कई वर्षों तक कोल्डकार्ड के पीछे का पूरा विचार यही था कि कोई भी आपके बिटकॉइन तक तब तक नहीं पहुंच सकता जब तक कि वह व्यक्ति शारीरिक रूप से उस डिवाइस को अपने हाथों में न पकड़े हो।

वह वादा इस सप्ताह टूट गया, जब एक हमलावर ने चुपचाप बह एक घंटे से भी कम समय में एक हजार से अधिक वॉलेट से लगभग 1,082 बीटीसी (लगभग 70 मिलियन डॉलर मूल्य के) चोरी हो गए। चौंकाने वाली बात यह है कि चोर ने किसी भी डिवाइस को छुआ तक नहीं, किसी को फ़िशिंग का शिकार नहीं बनाया और उसे पिन या पासवर्ड की आवश्यकता भी नहीं पड़ी। ये सिक्के कोल्ड स्टोरेज में, ऑफ़लाइन, ठीक उसी तरह रखे गए थे जैसे हर सेल्फ-कस्टडी गाइड में बताया जाता है। और फिर भी चोर उन्हें चुरा ले गए। क्रिप्टो जगत के उस हिस्से के लिए, जो हार्डवेयर वॉलेट को सुरक्षा का सर्वोच्च मानक मानता है, यह वाकई एक मुश्किल घड़ी है।

गैलेक्सी डिजिटल के ब्लॉकचेन विश्लेषक, जो इस चोरी पर नज़र रख रहे थे, ने पहले नुकसान का अनुमान लगभग 38 मिलियन डॉलर लगाया था, लेकिन जैसे-जैसे और पते सामने आए, उन्होंने इस संख्या को बढ़ा दिया। हार्डवेयर वॉलेट निर्माता कॉइनकाइट ने खामी की पुष्टि की और तुरंत पैच किया हुआ फर्मवेयर जारी किया, लेकिन तब तक पैसा गायब हो चुका था। कॉइनकाइट की अपनी सुरक्षा सलाह के अनुसार, चोरी कंपनी द्वारा उपयोगकर्ताओं को सार्वजनिक रूप से चेतावनी देने से लगभग एक दिन पहले हुई थी, इसलिए बहुत से लोगों को कुछ भी पता चलने से पहले ही उनका बैलेंस शून्य हो गया। जब आपका पूरा ब्रांड अत्यधिक सुरक्षा पर आधारित हो, तो इस तरह की देरी बेहद नुकसानदेह होती है। कंपनी का कहना है कि वह अभी भी नुकसान की पूरी सीमा का पता लगाने के लिए काम कर रही है।

वॉलेट द्वारा चाबियां बनाने के तरीके में पांच साल पुरानी एक त्रुटि

इस समस्या की जड़ एक साथ उबाऊ और चिंताजनक दोनों है। हार्डवेयर वॉलेट सेटअप करते समय, यह माना जाता है कि यह आपके सीड वाक्यांश को पूरी तरह से यादृच्छिक रूप से तैयार करेगा, यानी ऐसा यादृच्छिक वाक्यांश जिसे गणितीय रूप से अनुमान लगाना असंभव है। मार्च 2021 में जारी किए गए किसी फर्मवेयर बिल्ड में, कोल्डकार्ड के सॉफ़्टवेयर ने अपने समर्पित हार्डवेयर यादृच्छिक संख्या जनरेटर को छोड़ दिया और चुपचाप चिप से प्राप्त अनुमानित मानों का उपयोग करने लगा। अपेक्षित 128 बिट्स की एंट्रॉपी के बजाय, प्रभावित Mk3 डिवाइस लगभग 40 बिट्स के सीड उत्पन्न कर रहे थे, और बाद के Mk4, Mk5 और Q मॉडल लगभग 72 बिट्स के सीड उत्पन्न करने लगे। सरल शब्दों में कहें तो, वह रिकवरी वाक्यांश जिसे अनुमान लगाना असंभव होना चाहिए था, आधुनिक हार्डवेयर वाले किसी भी हमलावर के लिए आसानी से भेदने योग्य बन गया।

इससे भी बुरी बात यह है कि यह पांच साल से अधिक समय तक किसी की नज़र में नहीं आया। प्रभावित बिल्ड पर बनाए गए हर वॉलेट में शुरू से ही एक ही खामी मौजूद थी, चाहे मालिक ने कभी कोई गलती की हो या न की हो। कुछ शोधकर्ताओं ने सुझाव दिया है कि स्वचालित या एआई-सहायता प्राप्त टूलिंग ने हमलावर को कम किए गए कीस्पेस को इतनी तेज़ी से नष्ट करने में मदद की होगी कि वह एक ही बार में इतने सारे वॉलेट खाली कर सके, हालांकि इस दावे की पुष्टि नहीं हुई है। कॉइनकाइट का कहना है कि ठीक किया गया फर्मवेयर सही रैंडमनेस को बहाल करता है, लेकिन एक पैच इतिहास को नहीं बदल सकता। पुराने सॉफ़्टवेयर पर उत्पन्न कोई भी सीड अभी भी अपने कमजोर रूप में मौजूद है, यही कारण है कि अब जो सलाह आ रही है वह इतनी सीधी है।

जिन लोगों को चोट लगी, उन्होंने सब कुछ "सही" किया था।

यह घटना बेहद चुभने वाली है क्योंकि इसका खामियाजा उन लोगों को भुगतना पड़ा जिन्होंने मानक सलाह का अक्षरशः पालन किया था। जिन लोगों के बटुए खाली हुए, उनमें से अधिकांश वे लोग थे जिन्होंने वर्षों पहले अपने सिक्के एक्सचेंजों से निकाल लिए थे और उन्हें सुरक्षित रूप से कोल्ड स्टोरेज में रख दिया था, जिसे एक ज़िम्मेदार कदम माना जाता है। सावधानी बरतने का उनका इनाम यह था कि उनकी धनराशि गायब हो गई, जबकि कस्टोडियल प्लेटफॉर्म पर नए और कम अनुशासित व्यापारियों पर इसका कोई असर नहीं पड़ा। इसमें एक कड़वा सच भी छिपा है। जिन उपयोगकर्ताओं ने सेटअप के दौरान अपनी ओर से कुछ बदलाव किए थे, या जिन्होंने पासफ़्रेज़ या मल्टीसिग सिस्टम का इस्तेमाल किया था, वे सुरक्षित प्रतीत होते हैं, क्योंकि उस अतिरिक्त इनपुट ने फ़र्मवेयर द्वारा हटाई गई अनियमितता को वापस ला दिया था, और सबसे ज़्यादा जोखिम में वे लोग थे जिन्होंने डिवाइस पर उसके सबसे महत्वपूर्ण काम को संभालने के लिए भरोसा किया था।

