૬.૩ અબજ ડોલરની ડિજિટલ લૂંટ: બિનાન્સ હેક અને ક્રિપ્ટો એક્સચેન્જની સુરક્ષામાં રહેલાં જોખમો

ક્રિપ્ટોકરન્સીની દુનિયામાં સુરક્ષા એ સૌથી મોટો પડકાર રહ્યો છે, પરંતુ ૨૯ ઓક્ટોબર, ૨૦૨૬ના રોજ જે બન્યું તેણે સમગ્ર વિશ્વને ચોંકાવી દીધું છે. વિશ્વના સૌથી મોટા ક્રિપ્ટોકરન્સી એક્સચેન્જ (cryptocurrency exchange) બિનાન્સ (Binance) પર થયેલા એક અત્યંત જટિલ સાયબર હુમલામાં માત્ર ૨૦ મિનિટની અંદર ૬.૩ અબજ ડોલરની ડિજિટલ સંપત્તિની ચોરી કરવામાં આવી હતી. આ ઘટનાને ઇતિહાસની સૌથી મોટી ક્રિપ્ટો લૂંટ માનવામાં આવે છે, જેણે ડિજિટલ એસેટ ઓથોરાઇઝેશન સિસ્ટમ (digital asset authorisation system) એટલે કે વ્યવહારોને મંજૂરી આપતી આંતરિક પ્રણાલીઓની નબળાઈઓને ખુલ્લી પાડી દીધી છે.

બિનાન્સ જેવી વિશાળ કંપની, જે દૈનિક ટ્રેડિંગ વોલ્યુમની દ્રષ્ટિએ વિશ્વમાં પ્રથમ ક્રમે છે, તેના પર આ પ્રકારનો હુમલો થવો એ સામાન્ય બાબત નથી. બિનાન્સના જણાવ્યા અનુસાર, આ એક 'કોમ્પ્લેક્સ એટેક' (complex attack) હતો જેમાં સુરક્ષાના અનેક સ્તરોને તોડવામાં આવ્યા હતા. આ હુમલાની અસર એટલી વ્યાપક હતી કે સમાચાર બહાર આવતાની સાથે જ વૈશ્વિક ક્રિપ્ટો માર્કેટમાં મોટો કડાકો જોવા મળ્યો હતો. બિટકોઈન (Bitcoin) અને ઇથેરિયમ (Ethereum) જેવા મુખ્ય સિક્કાઓના ભાવમાં પાંચથી છ ટકાનો ઘટાડો થયો હતો, જ્યારે બિનાન્સનો પોતાનો સિક્કો BNB લગભગ ૧૦ ટકા જેટલો તૂટી ગયો હતો.

હુમલો કેવી રીતે થયો અને શા માટે તે ગંભીર છે?

સામાન્ય રીતે ક્રિપ્ટોકરન્સીની ચોરીમાં હેકર્સ કોઈ વ્યક્તિના પ્રાઇવેટ કી (private key) એટલે કે ડિજિટલ તાળાની ચાવી ચોરવાનો પ્રયાસ કરતા હોય છે. પરંતુ બિનાન્સના કિસ્સામાં, હેકર્સે સીધો કંપનીની આંતરિક ટ્રાન્ઝેક્શન ઓથોરાઇઝેશન સિસ્ટમ પર જ નિશાન સાધ્યું હતું. આ સિસ્ટમ એ નક્કી કરે છે કે કયો વ્યવહાર માન્ય છે અને કયો નહીં. બિનાન્સના કો-સીઈઓ રિચાર્ડ ટેંગના જણાવ્યા મુજબ, આ હુમલાની શરૂઆત એક સમાધાન કરાયેલા લેપટોપ (compromised laptop) થી થઈ હતી. હેકર્સે આ લેપટોપમાં એવું જોખમી સોફ્ટવેર (malicious software) ઇન્સ્ટોલ કર્યું હતું જે પોતાની પ્રવૃત્તિના પુરાવા આપમેળે ભૂંસી નાખવા માટે ડિઝાઇન કરવામાં આવ્યું હતું.

