ने अंततः समझ लिया।

Multisig में परिणामी वायरल रुचि उचित है। Multisig Bitcoin वॉलेट उपयोगकर्ताओं को ऐसे हार्डवेयर निर्माता की गलतियों से बचाते हैं, जिससे उपयोगकर्ताओं को एक Bitcoin पता बनाने की अनुमति मिलती है जिसे कई निजी कुंजी और इस प्रकार कई उपकरणों से हस्ताक्षर की आवश्यकता होती है, जिसे Bitcoin स्क्रिप्ट के रूप में जाना जाता है।

बिटकॉइन स्क्रिप्ट एक प्रकार के अनुबंध होते हैं जो बिटकॉइन वॉलेट के लिए खर्च करने की शर्तें निर्धारित करते हैं। सभी बिटकॉइन वॉलेट को इस तरह से सोचा जा सकता है कि उनमें किसी न किसी प्रकार की स्क्रिप्ट शामिल होती है, जिसमें सबसे सरल और सबसे लोकप्रिय यह है कि जो कोई भी एक वैध लेनदेन पर हस्ताक्षर कर सकता है, वह वहां मौजूद सभी या किसी भी फंड को खर्च कर सकता है। मल्टीसिग स्क्रिप्ट इसके बजाय विभिन्न कीपेयर्स से वैध हस्ताक्षरों की एक सीमा की आवश्यकता होती है ताकि एक वैध निकासी हो सके। इन स्क्रिप्टों को बिटकॉइन सहमति नियमों द्वारा लागू किया जाता है।

मल्टी-वेंडर मल्टीसिग सिद्धांत का तर्क है कि उपयोगकर्ताओं को यह सुनिश्चित करना चाहिए कि बिटकॉइन मल्टीसिग बनाने के लिए उपयोग किए गए प्रत्येक कीपैर को एक अलग वॉलेट विक्रेता से उत्पन्न किया गया हो।

एक उदाहरण जो आजकल लोकप्रिय हो सकता है, वह है एक की के साथ Trezor Safe 7 हार्डवेयर वॉलेट का उपयोग, एक दूसरा की Ledger Nano द्वारा उत्पन्न किया गया, और एक तीसरा की एक मल्टीसिग वॉलेट प्रदाता द्वारा उत्पन्न किया गया, जिसे एक रिकवरी की माना जाता है। इस प्रकार की स्क्रिप्ट को सेटअप में तीन संभावित हस्ताक्षरों में से किसी 2 वैध हस्ताक्षरों की आवश्यकता होगी।

दो अलग-अलग हार्डवेयर वॉलेट प्रदाताओं का उपयोग करके, उपयोगकर्ता किसी एकल वॉलेट विक्रेता पर भरोसा कम करता है, उन्हें Coldcard में देखे गए एंट्रॉपी विफलता से बचाता है।

अन्य मल्टीसिग सेटअप अधिक की जोड़ सकते हैं, जिसमें 3-में-5 की सीमा भी सामान्य है और Casa जैसे मल्टीसिग-विशेषीकृत वॉलेट का एक मानक प्रस्ताव है। इस बिंदु पर, बिटकॉइन खर्च सॉफ़्टवेयर का वर्णन करने के लिए सामान्यतः उपयोग की जाने वाली और समझी जाने वाली शब्दावली टूटने लगती है, और परिणामस्वरूप स्पष्टीकरण की आवश्यकता होती है।

कैसा जैसे वॉलेट सॉफ़्टवेयर इंटरफेस हैं जो उपयोगकर्ताओं को विभिन्न निजी कुंजी जोड़ों से आंशिक रूप से हस्ताक्षरित लेनदेन को संयोजित करने की अनुमति देते हैं। इस परिदृश्य में, 'हार्डवेयर वॉलेट' जैसे Trezor या Ledger को 'की साइनर्स' के रूप में वर्णित करना अधिक उपयोगी हो जाता है क्योंकि सेट में कोई एकल कुंजी जोड़ी सभी बिटकॉइन को खर्च करने के लिए पर्याप्त कुंजी सामग्री नहीं रखती है जो मल्टीसिग स्क्रिप्ट पते में रखी गई है।

इसलिए कैसा एक मल्टीसिग वॉलेट है जो आपको बिटकॉइन फंड को सुरक्षित और भेजने के लिए हार्डवेयर साइनर्स के एक थ्रेशोल्ड का उपयोग करने की अनुमति देता है। मूल रूप से, वे उपयोगकर्ताओं को बिटकॉइन स्क्रिप्ट के साथ बातचीत करने और आसानी से सहमति-मान्य लेनदेन बनाने में मदद करते हैं। ऐसे अन्य मल्टीसिग वॉलेट प्रदाताओं के उदाहरणों में Nunchuck, Sparrow डेस्कटॉप वॉलेट और Unchained Capital शामिल हैं।

कैसा और Unchained जैसे मामलों में, वॉलेट प्रदाता उपयोगकर्ताओं को कंपनी द्वारा नियंत्रित एक रिकवरी कुंजी प्रदान करता है, जिसे कुछ उपयोगकर्ता उपयोगी मानते हैं। दूसरी ओर, Nunchuck और Sparrow इस संबंध में पूर्ण उपयोगकर्ता स्वायत्तता के लिए डिज़ाइन किए गए हैं, हालांकि Nunchuck एक प्रीमियम रिकवरी कुंजी-संबंधित योजना भी प्रदान करता है।