अगर आपके पास यह है तो क्या करें

अगर आपके पास कोल्डकार्ड है, तो कॉइनकाइट की सलाह सीधी है: अपने सीड को असुरक्षित मानें और अपने फंड ट्रांसफर कर लें। इसका मतलब है कि पैच किए गए फर्मवेयर में अपडेट करें, उस अपडेटेड हार्डवेयर पर एक नया सीड जनरेट करें और फिर सब कुछ नए वॉलेट में ट्रांसफर कर दें, क्योंकि कमजोर सीड पहले से मौजूद होने पर फर्मवेयर अपडेट से कुछ भी ठीक नहीं होता। हैरानी की बात यह है कि कोई सेल्फ-टेस्ट नहीं है जो आपको बताए कि आपका सीड संभावित दायरे में आता है या नहीं, इसलिए एकमात्र सुरक्षित अनुमान यही है कि यह आ सकता है। आप डिवाइस के एडवांस्ड मेनू में अपना फर्मवेयर वर्जन चेक कर सकते हैं, और 2021 से लेकर हालिया फिक्स तक के असुरक्षित बिल्ड्स पर जनरेट किए गए किसी भी सीड को संदिग्ध माना जाना चाहिए। गड़बड़ी की गंभीरता का पता चलने पर बिटकॉइन में लगभग 3% की गिरावट आई, और इस समय ने उन सभी लोगों को एक आसान मुद्दा दे दिया है जो खुद से स्टोरेज करने के बजाय रेगुलेटेड कस्टोडियन और स्पॉट ईटीएफ को बढ़ावा दे रहे हैं।

कड़वा सबक यह है कि "आपके पास चाबियां नहीं, आपके सिक्के नहीं" को हमेशा सुरक्षित रास्ता बताया गया था, और काफी हद तक यह आज भी सच है, लेकिन आपकी चाबियां तभी आपकी रक्षा करती हैं जब वे वास्तव में शुरू से ही रैंडम हों। बिटकॉइन सेल्फ-कस्टडी के सबसे भरोसेमंद नामों में से एक में एक छोटी सी गड़बड़ी आधे दशक तक छिपी रही, और इसे पकड़ने के लिए 70 मिलियन डॉलर की चोरी की जरूरत पड़ी। इसका मतलब यह नहीं है कि हार्डवेयर वॉलेट एक घोटाला हैं या कोल्ड स्टोरेज अचानक खत्म हो गया है। इसका मतलब यह है कि फर्मवेयर अपडेट, अतिरिक्त एंट्रॉपी, पासफ्रेज़ और मल्टीसिग सेटअप जैसी गैर-आकर्षक चीजें ही आपको चुपचाप बचाती हैं, ठीक उस दिन तक जब तक कि यह आपके और एक खाली वॉलेट के बीच एकमात्र बाधा न बन जाए।

---------------

लेखक: सेड्रिक हॉलोवे
न्यूयॉर्क न्यूज़रूम
ब्रेकिंग क्रिप्टो न्यूज

22 जुलाई को लंदन में गैलेक्सी अनपैक्ड इवेंट में, कंपनी ने पुष्टि की कि सैमसंग वॉलेट को नेटिव स्टेबलकॉइन सपोर्ट मिलेगा, जिससे डॉलर से जुड़े टोकन उसी ऐप में उपलब्ध हो जाएंगे जिसका इस्तेमाल लोग चेकआउट के समय अपने फोन को टैप करने के लिए पहले से ही करते हैं। एक ऐसे उद्योग के लिए जो वर्षों से स्टेबलकॉइन को क्रिप्टो के लिए सबसे महत्वपूर्ण ऐप बताता आ रहा है, दुनिया के सबसे बड़े हार्डवेयर निर्माताओं में से एक का खुलकर समर्थन करना एक बड़ी बात है। सैमसंग का कहना है कि इस फीचर से वह अपने उपकरणों पर नेटिव रूप से स्टेबलकॉइन को सपोर्ट करने वाले पहले प्रमुख स्मार्टफोन ब्रांडों में से एक बन जाएगा, और यही इसकी व्यापकता है। यह एक ऐसी कंपनी है जो हर साल करोड़ों फोन बेचती है, इसलिए इसकी संभावित पहुंच किसी भी स्टैंडअलोन क्रिप्टो वॉलेट के लिए कल्पना से परे है।

इसके बावजूद, इतनी बड़ी घोषणा के बाद भी, सैमसंग ने उन महत्वपूर्ण जानकारियों पर चुप्पी साध रखी है। उसने मंच पर सर्कल के USDC का एक मॉकअप दिखाया, लेकिन फिर USDC, टेथर या किसी अन्य जारीकर्ता को अपने पुष्ट भागीदार के रूप में नामित करने से इनकार कर दिया। लॉन्च की कोई तारीख नहीं है, यह नहीं बताया गया है कि किन ब्लॉकचेन को सपोर्ट किया जाएगा, योग्य देशों की कोई सूची नहीं है, और उन सभी लोगों के लिए सबसे महत्वपूर्ण सवाल का कोई जवाब नहीं है जो अपने पैसे की परवाह करते हैं: क्या सैमसंग आपके फंड को संभालेगा, या आप खुद संभालेंगे? कस्टोडियल बनाम नॉन-कस्टोडियल का यह आखिरी बिंदु ही एक असली क्रिप्टो वॉलेट और सिर्फ एक दिखावटी बैलेंस डिस्प्ले के बीच का अंतर है, और सैमसंग ने अभी तक इस बारे में कुछ नहीं कहा है। विश्वास जगाने के उद्देश्य से बनाई गई इस सुविधा के लिए, कई सवालों के जवाब न देना निराशाजनक है।

