WazirX का सबसे अंधेरा समय: $230M हैक और उसके बाद की विस्तृत समीक्षा

भारतीय क्रिप्टोकरेंसी उपयोगकर्ताओं को कठिन समय का सामना करना पड़ रहा है क्योंकि केंद्रीकृत क्रिप्टो एक्सचेंज (CEX) WazirX अपने ग्राहकों के लिए पुनर्प्राप्ति योजना खोजने में संघर्ष कर रहा है।

WazirX भारत के प्रमुख क्रिप्टो एक्सचेंजों में से एक है, जिसकी उपयोगकर्ता संख्या 16 मिलियन से अधिक है। 18 जुलाई को, इसे $230 मिलियन की राशि के लिए हैक किया गया।

सुरक्षा उल्लंघन ने WazirX के एक मल्टी-सिग वॉलेट को प्रभावित किया। एक मल्टी-सिग वॉलेट को लेनदेन को निष्पादित करने से पहले कई लोगों के हस्ताक्षर की आवश्यकता होती है। WazirX के मामले में, इस वॉलेट में उपयोगकर्ता संपत्तियों को सुरक्षित रखने के लिए पाँच साइनर थे।

हमलावर ने $100 मिलियन शिबा इनु (SHIB), $52 मिलियन ईथर, $11 मिलियन MATIC, और $6 मिलियन PEPE निकाल लिए। जून 2024 की रिपोर्ट के अनुसार, ये फंड एक्सचेंज की कुल $500 मिलियन रिज़र्व का 45% से अधिक प्रतिनिधित्व करते हैं।

ब्लॉकचेन ट्रैकर Lookonchain के अनुसार, हमलावर ने चोरी किए गए अधिकांश फंड को इथेरियम (ETH) में बदल दिया। हैकर्स आमतौर पर टोकन को बदलने के लिए Tornado Cash जैसी मिक्सिंग सेवाओं का उपयोग करते हैं क्योंकि वे लेनदेन की गतिविधि को अस्पष्ट कर सकते हैं।

हमलावर अब विभिन्न टोकनों में 59,097 से अधिक ETH, लगभग $200 मिलियन मूल्य के साथ रखता है। उन्होंने चोरी किए गए टोकन को लोकप्रिय DEX Uniswap के माध्यम से बेच रहे हैं।

हमले के परिणामस्वरूप, एक्सचेंज पर सूचीबद्ध टोकन स्थानीय और वैश्विक कीमतों की तुलना में भारी छूट पर ट्रेड किए गए, क्योंकि तरलता की कमी थी। इसके बाद एक्सचेंज ने प्लेटफ़ॉर्म पर सभी ट्रेडिंग और क्रिप्टो तथा फ़िएट निकासी को रोक दिया। WazirX के हैक हुए लगभग दो हफ़्ते हो चुके हैं, और गतिविधियाँ अभी भी रुकी हुई हैं।

एक्सचेंज पर सब कुछ फ्रीज़ होने के कारण, BTC/USDT WazirX पर 64,052 पर ट्रेड हो रहा है, जबकि CoinDCX पर 66,687 है। इसी बीच, USDT/INR CoinDCX पर 88.64 पर ट्रेड हो रहा है, जबकि WazirX पर यह 68.40 है। एक्सचेंज का मूल टोकन, WZX, ने भी एक्सचेंज पर हमले के बाद से 36.24% की गिरावट देखी है।

जो हुआ, उसके बारे में, एक्सचेंज ने Liminal Custody के डिजिटल इंटरफ़ेस पर दिखाए गए जानकारी और हस्ताक्षरित लेनदेन की वास्तविक सामग्री के बीच एक “मिसमैच” को दोषी ठहराया। एक्सचेंज ने एक पोस्ट में कहा:

“हम संदेह करते हैं कि पेलोड को बदल दिया गया था ताकि वॉलेट नियंत्रण हमलावर को स्थानांतरित किया जा सके।”

इसी बीच, Liminal Custody ने हमले के लिए WazirX को दोषी ठहराया, यह कहते हुए कि उसकी इन्फ्रास्ट्रक्चर का उल्लंघन नहीं हुआ था।

“दुर्भाग्यवश, पीड़ितों की तीन मशीनों को लेनदेन में दुर्भावनापूर्ण पेलोड इंजेक्ट करते हुए पाया गया है, जो एक विशिष्ट Gnosis स्मार्ट कॉन्ट्रैक्ट मल्टी-सिग वॉलेट पर एक परिष्कृत, अच्छी तरह से योजना बनाई गई और लक्षित हमले को दर्शाता है।”

– Liminal on X

हालांकि, सभी लोग इन स्पष्टीकरणों और दोषारोपण से संतुष्ट नहीं हैं। X पर लोकप्रिय क्रिप्टो यूट्यूबर पंकज तंवर के अनुसार:

