Electrum ने BTC चोरी की एक गंभीर खामी को ठीक करने के लिए वर्जन 4.8.3 जारी किया

बिटकॉइन इलेक्ट्रम (Electrum) वॉलेट, जो दुनिया के सबसे अधिक उपयोग किए जाने वाले लाइट क्लाइंट्स में से एक है, ने 24 अक्टूबर 2026 को बिटकॉइन चोरी करने की अनुमति देने वाली एक सुरक्षा खामी को ठीक करने के लिए एक महत्वपूर्ण अपडेट (वर्जन 4.8.3) जारी किया। विशेषज्ञों द्वारा "उच्च" श्रेणी में वर्गीकृत यह भेद्यता संभावित रूप से दस लाख से अधिक उपयोगकर्ताओं के फंड को जोखिम में डालती है, जो एक ऐसे इकोसिस्टम में नॉन-कस्टोडियल सॉफ्टवेयर समाधानों के अंतर्निहित जोखिमों की याद दिलाता है जहाँ सुरक्षा एक प्रमुख मुद्दा बनी हुई है। संदर्भ इलेक्ट्रम, जिसे 2011 से स्विट्जरलैंड स्थित एक टीम द्वारा विकसित किया गया है, एक लाइट वॉलेट (SPV) है जो उपयोगकर्ताओं को पूरे ब्लॉकचेन को डाउनलोड किए बिना अपने बिटकॉइन प्रबंधित करने की अनुमति देता है। बिटकॉइन कोर (Bitcoin Core) जैसे फुल वॉलेट्स के विपरीत, इलेक्ट्रम लेनदेन को मान्य करने के लिए थर्ड-पार्टी सर्वरों पर निर्भर करता है, एक ऐसा दृष्टिकोण जो तकनीकी आवश्यकताओं को कम करता है लेकिन बाहरी निर्भरताएँ पैदा करता है। 25 अक्टूबर 2026 तक CryptoScore Pro के आंकड़ों के अनुसार, इस सॉफ्टवेयर के लगभग 1.2 मिलियन मासिक सक्रिय उपयोगकर्ता हैं, जो सक्रिय बिटकॉइन एड्रेस का लगभग 0.03% है। ठीक की गई यह खामी लाइट वॉलेट्स के आसपास बढ़ी हुई सतर्कता के संदर्भ में आती है, जिनकी कमजोरियों का अतीत में पहले भी फायदा उठाया जा चुका है। 2023 में, एक समान हमले ने मोबाइल वॉलेट उपयोगकर्ताओं को निशाना बनाया था, जिससे लाखों डॉलर का अनुमानित नुकसान हुआ था। इसके अलावा, बिटकॉइन बाजार, हालांकि 2024 की तुलना में कम अस्थिर है, फिर भी सुरक्षा घोषणाओं के प्रति संवेदनशील रहता है: CryptoScore Pro के आंकड़ों के अनुसार, अपडेट जारी होने के दिन BTC की कीमत में 0.4% की गिरावट आई। तथ्य इस भेद्यता को "मैन-इन-द-मिडल" (man-in-the-middle) प्रकार के बग के रूप में पहचाना गया, जो एक दुर्भावनापूर्ण सर्वर को उपयोगकर्ताओं के अनुरोधों को इंटरसेप्ट करने और लेनदेन के गंतव्य पते को हमलावर द्वारा नियंत्रित पते से बदलने की अनुमति देता था। इलेक्ट्रम के आधिकारिक सुरक्षा नोटिस के अनुसार, यह खामी 4.8.3 से पहले के सभी संस्करणों को प्रभावित करती थी, जिसमें 4.8.2 भी शामिल था, जो फ्रांसीसी भाषी समुदाय में व्यापक रूप से तैनात था। महत्वपूर्ण तिथियां और आंकड़े : 24 अक्टूबर 2026: Windows, macOS और Linux के लिए संस्करण 4.8.3 का प्रकाशन, जो electrum.org पर उपलब्ध है। 11 और 18 अक्टूबर 2026: इस खामी का फायदा उठाने वाले हमलों की दो रिपोर्टें, जिनमें से एक के कारण एक उपयोगकर्ता के फंड का नुकसान हुआ। 7.0 से अधिक CVSS स्कोर, जो इस भेद्यता (vulnerability) को "उच्च" गंभीरता के रूप में वर्गीकृत करता है। 1.2 मिलियन मासिक सक्रिय उपयोगकर्ता (स्रोत: CryptoScore Pro, 25 अक्टूबर 2026 तक का डेटा)। हमले की कार्यप्रणाली : एक समझौता किए गए (compromised) सर्वर ने एक वैध ट्रांजेक्शन को रोक लिया और उसे एक धोखाधड़ी वाले ट्रांजेक्शन से बदल दिया, जो वॉलेट हिस्ट्री में प्रदर्शित हुआ। धोखाधड़ी वाले पते उपयोगकर्ता को भ्रमित करने के लिए वैध प्राप्तकर्ता पते के अंतिम चार अक्षरों की नकल करते थे। Replace-by-Fee (RBF) फंक्शन, जो ट्रांजेक्शन फीस बढ़ाने की अनुमति देता है, का उपयोग धोखाधड़ी वाले ट्रांजेक्शन को मान्य करने के लिए किया जा सकता था। डेवलपर्स की प्रतिक्रिया : Electrum के मुख्य डेवलपर, थॉमस