Ledger में जासूस चिप: स्क्रीन से चुराए 9.3 करोड़ डॉलर

शुक्रवार, 9 अक्टूबर को Ledger ने CryptoBilis नाम के एक रीसेलर से कहा कि वह उसके डिवाइस भेजना बंद कर दे। तब तक पैसा जा चुका था। ऑन-चेन रिसर्चर 7.2 करोड़ डॉलर से ज़्यादा की रकम को संदिग्ध चोरी वाले एड्रेस के एक क्लस्टर तक ट्रेस कर चुके थे। यह सारा पैसा उन लोगों के वॉलेट से खींचा गया था जिन्होंने हाल ही में मलेशिया, इंडोनेशिया या फ़िलीपींस में खरीदा गया बिल्कुल नया हार्डवेयर वॉलेट सेट अप किया था।

चार दिन बाद Ledger ने बताया कि यह हुआ कैसे। किसी ने बिकने से पहले डिवाइस खोले, स्क्रीन के पीछे एक छोटा सर्किट बोर्ड फिट किया और उन्हें फिर से बंद कर दिया। जब मालिक ने पहली बार डिवाइस ऑन किया और डिस्प्ले पर 24 शब्दों का रिकवरी फ़्रेज़ आया, तो इम्प्लांट ने स्क्रीन से वे शब्द पढ़े, उन्हें डिकोड किया और अंदर लगे eSIM के ज़रिए मोबाइल नेटवर्क पर भेज दिया। मालिक अभी शब्द लिखकर पूरे भी नहीं कर पाया था कि चाबियाँ चोर के पास पहुँच चुकी थीं।

चिप ने क्या किया, और क्या नहीं

13 अक्टूबर के अपडेट में Ledger ने हमले का दायरा साफ़-साफ़ बताया। इम्प्लांट ने Secure Element को छुआ भी नहीं, यानी उस चिप को जिसमें असल में प्राइवेट कीज़ रखी जाती हैं। उसने ऑपरेटिंग सिस्टम में कोई बदलाव नहीं किया। एक भी ट्रांज़ैक्शन या सिग्नेचर नहीं बदला। हर सुरक्षा फ़ीचर ठीक वैसे ही काम करता रहा जैसे डिज़ाइन किया गया था। हमला बस उस एक पल का इंतज़ार करता था जब सीक्रेट खुली स्क्रीन पर दिखता है, और फिर उसकी कॉपी बना लेता था।

इसीलिए Ledger का Genuine Check इसे पकड़ भी नहीं सकता। यह जाँच Secure Element को वेरिफ़ाई करती है, और Secure Element असली था।

Tibane Labs के रिसर्चरों ने 10 और 11 अक्टूबर के वीकेंड पर दो बोर्ड खोलकर देखे और दो वर्ज़न पाए। एक में जगह बनाने के लिए असली बैटरी की जगह छोटी बैटरी लगाई गई थी। दूसरा OLED डिस्प्ले के नीचे फ़ोम पैडिंग में घुसा दिया गया था। दोनों में एक आम STMicroelectronics माइक्रोकंट्रोलर, 2 मिमी का eSIM और शील्ड वाला LTE मॉड्यूल था, और पार्ट्स की मार्किंग खुरचकर मिटा दी गई थी। बोर्ड पैनलाइज़्ड फ़्लेक्स PCB थे, उस तरह के जो फ़ैक्ट्री में पूरी शीट के हिसाब से बनते हैं। यह सोल्डरिंग आयरन लिए किसी एक आदमी का काम नहीं था।

Mt. Gox के पूर्व चीफ़ एग्ज़ीक्यूटिव Mark Karpelès इससे पहले के, हाथ से सोल्डर किए तारों वाले भद्दे इम्प्लांट्स का पीछा कर रहे थे। नए डिज़ाइन को उन्होंने "अच्छी-ख़ासी तरक्की" कहा।