“यह गलती भारत में #Crypto को कल्पना से परे नुकसान पहुंचाएगी।”

WazirX को उसकी “Socialized Loss Strategy” के लिए आलोचना का सामना

चोरी किए गए फंडों का कुल रिज़र्व के मुकाबले अनुपात देखते हुए, उन्हें वापस पाने की उम्मीद बहुत कम है, और यह तथ्य कि हमलावर को उत्तर कोरिया से जोड़ा गया है, ने पुनर्प्राप्ति की आशाओं को गंभीर रूप से ध्वस्त कर दिया है।

जबकि एक्सचेंज ने समाधान के लिए $23 मिलियन का बाउंटी जारी किया है, जिसे 130 से अधिक प्रविष्टियों ने प्राप्त किया, यह अब सुरक्षित फंडों के वितरण की खोज शुरू कर चुका है।

इसके लिए, WazirX 55% क्रिप्टो होल्डिंग्स को वापस करने पर विचार कर रहा है, जबकि शेष को USDT-समकक्ष टोकनों में लॉक किया जाएगा, चाहे उपयोगकर्ताओं के टोकन चोरी हुए हों या नहीं। इसका मतलब है कि वे उपयोगकर्ता जिन्होंने हैक में कोई नुकसान नहीं झेला, उन्हें भी केवल 55% संपत्तियों तक पहुंच होगी, जबकि बाकी को स्थिरकॉइन में बदलकर लॉक किया जाएगा।

इस “Withdrawal Management Programme: Opinion Poll” के कारण, एक्सचेंज अब न केवल अपने ग्राहकों से बल्कि व्यापक उद्योग से भी अधिक जांच और दबाव का सामना कर रहा है।

यह सर्वेक्षण 27 जुलाई को किया गया, जिसके दौरान  exchange introduced एक “socialized loss strategy” पेश की ताकि प्रभाव को सभी उपयोगकर्ताओं में समान रूप से वितरित किया जा सके। यह रणनीति उपयोगकर्ताओं को उनके अधिकांश संपत्तियों तक तुरंत पहुंच प्रदान करती है जबकि “उन लोगों के लिए आगे की पुनर्प्राप्ति की संभावना बनाए रखती है जो इंतजार करने का चयन करते हैं।”

इस सर्वेक्षण के तहत, ग्राहकों से दो अलग-अलग विकल्पों पर मतदान करने को कहा गया। एक विकल्प में, उपयोगकर्ता अपने फंडों के अधिकांश हिस्से तक ट्रेडिंग के लिए पहुंच प्राप्त करते हैं, और उन्हें निकाल भी सकते हैं। हालांकि, उन्हें पुनर्प्राप्त फंडों में द्वितीय प्राथमिकता मिलती है। इसके विपरीत, दूसरे विकल्प में निकासी की अनुमति नहीं है, लेकिन उपयोगकर्ताओं को पुनर्प्राप्ति आय में प्रथम प्राथमिकता मिलती है।

इस सुझाव के कारण WazirX को अपने उपयोगकर्ताओं से आलोचना मिली, एक ने कहा, “socialized loss, privatized profits.” दूसरे ने सवाल किया कि गैर-चोरी किए गए टोकन वाले उपयोगकर्ताओं को क्यों दंडित किया जाना चाहिए।

प्रतिद्वंद्वी क्रिप्टो एक्सचेंजों ने भी WazirX के नवीनतम कदम पर अपनी राय व्यक्त की, CoinDCX के सह-संस्थापक सुमित गुप्ता ने कहा कि यह “समुदाय-प्रथम” निर्णय नहीं है। WazirX की इस स्थिति को संभालने की विधि “उनके लिए अच्छी नहीं होगी,” गुप्ता ने कहा, और जोड़ा कि यह “अन्य इकोसिस्टम प्रतिभागियों को भी नुकसान पहुंचा रहा है।”

Giottus के सह-संस्थापक अर्जुन विजय ने कहा कि WazirX का सर्वेक्षण “इकोसिस्टम के सर्वोत्तम हित में नहीं” है क्योंकि यह “ग्राहकों को मजबूर करने” के लिए डिज़ाइन किया गया है कि वे पुनर्प्राप्ति आय में प्राथमिकता पाने के विकल्प चुनें।

Unocoin के सह-संस्थापक डॉ. सतविक विष्णनाथ ने भी इस मुद्दे को संभालने के तरीके पर अपनी निराशा व्यक्त की, यह कहते हुए कि यह “स्थिति को केवल बिगाड़ रहा है” जबकि यह घटना पहले ही क्रिप्टो उद्योग को “मुसीबत में” डाल चुकी है।