क्रेडिट कार्ड ही वह हिस्सा है जो वास्तव में शिपिंग का काम करता है।

स्टेबलकॉइन की सुर्खियों के बीच सैमसंग ने उसी दिन एक और चीज़ लॉन्च की: सैमसंग गैलेक्सी कार्ड। यह बार्कलेज द्वारा जारी किया गया क्रेडिट कार्ड है जो वीज़ा नेटवर्क पर चलता है, और यह 22 जुलाई को अमेरिका में लॉन्च हो गया। इसके रिवॉर्ड स्ट्रक्चर का मकसद ग्राहकों को सैमसंग से जोड़े रखना है, जिसमें सैमसंग की खरीदारी पर 5% कैशबैक, सैमसंग वॉलेट से की गई किसी भी चीज़ पर 3% और स्ट्रीमिंग सेवाओं पर 2% कैशबैक मिलता है। वैसे तो यह एक साधारण को-ब्रांडेड कार्ड है, जैसा कि हर बड़ा ब्रांड अपने वफादार ग्राहकों को बनाए रखने के लिए लॉन्च करता है। लेकिन दिलचस्प बात यह है कि सैमसंग वॉलेट को सिर्फ हवाई टिकट रखने की जगह से एक पूर्ण वित्तीय केंद्र में बदलने की कोशिश कर रहा है, और स्टेबलकॉइन को इस पूरे सिस्टम को आधुनिक रूप देने के लिए इस्तेमाल किया जा रहा है।

कार्ड और स्टेबलकॉइन के बारे में दिए गए संकेत, दोनों मिलकर एक ही महत्वाकांक्षा की ओर इशारा करते हैं। सैमसंग चाहता है कि वॉलेट एक ऐसा प्लेटफॉर्म हो जहां आप पैसे रख सकें, खर्च कर सकें और अंततः ट्रांसफर कर सकें, वो भी बिना किसी अलग बैंकिंग या क्रिप्टो ऐप को खोले। कार्ड फिलहाल खर्च करने का काम संभालता है और यह अभी ठीक से काम कर रहा है। स्टेबलकॉइन सपोर्ट, जब भी वास्तव में आएगा, पैसे ट्रांसफर करने का काम संभालेगा, जिससे लोग डिजिटल डॉलर को लगभग उतनी ही आसानी से भेज सकेंगे जितनी आसानी से वे एक फोटो भेजते हैं। कागज पर तो यह एक सुसंगत योजना लगती है, लेकिन कागज पर बनी योजनाएं अक्सर बदल जाती हैं, और सैमसंग ने कोई भी तारीख तय न करके खुद को काफी गुंजाइश दे दी है।

व्यापक निहितार्थ

भले ही आप व्यक्तिगत रूप से अपने फोन में एक भी USDC रखने की योजना न बना रहे हों, लेकिन क्रिप्टो ट्रेडिंग करने वालों के लिए यह अच्छी खबर है। ऐतिहासिक रूप से, खुदरा क्रिप्टो बाजार में पहले स्टेबलकॉइन का चलन रहा है और सट्टेबाजी का। जिस व्यक्ति के पास पहले से ही किसी भरोसेमंद ऐप में स्टेबलकॉइन बैलेंस है, उसके लिए बिटकॉइन या ईथर खरीदना उस व्यक्ति की तुलना में कहीं आसान है जिसके पास कुछ भी नहीं है और जिसे एक्सचेंज पर शुरू से पंजीकरण करना होगा। अगर सैमसंग अपने उपयोगकर्ताओं के एक बड़े हिस्से के लिए एक बुनियादी स्टेबलकॉइन सुविधा भी पेश करता है, तो यह चुपचाप पूरे बाजार के लिए संभावनाओं को बढ़ा देगा। यह एक धीमी गति से होने वाला प्रभाव है, न कि रातोंरात होने वाला, और चाहे कोई कितना भी चाहे, यह अगले सप्ताह कैंडलस्टिक चार्ट पर दिखाई नहीं देगा।

यही कारण है कि आपको इससे कीमतों में तत्काल कोई बदलाव की उम्मीद नहीं करनी चाहिए। क्रिप्टो उद्योग का "प्रमुख साझेदारी" और "मुख्यधारा में अपनाए जाने" जैसी सुर्खियों का एक लंबा और निराशाजनक इतिहास रहा है, जो उस समय तो बहुत बड़ी लगती थीं, लेकिन अगले महीने तक चार्ट पर उनका कोई असर नहीं हुआ। बुनियादी ढांचे से जुड़ी घोषणाएं अक्सर इसी तरह काम करती हैं। उनका असर दिनों में नहीं, बल्कि वर्षों में होता है, और यह घोषणा तो और भी धीमी है क्योंकि इसका अधिकांश हिस्सा अभी भी एक खाका और वादा है, न कि तैयार कोड। इसे उपभोक्ता फिनटेक की दिशा के बारे में एक संकेत के रूप में लें, जो स्पष्ट रूप से आपके मौजूदा ऐप्स में मौजूद डिजिटल डॉलर की ओर बढ़ रहा है, न कि आज ही अपने पोर्टफोलियो को फिर से व्यवस्थित करने के कारण के रूप में।

छोटा प्रिंट

तो अब इन सब बातों का क्या मतलब निकलता है? सैमसंग ने स्टेबलकॉइन को एक विशाल जनसमूह के सामने पेश करने का ज़ोरदार और विश्वसनीय वादा किया है, और यह वादा इसके व्यापक प्रसार के लिए वाकई मायने रखता है। लेकिन बिना किसी साझेदार, तारीख, चेन और कस्टडी मॉडल के किया गया यह वादा सिर्फ़ एक आशय का बयान है, और इस उद्योग में आशय हमेशा से ही सस्ता रहा है। गैलेक्सी कार्ड असली है और अभी उपलब्ध है, जबकि स्टेबलकॉइन वॉलेट सिर्फ़ एक स्लाइड और मॉकअप है, और अगली बार जब कोई आपसे कहे कि क्रिप्टो रातोंरात लोकप्रिय हो गया, तो इन दोनों के बीच के अंतर को याद रखना ज़रूरी है। आने वाले महीनों में इसके बारे में और जानकारी मिलेगी, क्योंकि तभी हमें पता चलेगा कि सैमसंग एक असली क्रिप्टो वॉलेट बना रहा है या सिर्फ़ एक संख्या को देखने के लिए एक आकर्षक जगह।