कितना चुराया गया

Ledger ने कोई आँकड़ा कन्फ़र्म नहीं किया है। एनालिटिक्स फ़र्मों ने किया है। Bitquery ने छह ब्लॉकचेन पर 315 वॉलेट से निकलते 9.32 करोड़ डॉलर ट्रेस किए: Tron पर USDT और दूसरे एसेट में करीब 7.05 करोड़ डॉलर, बिटकॉइन में 1.68 करोड़ डॉलर, ईथर में 37 लाख डॉलर, और BNB Chain, Polygon और Solana पर छोटी रकमें। YFarmX ने सात चेन पर 521 एड्रेस से 9.45 करोड़ डॉलर गिने।

पूरा सिलसिला पहले से तय था। चोर के एड्रेस 25 सितंबर को बनाए गए थे, और अक्टूबर की शुरुआत में असली हाथ साफ़ करने से पहले टेस्ट ट्रांज़ैक्शन हो चुके थे। 9 अक्टूबर को हमलावरों ने कथित तौर पर 30 Tron वॉलेट की परमिशन बदलीं और फिर 111 बिटकॉइन वॉलेट से 203.8 BTC एक ही ब्लॉक में बाहर निकाल लिए। इन दोनों में से कोई भी काम प्राइवेट कीज़ के बिना नहीं हो सकता।

यह सितंबर के Bitget हैक से छोटा है, लेकिन उसमें निशाना एक्सचेंज के अपने वॉलेट थे। इसमें लोगों के निजी हार्डवेयर वॉलेट खाली हुए, वही चीज़ जो लोग इसीलिए खरीदते हैं कि एक्सचेंज के डूबने का असर उन तक न पहुँचे।

Tether ने USDT में से करीब 1 करोड़ डॉलर फ़्रीज़ किए। Tron पर पड़े 7 करोड़ डॉलर के सामने यह ऊँट के मुँह में जीरा है। बाकी रकम तेज़ी से आगे बढ़ गई। 11 अक्टूबर तक Bitquery ऑन-चेन करीब 8.1 करोड़ डॉलर पर अभी भी नज़र रख पा रही थी, जिसका एक हिस्सा Tornado Cash और Zcash से होकर गुज़र चुका था। बिटकॉइन और ईथर को तो कोई फ़्रीज़ कर ही नहीं सकता।

अब तक के हर कन्फ़र्म मामले में डिवाइस CryptoBilis से बिका था, जो Ledger की अपनी वेबसाइट पर ऑथराइज़्ड रीसेलर के तौर पर लिस्टेड था। Ledger का कहना है कि प्रभावित डिवाइस की संख्या "सीमित" है और उसके अपने सिस्टम और डायरेक्ट सेल्स चैनलों में सेंध का कोई निशान नहीं है। X पर बहुत से लोगों ने मामले की यह तस्वीर नहीं मानी। एक ने इसे यूँ समेटा: "यह CryptoBilis का मामला नहीं, Ledger का मामला है।" CryptoBilis के सह-संस्थापक Arravind Prabu ने कहा है कि कंपनी मार्च 2026 में खरीदी गई थी और तभी एक्सेस क्रेडेंशियल दूसरे हाथों में गए। उसके बाद से कंपनी ने तीनों देशों में अपनी दुकानें बंद कर दी हैं।

दो और रिपोर्टें अभी खुली हैं। Ledger के मुताबिक जर्मन इलेक्ट्रॉनिक्स चेन MediaMarkt Saturn ने वहाँ एक ग्राहक के इम्प्लांट की शिकायत करने के बाद बिक्री रोक दी। Karpelès कहते हैं कि उन्हें सिंगापुर एयरपोर्ट से खरीदे गए एक Ledger Flex में भी ऐसा ही इम्प्लांट मिला। CryptoBilis के अलावा किसी और विक्रेता से छेड़छाड़ किए गए डिवाइस की पुष्टि Ledger ने नहीं की है।

अगर आपने हाल में Ledger खरीदा है

Ledger की सलाह दो-टूक है। अगर डिवाइस पिछले 90 दिनों में CryptoBilis से आया है और आपने उसे अभी सेट अप नहीं किया है, तो मत करिए। अगर कर चुके हैं, तो सब कुछ एक नए डिवाइस पर ले जाइए, नए बनाए गए रिकवरी फ़्रेज़ के साथ, और वह फ़्रेज़ नए डिवाइस पर बनाइए, पुराने पर नहीं।