જ્યારે હેકર્સ આ સિસ્ટમમાં પ્રવેશ્યા, ત્યારે તેઓએ એક્સચેન્જની અંદરથી જ વ્યવહારોને મંજૂરી આપવાની ક્ષમતા મેળવી લીધી હતી. આનો અર્થ એ થયો કે સિસ્ટમને એવું લાગ્યું કે આ વ્યવહારો અધિકૃત છે, જ્યારે વાસ્તવમાં તે લૂંટ હતી. બિઝનેસ સ્ટાન્ડર્ડના અહેવાલ મુજબ, હેકર્સે આ લૂંટ ચલાવવા માટે પાસવર્ડ ચોરવાની પરંપરાગત પદ્ધતિને બદલે આખી મંજૂરી પ્રક્રિયામાં જ ગાબડું પાડ્યું હતું. આ પદ્ધતિ એટલી ઝડપી હતી કે સુરક્ષા ટીમો કંઈ સમજે તે પહેલાં અબજો ડોલરની સંપત્તિ બહાર મોકલી દેવામાં આવી હતી.

ઉત્તર કોરિયાનું જોડાણ અને 'TraderTraitor' ગ્રુપ

અમેરિકાની તપાસ એજન્સી એફબીઆઈ (FBI) એ આ હુમલા પાછળ ઉત્તર કોરિયાના રાજ્ય-પ્રાયોજિત હેકર જૂથ 'TraderTraitor' નો હાથ હોવાનું જાહેર કર્યું છે. આ એ જ ગ્રુપ છે જે લાઝારસ ગ્રુપ (Lazarus Group) નો ભાગ હોવાનું મનાય છે, જે ૨૦૧૪માં સોની પિક્ચર્સના હેકિંગ માટે કુખ્યાત થયું હતું. એફબીઆઈના નિવેદન મુજબ, આ જૂથે અગાઉ બાયબિટ (Bybit) પ્લેટફોર્મ પરથી પણ ૧.૫ અબજ ડોલરની ચોરી કરી હતી. ઉત્તર કોરિયા પર તેના પરમાણુ કાર્યક્રમોને કારણે આંતરરાષ્ટ્રીય પ્રતિબંધો છે, તેથી તે આ પ્રકારની સાયબર લૂંટ દ્વારા ભંડોળ એકઠું કરતું હોવાનું માનવામાં આવે છે.

એફબીઆઈએ અવલોકન કર્યું છે કે ચોરી કરાયેલી સંપત્તિને હેકર્સ મુખ્યત્વે ઇથેરિયમમાં રૂપાંતરિત કરી રહ્યા છે. ત્યારબાદ, આ નાણાંના મૂળ સ્ત્રોતને છુપાવવા માટે એટલે કે મની લોન્ડરિંગ (money laundering) કરવા માટે તેઓ ડીસેન્ટ્રલાઇઝ્ડ ફાઇનાન્સ (decentralized finance - DeFi) અને ઇન્સ્ટન્ટ સ્વેપ સર્વિસિસ (instant swap services) નો ઉપયોગ કરે તેવી શક્યતા છે. આ એવી સેવાઓ છે જ્યાં કોઈ મધ્યસ્થી વગર સીધા જ સિક્કાઓ બદલી શકાય છે, જેના કારણે નાણાંનો પીછો કરવો અત્યંત મુશ્કેલ બની જાય છે.

બિનાન્સની વળતર યોજના અને SAFU ફંડ

આટલી મોટી લૂંટ છતાં, બિનાન્સે તેના વપરાશકર્તાઓને ખાતરી આપી છે કે તેમનું ભંડોળ સુરક્ષિત છે. કંપનીએ જાહેરાત કરી છે કે તે ચોરાયેલા ૬.૩ અબજ ડોલરના નુકસાનને સંપૂર્ણપણે ભરી દેશે. કંપનીએ તેના પોતાના ભંડોળનો ઉપયોગ કરીને ૯૦ ટકા જેટલી સંપત્તિ પહેલેથી જ પાછી મેળવી લીધી છે અથવા ખરીદી લીધી છે. બાકીના ૧૦ ટકા ટોકન્સ એવા છે જેમાં લિક્વિડિટી (liquidity) એટલે કે બજારમાં તેની ઉપલબ્ધતા ઓછી છે, તેથી તેને મેળવવામાં થોડો સમય લાગી શકે છે.

આ નુકસાનને પહોંચી વળવા માટે બિનાન્સે તેના 'સિક્યોર એસેટ ફંડ ફોર યુઝર્સ' (Secure Asset Fund for Users - SAFU) નો ઉપયોગ કર્યો છે. આ એક પ્રકારનું વીમા ભંડોળ છે જે બિનાન્સે ૨૦૧૮માં બનાવ્યું હતું, જેમાં ટ્રેડિંગ ફીનો એક હિસ્સો કટોકટીના સમય માટે બચાવવામાં આવે છે. આ ઉપરાંત, કંપનીએ તેના ફ્યુચર્સ ઇન્સ્યોરન્સ ફંડ અને કોર્પોરેટ ટ્રેઝરીમાંથી પણ નાણાં ફાળવ્યા છે. આ પગલાનો હેતુ ગ્રાહકોનો વિશ્વાસ જાળવી રાખવાનો છે, જેથી તેઓને આર્થિક નુકસાન સહન ન કરવું પડે.