पैसा वास्तव में क्या खरीदता है

यहां की संरचना को समझना ज़रूरी है, क्योंकि यह वैसी नहीं है जैसी आम तौर पर लोग "कंसोर्टियम" शब्द सुनते ही कल्पना करते हैं। 15 मिलियन डॉलर किसी साझा कोष में जमा नहीं किए गए हैं जिसे कोई समिति बांटती हो। प्रत्येक सदस्य अपने हिस्से का प्रबंधन स्वतंत्र रूप से करता है, और यह चुनता है कि किन डेवलपर्स, शोधकर्ताओं या संगठनों को अपने पैसे से समर्थन देना है। समूह ने कहा है कि वह बिटकॉइन के विकास का निर्देशन नहीं करेगा, प्रस्तावित प्रोटोकॉल परिवर्तनों पर किसी का पक्ष नहीं लेगा, और किसी भी रूप में शासन में हस्तक्षेप नहीं करेगा। सीधे शब्दों में कहें तो, वे केवल पैसे दे रहे हैं और फिर पीछे हट रहे हैं, जो कि एक ऐसे नेटवर्क के लिए, जो इस विचार पर बना है कि कोई भी बड़ा खिलाड़ी इसे नियंत्रित नहीं कर सकता, सार्वजनिक रूप से किया गया एक सार्थक वादा है।

गैलेक्सी ने पहले ही बढ़त बना ली थी, दो दिन पहले ही उसने 5 मिलियन डॉलर का एक अलग क्वांटम रेडीनेस प्रोजेक्ट शुरू किया था, जो क्वांटम-प्रतिरोधी सिग्नेचर, वॉलेट माइग्रेशन टूल्स और सुरक्षा ऑडिट पर केंद्रित था। यह स्पष्ट नहीं किया गया कि यह राशि कुल 15 मिलियन डॉलर में शामिल होगी या उसके साथ ही रहेगी, जो इस बात का संकेत है कि यह पूरा क्षेत्र अभी भी विकास के दौर से गुजर रहा है। महत्वपूर्ण बात यह है कि आगे की दिशा क्या होगी। एक साल पहले क्वांटम का सवाल ज्यादातर अकादमिक शोध पत्रों और क्रिप्टो ट्विटर के कुछ गुप्त कोनों तक ही सीमित था। अब यह दुनिया की कुछ सबसे बड़ी वित्तीय कंपनियों के बजट में एक मद के रूप में शामिल है, और यह बदलाव ही बताता है कि कुछ तो बदला है।

क्वांटम तकनीक सबको रातों की नींद क्यों उड़ा देती है?

बिटकॉइन की सुरक्षा एक ऐसे गणितीय सूत्र पर आधारित है जिसे सामान्य कंप्यूटर उचित समय में क्रैक नहीं कर सकते। शोर एल्गोरिदम नामक तकनीक का उपयोग करने वाला एक शक्तिशाली क्वांटम कंप्यूटर सार्वजनिक कुंजी से पीछे की ओर गणना करके उस निजी कुंजी तक पहुँच सकता है जो बिटकॉइन को नियंत्रित करती है। चिंता की बात यह है कि ब्लॉकचेन पर अपनी सार्वजनिक कुंजी उजागर करने वाला कोई भी पता इस तरह के हमले की चपेट में आ सकता है। शोधकर्ताओं का अनुमान है कि लगभग एक चौथाई बिटकॉइन ऐसे पतों में मौजूद हैं जिनकी सार्वजनिक कुंजी उजागर है, जिसमें सबसे पुराने पते प्रारूप में लगभग 1.9 मिलियन बिटकॉइन और पुन: उपयोग किए गए पतों में कई मिलियन बिटकॉइन शामिल हैं। आज किसी को नहीं लगता कि ऐसी कोई मशीन मौजूद है, और विश्वसनीय अनुमानों के अनुसार इसमें कुछ साल लग सकते हैं।

सबसे खतरनाक बात यह है कि हमलावर को तैयारी शुरू करने के लिए क्वांटम कंप्यूटर के अस्तित्व में आने की आवश्यकता नहीं है। सार्वजनिक ब्लॉकचेन पर मौजूद सार्वजनिक कुंजियों को अभी कॉपी और संग्रहीत किया जा सकता है, और बाद में जब हार्डवेयर पूरी तरह से विकसित हो जाएगा, तब उन्हें क्रैक किया जा सकता है। सुरक्षा शोधकर्ताओं ने इस प्रतीक्षा को "अभी प्राप्त करो, बाद में डिक्रिप्ट करो" नाम दिया है। इसका अर्थ है कि हथियार अभी तक बना नहीं है, फिर भी समय बीत रहा है, और यही कारण है कि जिन कंपनियों के पास बड़ी मात्रा में बिटकॉइन है, वे खतरे के वास्तविक होने के सटीक समय का अनुमान लगाने के बजाय वर्षों पहले ही समाधान के लिए धन जुटाना पसंद करती हैं। क्वांटम हमलावर के बटुए में पहले ही गायब हो चुके सिक्कों को वापस पाने की कोशिश करने की तुलना में रोकथाम कहीं अधिक सस्ती है।

ये सिक्के कोई नहीं बचा सकता

बिटकॉइन का एक ऐसा भंडार है जिसे कंसोर्टियम का पैसा कभी सुरक्षित नहीं रख सकता, चाहे नई क्रिप्टोग्राफी कितनी भी उन्नत क्यों न हो जाए। सतोशी नाकामोतो के अनुमानित लगभग दस लाख बिटकॉइन मूल पे-टू-पब्लिक-की प्रारूप में हैं, जिनकी सार्वजनिक कुंजी सीधे ब्लॉकचेन पर लिखी होती है और जिसे कोई भी देख सकता है। उस बिटकॉइन को किसी सुरक्षित, क्वांटम-प्रतिरोधी पते पर स्थानांतरित करने के लिए सतोशी की निजी कुंजी के साथ लेनदेन पर हस्ताक्षर करने की आवश्यकता होगी, और बिटकॉइन के निर्माता एक दशक से अधिक समय से चुप हैं। इसलिए वे सिक्के वहीं बने रहते हैं, हमेशा दिखाई देते हैं, अनिवार्य रूप से एक विशाल लक्ष्य जो क्वांटम हार्डवेयर के आने पर हमेशा मौजूद रहेगा। यह क्रिप्टो जगत के सबसे विचित्र तनावों में से एक है, जहां संस्थापक की अछूत संपत्ति नेटवर्क की सबसे स्पष्ट कमजोरी बन जाती है।

अच्छी खबर यह है कि इनमें से अधिकांश समस्याओं को ठीक करने के लिए आवश्यक उपकरण पहले से ही मौजूद हैं, क्योंकि मानक निकायों ने कई पोस्ट-क्वांटम सिग्नेचर योजनाओं को मंजूरी दे दी है जिन्हें बिटकॉइन अंततः अपना सकता है। कमी रही है धन, समन्वय और उन हितधारकों की ओर से तत्परता की भावना की, जिन्हें सबसे अधिक नुकसान हो सकता है, और यही वह कमी है जिसे यह संघ पूरा करने का प्रयास कर रहा है। पंद्रह मिलियन डॉलर अकेले बिटकॉइन को क्वांटम-प्रूफ नहीं बना सकते, और प्रोटोकॉल को वास्तव में बदलने का सबसे कठिन तकनीकी और राजनीतिक कार्य अभी बाकी है। लेकिन जब इतनी बड़ी कंपनियां किसी समस्या के आपातकाल में बदलने से वर्षों पहले ही उसका वित्तपोषण शुरू कर देती हैं, तो आमतौर पर यह जानना जरूरी हो जाता है कि उन्हें किस बात की चिंता है।