वास्केज़ ने तत्काल अपडेट करने की सिफारिश की और आधिकारिक फोरम पर एक माइग्रेशन गाइड प्रकाशित की। संस्करण 4.8.3 गैर-पुष्ट (unconfirmed) ट्रांजेक्शन के हस्ताक्षरों के सत्यापन और सर्वर कनेक्शन के लिए पारस्परिक TLS प्रमाणीकरण (mutual TLS authentication) पेश करता है। जो उपयोगकर्ता अपने स्वयं के विश्वसनीय सर्वर से जुड़े हैं, वे इस खामी के जोखिम में नहीं हैं। आज तक फंड के बड़े पैमाने पर नुकसान की कोई घटना पुष्ट नहीं हुई है, लेकिन डेवलपर्स का कहना है कि प्रभावित उपयोगकर्ताओं की सटीक संख्या पर सार्वजनिक डेटा की कमी वास्तविक जोखिम के मूल्यांकन को सीमित करती है। इसके अलावा, सोशल मीडिया पर Electrum उपयोगकर्ताओं को लक्षित करने वाले एक फिशिंग अलर्ट की सूचना मिली है, हालांकि इस खामी के साथ इसके संबंध की पुष्टि नहीं हुई है। मुख्य अवधारणाओं को समझना लाइट वॉलेट (SPV) एक लाइट वॉलेट, या Simplified Payment Verification (SPV), एक ऐसा सॉफ़्टवेयर है जो पूरे ब्लॉकचेन को डाउनलोड किए बिना क्रिप्टोकरेंसी को प्रबंधित करने की अनुमति देता है। एक फुल नोड के विपरीत, जो नेटवर्क के निर्माण से लेकर अब तक के सभी लेनदेन को स्टोर और सत्यापित करता है, एक SPV वॉलेट आवश्यक जानकारी (जैसे बैलेंस या लंबित लेनदेन) प्राप्त करने के लिए थर्ड-पार्टी सर्वरों से पूछताछ करता है। उदाहरण के लिए, Electrum एक तेज़ और कम संसाधन-खपत वाला उपयोगकर्ता अनुभव प्रदान करने के लिए इस प्रणाली का उपयोग करता है। हालांकि, यह दृष्टिकोण सर्वरों पर भरोसे पर आधारित है, जो उपयोगकर्ताओं को हेरफेर के जोखिमों के संपर्क में ला सकता है, जैसा कि ठीक किए गए बग के मामले में हुआ था। Man-in-the-middle (MITM) man-in-the-middle (MITM) हमला तब होता है जब एक हमलावर दो संवाद करने वाले पक्षों (यहाँ, एक उपयोगकर्ता और एक Electrum सर्वर) के बीच में आ जाता है ताकि आदान-प्रदान किए गए डेटा को इंटरसेप्ट, संशोधित या रीडायरेक्ट किया जा सके। Electrum के मामले में, हमलावर उपयोगकर्ता को पता चले बिना लेनदेन के गंतव्य पते को अपने पते से बदल सकता था। इस प्रकार का हमला विकेंद्रीकृत नेटवर्क में विशेष रूप से खतरनाक है, जहाँ केंद्रीकृत विश्वसनीय तीसरे पक्ष की अनुपस्थिति धोखाधड़ी का पता लगाना अधिक जटिल बना देती है। एक ठोस उदाहरण एक हैकर होगा जो एक वैध पते पर 1 BTC के लेनदेन को इंटरसेप्ट करता है और उसे अपने स्वयं के वॉलेट की ओर रीडायरेक्ट करता है। Replace-by-Fee (RBF) Replace-by-Fee (RBF) फ़ंक्शन Bitcoin प्रोटोकॉल का एक तंत्र है जो उपयोगकर्ता को नेटवर्क द्वारा प्रसंस्करण में तेजी लाने के लिए एक अपुष्ट लेनदेन की फीस बढ़ाने की अनुमति देता है। उदाहरण के लिए, यदि बहुत कम फीस के कारण लेनदेन को मान्य होने में बहुत अधिक समय लगता है, तो उपयोगकर्ता उच्च फीस के साथ उस लेनदेन का एक नया संस्करण बना सकता है, जो पुराने वाले की जगह ले लेगा। हालांकि, इस फ़ंक्शन का दुरुपयोग किया जा सकता है: Electrum बग के मामले में, एक हमलावर ने एक फर्जी लेनदेन की फीस बढ़ाकर उपयोगकर्ता को एक धोखाधड़ी वाले लेनदेन पर हस्ताक्षर करने के लिए प्रेरित करने के लिए RBF का फायदा उठाया, जिससे फंड की चोरी मान्य हो गई। TLS पारस्परिक प्रमाणीकरण (Mutual TLS Authentication) TLS म्यूचुअल ऑथेंटिकेशन (ट्रांसपोर्ट लेयर सिक्योरिटी) एक सुरक्षा प्रोटोकॉल है जो यह सुनिश्चित करता है कि संचार के दोनों पक्ष (यहाँ, Electrum वॉलेट और उसका सर्वर) डेटा साझा करने से पहले एक-दूसरे को प्रमाणित करें। क्लासिक TLS के विपरीत, जहाँ केवल सर्वर अपनी पहचान साबित करता है,…