WazirX ने खुद की रक्षा की, कहा कि सर्वेक्षण “कानूनी रूप से बाध्यकारी” नहीं था, बल्कि यह एक्सचेंज की यह समझने की कोशिश का एक कदम था कि ग्राहक क्या चाहते हैं। एक्सचेंज उपयोगकर्ताओं से विचार और प्रतिक्रिया एकत्र करना जारी रखेगा।

हानियों को साझा करने की अपनी योजना के कारण के बारे में बात करते हुए, WazirX के वीपी राजगोपाल मेनन ने बताया कि उन्होंने अन्य प्रमुख एक्सचेंजों का अध्ययन किया जिन्होंने समान स्थितियों का सामना किया। दो प्रमुख हैक जिनकी जांच की गई, वे Mt. Gox और Bitfinex थे।

बिटकॉइन लेनदेन के अधिकांश हिस्से को ध्यान में रखते हुए, Mt. Gox 2014 में हैक किया गया था, जिसमें 850,000 BTC खो गए। इसके बाद, Mt. Gox दिवालिया हो गया, और केवल एक दशक बाद, जुलाई 2024 में, उपयोगकर्ताओं ने अपनी मूल होल्डिंग्स का एक छोटा हिस्सा प्राप्त करना शुरू किया।

फिर Bitfinex था, जिसने 2016 के हैक में 119,756 BTC खोए। एक्सचेंज ने स्थिति को सभी उपयोगकर्ताओं में नुकसान को बाँटकर संभाला, बैलेंस को 36% तक घटाया, और अपने ग्राहकों को उनके नुकसान को दर्शाने वाले BFX टोकन दिए।

More Options & Even ED’s Funds Stuck at WazirX

“socialized loss strategy” के अलावा, एक्सचेंज अन्य विकल्पों की खोज कर रहा है, जिसमें Binance से मदद माँगना भी शामिल है। Moneycontrol द्वारा उद्धृत एक अनाम स्रोत के अनुसार, WazirX ने अपने पूर्व साझेदार से अपने ग्राहकों को बचाने में मदद के लिए संपर्क किया।

उद्योग स्रोतों ने यह भी कहा कि Binance एक्सचेंज की आय का एक अधिशेष और उसके WRX टोकन के लगभग $80 मिलियन को नियंत्रित करता है। स्रोत ने कहा:

“उनका कानूनी विवाद अभी भी जारी है। WazirX के व्यवसाय के कुछ घटक अभी भी Binance के नियंत्रण में हैं, जिसमें आय — उसका अधिशेष भी शामिल है। यहां तक कि उसका WRX टोकन भी उनके नियंत्रण में है। इसलिए उन्होंने Binance से संपर्क किया है और बातचीत चल रही है लेकिन प्रारंभिक चरण में है।”

जनवरी 2023 की अपनी प्रूफ़-ऑफ़-रिज़र्व्स रिपोर्ट में, WazirX ने खुलासा किया कि 90% उपयोगकर्ता संपत्तियां Binance वॉलेट में रखी गई हैं। कुछ महीनों बाद, एक ब्लॉग पोस्ट में, WazirX ने कहा कि उसका मूल टोकन Binance द्वारा नियंत्रित है, क्योंकि Binance ने WRX IEO आयोजित किया, जिसमें 108,401 BNB टोकन, मूल्य $2 मिलियन, बेचे गए, और उनकी आय “Binance द्वारा एकत्रित और रखी गई”।

यह सब WazirX के सह-संस्थापक निशाल शेट्टी के सार्वजनिक X झगड़े के बाद आया, जिसमें उन्होंने Binance के CEO चांगपेंग झाओ से यह सवाल किया कि WazirX को कौन नियंत्रित करता है। दिलचस्प बात यह है कि नवंबर 2019 में, दुनिया के सबसे बड़े एक्सचेंज Binance ने कहा था कि उसने WazirX को खरीदा था, लेकिन 2022 की गर्मियों में, भारतीय अधिकारियों ने WazirX के मुंबई कार्यालय पर धन शोधन के संदेह में छापा मार दिया।

जवाब में, भारत की प्रवर्तन निदेशालय (ED) ने WazirX के फंडों को फ्रीज़ कर दिया, और देश के वित्त मंत्रालय ने विदेशी मुद्रा प्रबंधन अधिनियम (FEMA) के तहत एक्सचेंज की जांच की घोषणा की।

अब रिपोर्टें सुझाव देती हैं कि यहां तक कि ED के पास WazirX पर लगभग $1.1 मिलियन की जब्त की गई क्रिप्टो संपत्ति थी। ये फंड, जो E-Nuggets नामक एक गेमिंग ऐप के खिलाफ भ्रष्टाचार मामले में जब्त किए गए थे, हैक से कुछ महीने पहले एक्सचेंज में स्थानांतरित किए गए थे।