ऑलब्रिज ने 2023 में यह समझाने में बिताया कि इस तरह का हमला उसके डेटा पूल पर दोबारा कभी काम क्यों नहीं कर सकता।

रविवार रात को एक हमलावर ने ऑलब्रिज कोर के सोलाना लिक्विडिटी पूल से लगभग 1.65 मिलियन डॉलर मूल्य के स्टेबलकॉइन निकाल लिए। यह कोई नया तरीका नहीं था, बल्कि एक तरह का अप्रत्याशित हमला था। यह फ्लैश लोन पूल-रेशियो में हेरफेर था, ठीक उसी तरह का हमला जिसने मई 2023 में ऑलब्रिज के बीएनबी चेन पूल को लगभग 570,000 डॉलर का नुकसान पहुंचाया था। उस समय टीम ने एक विश्लेषण प्रकाशित किया, नुकसान को स्वीकार किया और एक आर्किटेक्चरल बदलाव करने का वादा किया जिससे भविष्य में इस तरह के हमले को पूरी तरह से असंभव बना दिया जा सके। तीन साल बाद, यह वादा एक अलग चेन पर हकीकत से टकराया और हकीकत की जीत हुई। प्रोटोकॉल ने जांच के दौरान कोर को फिलहाल रोक दिया है।

क्रॉस-चेन ब्रिज को लिक्विडिटी प्रदान करने वाले किसी भी व्यक्ति के लिए, इस खबर को सिर्फ शीर्षक में लिखी संख्या से आगे पढ़ना महत्वपूर्ण है। 2026 के मानकों के हिसाब से डॉलर की यह राशि छोटी है, जो ओस्टियम को पांच दिन पहले एक समझौता किए गए ओरेकल कुंजी के कारण हुए नुकसान से काफी कम है, और पिछले चक्र में हुए भारी नुकसान वाले ब्रिज संकटों के आसपास भी नहीं है। लेकिन नुकसान की राशि ही मुख्य बात नहीं है। मुख्य बात यह है कि एक दस्तावेजित खामी, जिसका समाधान भी दस्तावेजित था, तीन साल तक प्रोडक्शन चेन पर मौजूद रही, और किसी ने इसे तब तक नहीं पकड़ा जब तक कि कामिनो खाते वाले किसी व्यक्ति ने इसकी जांच करने का फैसला नहीं किया।

हमलावर ने कथित तौर पर इसे कैसे अंजाम दिया

यह घटनाक्रम कामिनो से लिए गए 1.12 मिलियन डॉलर के फ्लैश लोन से शुरू हुआ, जो एक सोलाना लेंडिंग प्रोटोकॉल है। फ्लैश लोन आपको बिना किसी गिरवी के बड़ी रकम उधार लेने की सुविधा देते हैं, बशर्ते आप उसे उसी लेन-देन में चुका दें। यह उन लोगों के लिए एकदम सही है जो किसी पूल को असंतुलित करने के लिए अस्थायी रूप से बड़ी रकम चाहते हैं। हमलावर ने उस उधार ली गई पूंजी का उपयोग ऑलब्रिज के सोलाना पूलों के भीतर USDC को USDT में तेजी से बदलने के लिए किया, जिससे दोनों संपत्तियों का अनुपात अपने सामान्य स्तर से काफी बिगड़ गया। ऑलब्रिज की मूल्य निर्धारण प्रणाली ने उस बिगड़े हुए अनुपात को वास्तविक मान लिया, जिससे हमलावर ने निवेश की गई राशि से अधिक राशि निकाल ली। इस प्रक्रिया को दोहराएं, लोन चुकाएं, अंतर रखें और लगभग इस पैराग्राफ को पढ़ने में लगने वाले समय में लगभग 1.65 मिलियन डॉलर लेकर चले जाएं।

इनमें से कुछ भी नया नहीं है। फ्लैश लोन पूल में हेरफेर 2020 से ही हर DeFi सुरक्षा सूची में शामिल है, और ऑडिटर इसे नियमित रूप से चिह्नित करते हैं। इसके काम करने का कारण एक विशिष्ट संरचनात्मक स्थिति है: दो या दो से अधिक स्वैप करने योग्य एसेट पूल में मौजूद हों, जिनके साथ एक ही एटॉमिक ट्रांजैक्शन के भीतर इंटरैक्ट किया जा सके। यदि यह स्थिति हटा दी जाए, तो हमले के लिए कोई आधार नहीं बचेगा। BNB चेन घटना के बाद Allbridge ने यही करने की बात कही थी।

2023 का वह समाधान जो सोलाना तक कभी नहीं पहुंचा

मई 2023 के हमले के बाद, ऑलब्रिज ने एक समाधान के तौर पर प्रत्येक ब्लॉकचेन के लिए एक ही लिक्विडिटी पूल बनाने की बात कही। एक पूल का मतलब है कि स्वैप करने के लिए कोई दूसरा पूल नहीं होगा, अनुपात में कोई गड़बड़ी नहीं होगी, और फ्लैश लोन के लिए कोई उपयोगी रास्ता नहीं होगा। कागज़ पर यह एक कारगर समाधान लगता है, और यह जमाकर्ताओं को आश्वस्त करने वाला जवाब है क्योंकि यह सिस्टम के स्वरूप को बदलता है, न कि केवल एक लक्षण को ठीक करता है। टीम ने हमलावर के साथ एक गुप्त समझौते के माध्यम से 2023 के लगभग $465,000 के नुकसान की भरपाई भी की, जो उस समय एक बुरे सप्ताह को संभालने का एक सक्षम तरीका लग रहा था।

हालांकि, सोलाना डिप्लॉयमेंट में अभी भी USDC और USDT पूल साथ-साथ चल रहे थे। यही वह कॉन्फ़िगरेशन था जिसे सिंगल-पूल पॉलिसी को खत्म करने के लिए बनाया गया था। चाहे इसे कभी माइग्रेट नहीं किया गया हो, माइग्रेट किया गया हो और बाद में वापस ले लिया गया हो, या यह पॉलिसी से पहले से मौजूद हो और किसी ने इस पर ध्यान न दिया हो, व्यावहारिक परिणाम एक ही है। एक ब्लॉग पोस्ट में मौजूद सुरक्षा प्रतिबद्धता कम से कम एक चेन के कोड में मौजूद नहीं थी, और जाहिर तौर पर इस कमी को पकड़ने के लिए कोई प्रक्रिया नहीं थी। घटना पर नज़र रखने वाले शोधकर्ताओं सहित ऑन-चेन विश्लेषकों ने कुछ ही घंटों के भीतर इस रुकावट और फंड के लेन-देन को चिह्नित कर लिया।

पैसा कहाँ गया, और ऑलब्रिज क्या मांग रहा है?

