2026 की शुरुआत से छह हार्डवेयर वॉलेट ब्रांड सुरक्षा संबंधी समस्याएं सार्वजनिक कर चुके हैं। इनमें Coldcard और Ledger के एक वितरक से जुड़े मामलों में क्रिप्टो परिसंपत्तियों के नुकसान की पुष्टि हुई है। सबसे हालिया मामला उन डिवाइसों से जुड़ा है जिनके डिलीवरी से पहले कथित तौर पर साथ छेड़छाड़ की गई थी। मौजूदा रिपोर्टों से संकेत मिलता है कि प्रभावित Ledger डिवाइसों में से कुछ दक्षिण-पूर्व एशिया के बाहर के बाजारों तक पहुंच सकते हैं, हालांकि प्रभावित उपयोगकर्ताओं की संख्या और मामले का कुल दायरा अभी स्पष्ट नहीं है।
ऑफलाइन परिसंपत्तियां रखने के लिए हार्डवेयर वॉलेट पर निर्भर उपयोगकर्ताओं के लिए जोखिम केवल डिवाइस तक सीमित नहीं है। निजी कुंजी बनाने की प्रक्रिया, आपूर्ति-श्रृंखला नियंत्रण और ग्राहक डेटा का प्रबंधन भी सुरक्षा का हिस्सा हैं।
Coldcard की कुंजी-निर्माण खामी और परिसंपत्ति नुकसान
30 जुलाई को चोरों ने कुछ Coldcard वॉलेट से परिसंपत्तियां स्थानांतरित करना शुरू किया। इस घटना को निजी कुंजी तैयार करते समय पर्याप्त यादृच्छिकता न होने से जोड़ा गया। बाद में Galaxy Research ने अनुमान लगाया कि Coldcard से जुड़े नुकसान 115 मिलियन डॉलर से अधिक हो चुके थे।
यह मामला दिखाता है कि निजी कुंजी हार्डवेयर वॉलेट के भीतर बनने के बावजूद, कुंजी-निर्माण की मूल प्रक्रिया में कमजोरी परिसंपत्तियों की सुरक्षा को प्रभावित कर सकती है।
लेजर हमलों के लिए डिवाइस और प्रयोगशाला उपकरण जरूरी
Ledger की आंतरिक सुरक्षा टीम ने जून में Trezor Safe 7 में इस्तेमाल चिप पर लेजर-आधारित हमलों का परीक्षण किया। जुलाई में टीम ने Tangem कार्ड पर भी इसी तरह का परीक्षण किया। दोनों हमलों के लिए डिवाइस तक भौतिक पहुंच और विशेष प्रयोगशाला उपकरणों की जरूरत थी।
Trezor ने कहा कि उपयोगकर्ताओं की धनराशि प्रभावित नहीं हुई। Tangem ने आम उपयोगकर्ताओं के लिए जोखिम को “लगभग नगण्य” बताया और यह भी कहा कि परीक्षण करने वाले शोधकर्ता एक प्रतिस्पर्धी कंपनी से जुड़े थे।
BitBox ने फर्मवेयर खामियां सुधारीं, चोरी की सूचना नहीं
BitBox ने अगस्त में फर्मवेयर की कई कमजोरियों को ठीक किया। कंपनी के इंजीनियरों ने इन खामियों को गंभीर बताया, लेकिन BitBox ने इनके कारण धन चोरी होने की कोई सूचना नहीं दी है।
Coldcard की घटना की तुलना में ये खुलासे दिखाते हैं कि सुरक्षा समस्या की प्रकृति और उसके वास्तविक परिणाम काफी अलग हो सकते हैं। व्यावहारिक जोखिम का आकलन करते समय यह भी महत्वपूर्ण है कि हमले के लिए डिवाइस तक भौतिक पहुंच जरूरी थी या नहीं और उस खामी का वास्तव में दुरुपयोग हुआ था या नहीं।
डेटा लीक और डिवाइस से छेड़छाड़ के अलग-अलग जोखिम
कुछ अन्य घटनाओं में वॉलेट की कुंजियां सीधे उजागर होने के बजाय उपयोगकर्ताओं की व्यक्तिगत जानकारी प्रभावित हुई। Trezor के एक शिपिंग पार्टनर से 13,689 खरीदारों का डेटा लीक हुआ, जबकि SafePal से जुड़े डेटा उल्लंघन में करीब 40,000 घरों के पते शामिल थे। पते और इसी तरह की जानकारी का उजागर होना गोपनीयता तथा बाद के सुरक्षा जोखिम पैदा कर सकता है, लेकिन उपलब्ध जानकारी से यह संकेत नहीं मिलता कि इन घटनाओं के कारण उपयोगकर्ताओं की क्रिप्टो परिसंपत्तियों की सीधे चोरी हुई।
Ledger का मामला आपूर्ति-श्रृंखला पर केंद्रित है। आरोप है कि खरीदारों तक पहुंचने से पहले डिवाइसों में बदलाव किया गया था। उपलब्ध सामग्री में यह नहीं बताया गया है कि कितने डिवाइस प्रभावित हुए, बिक्री के कौन-कौन से चैनल इस्तेमाल हुए या दक्षिण-पूर्व एशिया के बाहर उनका सटीक वितरण कितना था। इस चरण पर इतना स्थापित है कि 2026 में छह ब्रांडों ने सुरक्षा समस्याएं बताई हैं और क्रिप्टो परिसंपत्तियों के नुकसान से जुड़े ज्ञात मामलों में Coldcard तथा Ledger का एक वितरक शामिल हैं। कथित रूप से बदले गए Ledger डिवाइस कितने व्यापक स्तर पर पहुंचे, यह अभी अनसुलझा है।