ક્રિપ્ટોકરન્સી એક્સચેન્જનો ઇતિહાસ અને સુરક્ષાના પાઠ

ક્રિપ્ટો એક્સચેન્જોનો ઇતિહાસ સુરક્ષા ભંગની ઘટનાઓથી ભરેલો છે. ૨૦૧૪માં માઉન્ટ ગોક્સ (Mt. Gox) ના પતનથી લઈને ૨૦૨૨માં એફટીએક્સ (FTX) ની કટોકટી સુધી, રોકાણકારોએ વારંવાર મોટા આંચકા અનુભવ્યા છે. વિકિપીડિયાના ડેટા મુજબ, ક્રિપ્ટો એક્સચેન્જ એ એક એવો વ્યવસાય છે જે ગ્રાહકોને ડિજિટલ કરન્સીને પરંપરાગત નાણાં અથવા અન્ય સિક્કાઓમાં બદલવાની સુવિધા આપે છે. પરંતુ જ્યારે આ એક્સચેન્જો ગ્રાહકોના નાણાં પોતાની પાસે રાખે છે (custodial exchanges), ત્યારે તેઓ હેકર્સ માટે મોટું લક્ષ્ય બની જાય છે.

બિનાન્સ પરના આ હુમલાએ આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI) ના વધતા ઉપયોગ અંગે પણ ચિંતા જન્માવી છે. નિષ્ણાતો માને છે કે એઆઈ મોડલ્સની વધતી જતી ક્ષમતાઓ ક્રિપ્ટોગ્રાફી (cryptography) અને આઈટી સુરક્ષા પ્રોટોકોલ્સને તોડવામાં હેકર્સને મદદ કરી શકે છે. આ હુમલામાં જે રીતે પુરાવા ભૂંસી નાખતા સોફ્ટવેરનો ઉપયોગ થયો, તે દર્શાવે છે કે સાયબર ગુનેગારો હવે વધુ આધુનિક ટેકનોલોજીનો ઉપયોગ કરી રહ્યા છે.

ભારત અને સામાન્ય રોકાણકારો માટે આનો અર્થ શું છે?

ભારત જેવા દેશોમાં જ્યાં ક્રિપ્ટોકરન્સીમાં રોકાણ કરનારાઓની સંખ્યા મોટી છે, ત્યાં બિનાન્સ જેવી વૈશ્વિક સંસ્થા પરનો હુમલો સાવચેતીનો સંકેત આપે છે. જોકે બિનાન્સે નુકસાન ભરપાઈ કરવાની ખાતરી આપી છે, પરંતુ આ ઘટના દર્શાવે છે કે કોઈપણ પ્લેટફોર્મ ૧૦૦ ટકા સુરક્ષિત નથી. એફબીઆઈએ ખાનગી ક્ષેત્રની સંસ્થાઓને વિનંતી કરી છે કે તેઓ હેકર્સ દ્વારા ઉપયોગમાં લેવાતા ચોક્કસ એડ્રેસ (addresses) પરથી થતા વ્યવહારોને બ્લોક કરે જેથી ચોરાયેલા નાણાંનું લોન્ડરિંગ અટકાવી શકાય.

રોકાણકારો માટે શીખવા જેવી બાબત એ છે કે લાંબા ગાળાના રોકાણ માટે 'હાર્ડવેર વોલેટ' (hardware wallet) જેવી ઓફલાઇન સ્ટોરેજ પદ્ધતિઓ વધુ સુરક્ષિત હોઈ શકે છે. એક્સચેન્જો ટ્રેડિંગ માટે અનુકૂળ છે, પરંતુ જ્યારે સુરક્ષામાં ગાબડું પડે છે, ત્યારે તે સમગ્ર બજારની સ્થિરતાને જોખમમાં મૂકે છે. બિનાન્સે રવિવારથી ઉપાડ (withdrawals) ની પ્રક્રિયા ફરી શરૂ કરી દીધી છે, પરંતુ આ ઘટના ક્રિપ્ટો ઇન્ડસ્ટ્રી માટે સુરક્ષાના ધોરણોને ફરીથી વ્યાખ્યાયિત કરવા માટેનું એક મોટું કારણ બની રહેશે.