चोरी किए गए स्टेबलकॉइन्स को सोलाना से एथेरियम में ब्रिज किया गया और फिर कई पतों पर बाँट दिया गया, जिनमें से कुछ हिस्सों को कथित तौर पर गोपनीयता पूल में भेजा गया ताकि उनका पता लगाना मुश्किल हो जाए। यह अब एक आम पैटर्न बन गया है और इसका आमतौर पर मतलब होता है कि फंड प्राप्त होने के बाद रिकवरी की संभावना तेज़ी से कम हो जाती है। ऑलब्रिज ने कोर ऑपरेशंस रोक दिए हैं, लिक्विडिटी प्रोवाइडर्स को निकासी की सलाह दी है, और एक अतिरिक्त अनुरोध किया है जो इन घटनाओं के वास्तविक स्वरूप को स्पष्ट करता है: इसने उन ट्रेडर्स से पैसे वापस भेजने को कहा है जिन्होंने अस्थायी पूल असंतुलन से लाभ कमाया था। पूल में असंतुलन के दौरान सामान्य आर्बिट्रेज बॉट्स ने लगभग निश्चित रूप से मुफ्त मूल्य प्राप्त किया होगा, और उन ऑपरेटर्स ने बाजार द्वारा दिए गए ट्रेड को लेने के अलावा कुछ भी गलत नहीं किया। उस पैसे को वापस पाना सद्भावना का मामला है, न कि कानूनी कार्रवाई का, इसलिए किसी को भी इस पर भरोसा नहीं करना चाहिए।

अभी तक किसी मुआवजे की योजना की घोषणा नहीं की गई है और न ही कोर के दोबारा ऑनलाइन आने की कोई समयसीमा बताई गई है। जिन लोगों का पैसा अभी भी किसी भी चेन के ऑलब्रिज पूल में लगा हुआ है, उन्हें निकासी संबंधी सलाह को ही अंतिम निर्देश मानना ​​चाहिए, न कि जांच के नतीजों का इंतजार करना चाहिए।

सीख सीखी?

क्रिप्टो में ब्रिज सबसे अधिक हमले झेलने वाले क्षेत्रों में से एक हैं, और इसका स्पष्ट कारण यह है कि इनमें बड़ी मात्रा में निष्क्रिय पूंजी उन अनुबंधों में केंद्रित होती है जिन्हें एक ही समय में दो अलग-अलग चेन पर शर्तों पर भरोसा करना पड़ता है। यहाँ जो हुआ वह किसी चालाकी भरी खामी से भी बदतर है, क्योंकि चालाकी भरी खामी में कम से कम यह तो निहित होता है कि बचाव करने वालों को किसी नई चीज से मात दी गई थी। यह एक ज्ञात हमले के विरुद्ध एक ज्ञात कॉन्फ़िगरेशन पर किया गया हमला था, जो एक ऐसे प्रोटोकॉल पर किया गया था जिसे पहले भी इस तरह से नुकसान पहुँचाया जा चुका था और जिसका समाधान सार्वजनिक रूप से बताया जा चुका था।

अगर आप कहीं भी लिक्विडिटी मुहैया कराते हैं, तो सबसे महत्वपूर्ण बात यह है कि पोस्टमॉर्टम एक इरादे का बयान होता है, न कि पूरे किए गए काम का सबूत। यह पूछें कि फिक्स वास्तव में किन चेन्स पर भेजा गया था। मल्टी-चेन डिप्लॉयमेंट में बदलाव आते रहते हैं, और जिस चेन पर सबने नज़र रखना बंद कर दिया होता है, वही प्रभावित होती है। नुकसान के मामूली आकार को देखते हुए ऑलब्रिज शायद इससे उबर जाएगा, लेकिन अपनी ही 2023 की तैयारी में हुई गलतियों के कारण प्रतिष्ठा को हुआ नुकसान 1.65 मिलियन डॉलर से कहीं अधिक समय तक बना रहेगा।

उन्हें वास्तव में क्या मिला

हेक्सेंस ने इस समस्या को "स्टेल-कैश बग" बताया, जिसके कारण टाइप-कन्फ्यूजन वल्नरेबिलिटी उत्पन्न हुई। सरल शब्दों में कहें तो, इसका मतलब है कि सॉफ्टवेयर को इस तरह से धोखा दिया जा सकता है कि वह ऑन-चेन रिसोर्स के एक प्रकार को पूरी तरह से अलग रिसोर्स समझ ले। अगर आपने कभी किसी को गलत चाबी दे दी हो और उसे ऐसा दरवाजा खोलते देखा हो जिसे उसे छूना ही नहीं चाहिए था, तो आपको इसका अंदाजा हो जाएगा। कंपनी के अनुसार, इस खामी के कारण हमलावर ऑन-चेन स्ट्रक्चर और अथॉरिटी रिसोर्स को हाईजैक कर सकता है, जो कि वे मुख्य डेटा स्ट्रक्चर हैं जो यह तय करते हैं कि किसका क्या स्वामित्व है और किसे क्या करने की अनुमति है। अगर इनमें छेड़छाड़ की जाए, तो स्वामित्व के सामान्य नियम बेमानी हो जाते हैं।

टाइप कन्फ्यूजन उन बग श्रेणियों में से एक है जो असल वित्तीय संकट से निपटने में समय बर्बाद नहीं करती, बल्कि सैद्धांतिक लगती है। यह दशकों से पारंपरिक सॉफ्टवेयर को परेशान करती रही है, और Move भाषा को विशेष रूप से इस तरह की गड़बड़ी को रोकने के लिए डिज़ाइन किया गया था। यही कारण है कि इस खुलासे से थोड़ी निराशा हुई है। Move की मुख्य विशेषता यह है कि यह डिजिटल संपत्तियों को एक विशेष संसाधन के रूप में देखती है जिसकी कंपाइलर कड़ी सुरक्षा करता है, इसलिए Aptos में टाइप कन्फ्यूजन की खामी का सामने आना कुछ ऐसा है जैसे उस नाव में रिसाव मिलना जिसे हर कोई अटूट मानता था।