दो बातें और जोड़ने लायक हैं। इन मामलों में ख़तरे की घंटी कीमत थी। छेड़छाड़ वाले यूनिट कथित तौर पर असली की करीब आधी कीमत पर बिके, और सील बंद डिब्बे के साथ पास हुआ Genuine Check भी इस बात का सबूत नहीं है कि हार्डवेयर से छेड़छाड़ नहीं हुई। और खरीदें तो सीधे निर्माता से, या ऐसे रीसेलर से जिसे आप जवाबदेह ठहरा सकें, किसी मार्केटप्लेस लिस्टिंग से कभी नहीं। Tibane के सैंपल Amazon Japan और Yahoo! Auctions Japan से आए थे, उनमें से एक मलेशिया से शिप हुआ था।

वह हिस्सा जो बाकी सब तक पहुँचता है

हो सकता है आपके पास कभी Ledger न रहा हो, और फिर भी यह पैसा आपके हाथ में आ जाए।

9 करोड़ डॉलर एक जगह पड़े नहीं रहते। उन्हें टुकड़ों में बाँटा, ब्रिज किया, स्वैप किया और बेचा जाता है। ईथर को डीसेंट्रलाइज़्ड एक्सचेंजों पर और OTC डेस्कों के ज़रिए स्टेबलकॉइन में बदला जाता है। फ़्रीज़ से बच निकला USDT P2P ट्रेड में निकाला जाता है, अक्सर ऐसे लोगों को जो बैंक ट्रांसफ़र से कुछ हज़ार डॉलर की खरीद कर रहे होते हैं। बिटकॉइन मिक्सर से गुज़रता है और दूसरी तरफ़ ऐसे नए एड्रेस में निकलता है जो देखने में बिल्कुल साधारण लगते हैं।

कुछ ही हफ़्तों में इनमें से कुछ कॉइन फ़्रीलांसरों, छोटी दुकानों और ट्रेडरों के वॉलेट में पहुँच जाते हैं, जिनकी गलती बस इतनी थी कि उन्होंने यह देखे बिना पेमेंट ले लिया कि पैसा आया कहाँ से। एनालिटिक्स फ़र्में चोरी वाले क्लस्टर को पहले ही टैग कर चुकी हैं, और एक्सचेंज हर डिपॉज़िट को इन टैग से मिलाकर देखते हैं। अगर आपके पास आया पैसा किसी फ़्लैग किए गए एड्रेस से दो हॉप की दूरी पर है, तो डिपॉज़िट रोक लिया जाता है और आपको सोर्स-ऑफ़-फ़ंड्स वाला ईमेल मिलता है।

यही वह असहज विषमता है। Ledger के पीड़ितों का पैसा सेटअप के वक़्त गया। अगली लहर में लोग अपने पैसे तक पहुँच तब खोते हैं जब कोई कंप्लायंस डेस्क देख लेता है कि वह पैसा कहाँ-कहाँ से गुज़रा है। इसका इलाज सेकंडों का काम है: किसी अनजान से ट्रांसफ़र लेने से पहले भेजने वाले एड्रेस की जाँच करिए कि उस पर सैंक्शन हिट, मिक्सर एक्सपोज़र या जानी-पहचानी चोरी के क्लस्टर से कोई लिंक तो नहीं। साफ़ है, तो पेमेंट ले लीजिए। साफ़ नहीं है, तो समझिए आपने बैंक के साथ एक बहुत लंबी बातचीत से खुद को बचा लिया।

हार्डवेयर वॉलेट अब भी एक्सचेंज पर कॉइन छोड़ने से बेहतर हैं। लेकिन डिवाइस उतना ही भरोसेमंद है जितने वे हाथ जिनसे वह आपके पास पहुँचने से पहले गुज़रा, और जो कॉइन आपको मिलते हैं वे उतने ही साफ़ हैं जितना वह वॉलेट जिसने उन्हें भेजा। दोनों की जाँच करिए।