मल्टीवेंडर मल्टीसिग के फायदे

एक मल्टीसिग वॉलेट का एक और लाभ इसके प्रसिद्ध रिंच हमलों के प्रति संभावित प्रतिरोध है। फ्रांस जैसे देश, जो कर फाइलिंग के परिणामस्वरूप बिटकॉइन और क्रिप्टो स्वामित्व को सार्वजनिक रिकॉर्ड का मामला बनाते हैं, क्रिप्टो चोरी से संबंधित अपहरण के लिए केंद्र बिंदु बन गए हैं। स्व-निगरानी हो या नहीं, इस प्रकार के अपराध के लक्ष्य चोरी के प्रति संवेदनशील होते हैं, विशेष रूप से जब फंड को जल्दी से पूरी तरह से स्थानांतरित किया जा सकता है, चाहे वह एक कस्टोडियल एक्सचेंज से हो जिसे उपयोगकर्ता अपने फोन से एक्सेस कर सकता है, या किसी स्व-निगरानी सेटअप से।

मल्टीजुरिस्डिक्शनल या टाइम-लॉक्ड मल्टीसिग जैसे उन्नत मल्टीसिग रूपों में यह सुनिश्चित किया जाता है कि उपयोगकर्ताओं को अन्य प्रमुख हस्ताक्षरकर्ताओं तक पहुँचने के लिए यात्रा करनी पड़े, आदर्श रूप से एक हवाई अड्डे के माध्यम से, ताकि एक वैध बिटकॉइन लेनदेन बनाने के लिए आवश्यक हो। या शायद मल्टीसिग में शामिल रिकवरी कुंजी की यह शर्त है कि यह उपयोगकर्ता द्वारा अनुरोध और संबंधित लेनदेन डेटा प्रस्तुत करने के बाद दो सप्ताह तक हस्ताक्षर नहीं करेगी। परिणाम यह है कि बिटकॉइन निगरानी में अंतिम केंद्रीय विफलता बिंदु को हटा दिया जाता है: उपयोगकर्ता की अपनी इच्छा बिटकॉइन भेजने की, विशेष रूप से जब दबाव में हो।

जबकि रिंच हमलों के मामले में सर्वोत्तम प्रथाएँ व्यापक रूप से पहले स्थान पर उस स्थिति में समाप्त होने से बचने की कोशिश करती हैं, अपने सिक्कों को खर्च करना कठिन बनाना वास्तव में उपयोगकर्ताओं को कई प्रकार के हमलों से भी बचाता है, जिसमें फ़िशिंग योजनाएँ और अन्य प्रकार की सामाजिक इंजीनियरिंग शामिल हैं जो उपयोगकर्ताओं को जल्दी से फंड भेजने के लिए मूर्ख बनाने के लिए दबाव की तकनीकों का उपयोग करती हैं।

मल्टीसिग ने बिटकॉइन बीमा के नए रूपों को सक्षम करना भी शुरू कर दिया है, जैसा कि एंकरवॉच द्वारा प्रदर्शित किया गया है, जो एक मल्टीसिग वॉलेट और बीमा कंपनी है जो BTC में नामांकित बिटकॉइन चोरी सुरक्षा प्रदान करती है। कंपनी की सेवाएँ आज मुख्य रूप से अमेरिकियों को लॉयड्स ऑफ लंदन बीमाकर्ता के माध्यम से प्रदान की जाती हैं।

मल्टीसिग के नुकसान

मल्टीसिग का एक महत्वपूर्ण नुकसान यह है कि उपयोगकर्ता को केवल उस थ्रेशोल्ड कुंजी सामग्री तक पहुंच की आवश्यकता नहीं होती है जो हस्ताक्षर करने के लिए आवश्यक होती है, चाहे वह हमारे उदाहरण में दो हार्डवेयर वॉलेट हों, या हार्डवेयर वॉलेट में से एक और वॉलेट कंपनी से एक रिकवरी कुंजी हो। उपयोगकर्ता को मल्टीसिग स्क्रिप्ट या टेम्पलेट की एक प्रति भी संग्रहीत करनी होती है, ताकि वे स्मार्ट कॉन्ट्रैक्ट को फिर से बना सकें और इस प्रकार खर्च करने के लिए वैध निकासी शर्तें प्राप्त कर सकें। अधिकांश मल्टीसिग वॉलेट इस जानकारी को ग्राहकों के लिए संग्रहीत करते हैं, लेकिन वे उपयोगकर्ताओं को एक प्रति भी भेजेंगे ताकि वे मल्टीसिग वॉलेट से स्वतंत्र रूप से पुनर्प्राप्त कर सकें, यदि यह एक दिन ऑफ़लाइन हो जाए।

यह पोस्ट कोइंकाइट के कोल्डकार्ड बग ने सिंगल-सिग जोखिम को उजागर किया। मल्टी-वेंडर मल्टीसिग नई बिटकॉइन कस्टडी बेसलाइन है जो पहली बार बिटकॉइन मैगज़ीन पर प्रकाशित हुई और इसे जुआन गाल्ट द्वारा लिखा गया है।

स्रोत: BitcoinMagazine