सबसे डरावनी बात: इसे करने में 3,000 डॉलर लग गए।

कई ब्लॉकचेन हमलों के लिए भारी निवेश, अंदरूनी पहुंच या नेटवर्क के एक बड़े हिस्से पर नियंत्रण की आवश्यकता होती है। लेकिन कथित तौर पर, इस हमले में ऐसा कुछ नहीं था। हेक्सेन्स का कहना है कि उसने वास्तविक नेटवर्क स्थितियों में इस हमले का अनुकरण किया और 90 प्रतिशत से अधिक सफलता दर हासिल की। ​​इसके लिए उसने लगभग 3,000 डॉलर की लागत वाले सर्वर सेटअप का उपयोग किया, जो लगभग एक तिहाई वैलिडेटर सेट का प्रतिनिधित्व करता था। किसी विशेष अनुमति की आवश्यकता नहीं थी, किसी अंदरूनी व्यक्ति की मदद की ज़रूरत नहीं थी, और सिस्टम में पहले से मौजूद किसी भी व्यक्ति का सहयोग नहीं था। यही संयोजन एक तकनीकी जिज्ञासा को एक वास्तविक आपातकाल में बदल देता है, क्योंकि इसका मतलब है कि इसमें प्रवेश करना लगभग असंभव था। जब किसी चीज़ को तोड़ने की लागत सैकड़ों या कुछ हज़ार डॉलर में होती है और इनाम अरबों में होता है, तो आप पूरी तरह से इस बात पर निर्भर होते हैं कि कोई और इसे पहले नोटिस न करे।

यह 70 अरब डॉलर का आंकड़ा कहां से आया?

70 अरब डॉलर का आंकड़ा किसी ऐसी क्रिप्टोकरेंसी श्रृंखला के लिए हास्यास्पद लगता है जिसका खुद का टोकन मार्केट कैप इससे भी कम है, इसलिए इसे समझाना जरूरी है। हेक्सेन्स यह दावा नहीं कर रहा था कि 70 अरब डॉलर सीधे एप्टोस पर केंद्रित हैं। यह अनुमान उन सभी चीजों को शामिल करता है जिन तक यह खामी क्रिप्टो द्वारा पिछले कुछ वर्षों में चुपचाप बनाए गए संबंधों के माध्यम से पहुंच सकती थी। इसमें ब्रिज के माध्यम से मूल्य का स्थानांतरण, क्रॉस-चेन मैसेजिंग सिस्टम, स्टेबलकॉइन एडमिनिस्ट्रेशन फ्लो और नेटवर्क से जुड़े केंद्रीकृत एक्सचेंजों द्वारा संरक्षित संपत्तियां शामिल हैं। आधुनिक क्रिप्टो एक दूसरे से जुड़ा हुआ है, और किसी एक महत्वपूर्ण श्रृंखला में खामी उसी श्रृंखला तक सीमित नहीं रहती। यही असली चेतावनी है, और यह सिर्फ एप्टोस से कहीं अधिक पर लागू होती है।

वह गुप्त समाधान जिसके बारे में अब तक किसी को पता नहीं था

यही वो बात है जो इसे एक डरावनी कहानी बनने से रोकती है। हेक्सेन्स ने 25 फरवरी को एप्टोस लैब्स के बग बाउंटी प्रोग्राम के माध्यम से इस खामी की सूचना दी, और टीम का कहना है कि खामी का समाधान विकसित किया गया, उसका परीक्षण किया गया और खोज के कुछ ही घंटों के भीतर उसे मेननेट पर जारी कर दिया गया। एप्टोस के एक प्रवक्ता ने कॉइनडेस्क को बताया कि किसी भी उपयोगकर्ता या फंड पर किसी भी समय कोई प्रभाव नहीं पड़ा, और विवरण महीनों बाद ही सार्वजनिक किए गए, जो कि जिम्मेदार प्रकटीकरण का सही तरीका है। शोधकर्ताओं को भुगतान मिल गया, किसी भी गलत इरादे वाले व्यक्ति द्वारा इसका पता चलने से पहले ही खामी को ठीक कर दिया गया, और जब इसके बारे में बात करना सुरक्षित हो गया, तब जाकर दुनिया को इसके बारे में पता चला।

फिर भी, जो लगभग होने वाला था, उस पर गौर करना ज़रूरी है। एक ऐसी खामी, जिसका असर 70 अरब डॉलर के जुड़े हुए मूल्य पर पड़ सकता था, उसे बग बाउंटी और त्वरित इंजीनियरिंग प्रतिक्रिया से ठीक किया गया, न कि हमले के समय संयोग से। अगर व्हाइट-हैट शोधकर्ता पहले वहाँ नहीं पहुँचे होते, तो स्थिति बिल्कुल अलग होती। क्रिप्टो रखने वाले किसी भी व्यक्ति के लिए सबक यह है कि Aptos को लेकर विशेष रूप से घबराएँ नहीं, जिसे अब ठीक कर दिया गया है, बल्कि यह ध्यान दें कि इस उद्योग की सुरक्षा अभी भी नैतिक हैकर्स के एक छोटे समूह पर कितनी निर्भर करती है जो वॉलेट खाली करने के बजाय ईमेल भेजना चुनते हैं। यह एक नाजुक स्थिति है, और अगली बार जब कोई चेन आपको बताए कि वह अटूट है, तो इसे याद रखना चाहिए।

एक नई जांच ने उस बात का आंकड़ा सामने रखा है जिसके बारे में हर क्रिप्टो उपयोगकर्ता को चिंतित होना चाहिए।

थ्रेट इंटेलिजेंस फर्म इंफोब्लॉक्स ने 236,493 अलग-अलग सेकेंड-लेवल डोमेन की पहचान की है, जो सभी एक ही चीनी ओपन-सोर्स ऐप फ्रेमवर्क, डीक्लाउड यूनि-ऐप पर बने हैं। इनमें से अधिकांश का एक ही उद्देश्य है - क्रिप्टो वॉलेट खाली करना और फर्जी एक्सचेंज चलाना। यह फ्रेमवर्क पूरी तरह से वैध है और दुनिया भर के असली डेवलपर्स द्वारा एक ही कोडबेस से iOS, Android और वेब के लिए ऐप्स बनाने में इस्तेमाल किया जाता है। यही सुविधा इसे धोखाधड़ी करने वाले गिरोहों के लिए इतना आकर्षक बनाती है। उन्हें कुछ ही दिनों में एक सुव्यवस्थित, मोबाइल-फ्रेंडली फर्जी एक्सचेंज या फर्जी निवेश डैशबोर्ड मिल जाता है, जबकि पहले इसमें कई महीने लगते थे। इसका अंतर्निहित कोड हजारों असली स्टार्टअप्स से बिल्कुल अलग नहीं दिखता।

यह सामान्य धोखाधड़ी वाली साइटों के फैलाव से भी बदतर क्यों है?

आंकड़े खुद ही बयां करते हैं कि यह मामला कितनी तेजी से बेकाबू हो गया। अक्टूबर 2024 से पहले, इन्फोब्लॉक्स को हर महीने कुछ हज़ार नई डीक्लाउड फिंगरप्रिंट वाली धोखाधड़ी वाली साइटें दिखाई दे रही थीं, जो अपने आप में काफी बड़ी संख्या थी। उसी साल शरद ऋतु में रेनबोएक्स घोटाले के अंतरराष्ट्रीय सुर्खियों में आने के बाद, यह दर बढ़कर चरम पर लगभग 15,000 नई साइटें प्रति माह हो गई। ऐसा लगता है कि धोखेबाजों ने मीडिया कवरेज को देखा और तय किया कि इस रणनीति को बड़े पैमाने पर अपनाना फायदेमंद होगा, न कि इसे छोड़ना। ये साइटें कम से कम आठ भाषाओं के बोलने वालों को निशाना बनाती हैं और हर महाद्वीप में फैली हुई हैं, जो प्रमुख स्टॉक एक्सचेंजों से लेकर रिटेल दिग्गजों और मैसेजिंग प्लेटफॉर्म तक, हर रूप में खुद को पेश करती हैं। इनमें से अधिकांश क्लाउडफ्लेयर, एडब्ल्यूएस, अलीबाबा क्लाउड और टेनसेंट क्लाउड पर होस्ट की जाती हैं, जिससे वे असली व्यवसायों के साथ घुलमिल जाती हैं और साधारण आईपी ब्लॉकलिस्ट लगभग बेकार हो जाती हैं।

कुछ रेनबोएक्स और अर्जेंटीना का वह शहर जो पूरी तरह से नष्ट हो गया

पीड़ितों के वास्तविक अनुभवों को समझने के लिए, रेनबोएक्स मामला एक सटीक उदाहरण है। 2024 में, अर्जेंटीना के सैन पेड्रो शहर के निवासियों ने एक आकर्षक दिखने वाले क्रिप्टोकरेंसी एक्सचेंज में पैसा लगाया। डैशबोर्ड पर लाइव ट्रेड दिखाए जा रहे थे, बैलेंस लगातार बढ़ रहा था और स्टेबलकॉइन डिपॉजिट बिना किसी समस्या के हो रहे थे। फिर निकासी बंद हो गई। एक छोटे से शहर के हजारों लोगों को पता चला कि ट्रेड फर्जी थे, बैलेंस नकली थे और ऑपरेटर गायब हो चुके थे। अर्जेंटीना के अधिकारियों ने बाद में इस ऑपरेशन से जुड़े सात लोगों को गिरफ्तार किया, लेकिन अधिकांश पैसा गायब हो चुका है, और उसी तरह का प्लेटफॉर्म, सिर्फ ब्रांडिंग में मामूली बदलाव के साथ, अब उन 236,000 डोमेन में से एक बड़े हिस्से पर चल रहा है।

एक औसत ट्रेडर को वास्तव में इसके बारे में क्या करना चाहिए

यहां कोई सीधा समाधान नहीं है, क्योंकि मूल ढांचा वैध सॉफ्टवेयर है और होस्ट मुख्यधारा के क्लाउड प्रदाता हैं जो अपने पूरे ग्राहक आधार को प्लेटफॉर्म से हटा नहीं सकते। पुष्टि किए गए स्कैम डोमेन में से लगभग 6% सीटीजी सर्वर लिमिटेड जैसे सुरक्षित होस्ट पर चल रहे थे, जिसे पहले भी दुर्भावनापूर्ण गतिविधि के लिए चिह्नित किया गया है, इसलिए कम से कम उनमें एक स्पष्ट अपराधी है। बाकी सामान्य ट्रैफिक में छिपे रहते हैं। टेलीग्राम ग्रुप, व्हाट्सएप चैट या ट्विटर डीएम के माध्यम से मिली किसी भी नई एक्सचेंज, एयरड्रॉप साइट या निवेश अवसर का मूल्यांकन करने वाले किसी भी व्यक्ति को वेबसाइट की दिखावट को पूरी तरह से अनदेखा कर देना चाहिए। जांचें कि क्या कंपनी कहीं पंजीकृत है, क्या बड़ी रकम भेजने से पहले छोटी रकम की निकासी वास्तव में काम करती है, और क्या डोमेन पिछले कुछ महीनों में पंजीकृत किया गया था। यदि इनमें से किसी भी प्रश्न का उत्तर संदिग्ध लगता है, तो उससे दूर रहें। जो लोग गहराई से जांच करना चाहते हैं, उनके लिए हैकर न्यूज में अतिरिक्त तकनीकी जानकारी उपलब्ध है।

इस गिनती से जो निष्कर्ष निकलता है, वह भले ही असहज हो, लेकिन उपयोगी है। क्रिप्टो धोखाधड़ी की अर्थव्यवस्था अब छिटपुट रूप से बिखरी हुई, अलग-अलग जगहों पर काम करने वाले धोखेबाजों द्वारा बनाई गई साइटों का समूह नहीं रह गई है। यह एक औद्योगिक उत्पादन लाइन बन गई है जो साझा उपकरणों, मुख्यधारा की होस्टिंग और आजमाए हुए तरीकों पर चल रही है, और 236,000 स्टोरफ्रंट्स तो बस वे हैं जो गिनती के लिए पर्याप्त रूप से दिखाई दिए। हर अपरिचित एक्सचेंज लिंक को उसी तरह समझें जैसे आप अपने पासवर्ड मांगने वाले किसी अनचाहे ईमेल को समझते हैं, क्योंकि इतने बड़े पैमाने पर, आपके सफल होने की संभावना बहुत कम है।