भारतीय समाचार पोर्टल The Print ने रिपोर्ट किया कि E-Nuggets की जांच के बाद, ED ने सभी स्थानीय क्रिप्टो एक्सचेंजों, जिसमें WazirX और CoinDCX शामिल हैं, से स्रोत खातों को खोजने में मदद करने को कहा। इससे क्रिप्टो खरीदने के लिए उपयोग किए गए वर्चुअल पेमेंट एड्रेस (VPA) का पता चला। परिणामस्वरूप, ED ने ZebPay, WazirX, और दुबई-आधारित Binance में रखे 70 क्रिप्टो खातों में सभी फंडों को फ्रीज़ कर दिया।

इसलिए, क्रिप्टो को अपने हाथ में लेने के बाद, अधिकारियों ने ED के लिए एक क्रिप्टो खाता खोला और सभी क्रिप्टो को WazirX के साथ स्थानांतरित किया क्योंकि एक्सचेंज स्थानीय था और उसका उपयोगकर्ता आधार और तरलता सबसे अधिक थी। लेकिन अब WazirX हैक हो गया है और उसने अपने फंडों का 45% खो दिया है। यह देखना रोचक होगा कि क्या प्राधिकारियों आगे आएँगे और अंततः उद्योग को कुछ मार्गदर्शन और मदद प्रदान करेंगे।

यह नहीं कि हैक क्रिप्टो क्षेत्र में असामान्य हैं। पिछले वर्ष, हमलावरों ने क्रिप्टो प्लेटफ़ॉर्म से $1.7 बिलियन चुरा लिए, जैसा कि Chainalysis क्रिप्टो अपराध रिपोर्ट में बताया गया है। जबकि ऐसे हमलों में चोरी की गई राशि 2022 से अधिक आधी हो गई है, ऐसे हमलों की संख्या 2022 में 219 से बढ़कर 2023 में 231 हो गई।

जैसे ही इस वर्ष पूरे बाजार में क्रिप्टो कीमतें बढ़ीं, हैकर्स फिर से कार्रवाई में लौट आए, $1.48 बिलियन चोरी हुआ 24 जून 2024 तक, जबकि पिछले साल इस समय $657 मिलियन थे, जैसा कि TRM Labs ने बताया। हालांकि, शीर्ष पाँच एक्सप्लॉइट्स ने कुल चोरी की राशि का लगभग 70% हिस्सा बनाया। रिपोर्ट ने कहा:

“प्राइवेट की और सीड फ्रेज़ समझौते 2024 में शीर्ष हमले वेक्टर बने हुए हैं, साथ ही स्मार्ट कॉन्ट्रैक्ट एक्सप्लॉइट्स और फ्लैश लोन हमले भी।”

इसलिए, जबकि क्रिप्टो हैक जारी हैं, भारतीय सरकार ने स्पष्ट, स्थापित दिशानिर्देश प्रदान करने में विफल रही है ताकि ये एक्सचेंज अस्पष्टता के साथ न चलें।

India’s Unstable & Unregulated Crypto Industry 

मुख्य घटना के बाद, कई एक्सचेंजों ने WazirX के साथ सहयोग किया ताकि चोरी किए गए फंडों का पता लगाया जा सके और ग्राहक संपत्तियों को पुनः प्राप्त किया जा सके। साइबर हमले का गहन विश्लेषण करने के लिए, कंपनी ने फॉरेंसिक विशेषज्ञों और कानून प्रवर्तन एजेंसियों के साथ भी सहयोग किया ताकि अपराधियों की पहचान और पकड़ बनाई जा सके।

एक्सचेंज ने इस घटना की रिपोर्ट भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) को भी की है, जो कंप्यूटर-संबंधी सुरक्षा घटनाओं के लिए जिम्मेदार एजेंसी है। अगले चरण में, एक प्रथम सूचना रिपोर्ट (FIR) दर्ज की गई, जिसे पुलिस ने आधिकारिक जांच शुरू करने के लिए तैयार किया।

WazirX ने घटना की रिपोर्ट वित्तीय इंटेग्रिटी यूनिट (FIU)-India को भी भेजी, जिसके साथ यह पंजीकृत है और यह वित्त मंत्रालय के अधीन आता है। हालांकि, WazirX का सुरक्षा उल्लंघन FIU के दायरे में नहीं आता क्योंकि FIU देश के मनी लॉन्ड्रिंग रोकथाम अधिनियम (PMLA) के तहत लेनदेन की निगरानी करता है। Fireblocks की एसोसिएट जनरल काउंसल जोआना चेंग के अनुसार:

“भारत में अभी तक कोई क्रिप्टो-विशिष्ट नियम नहीं है, और उद्योग को सुरक्षा मानकों, जोखिम प्रबंधन, और उपभोक्ता संरक्षण जैसे मुद्दों पर स्पष्ट नियामक अपेक्षाओं से लाभ होगा। इस क्षेत्र में नियामक हस्तक्षेप का मतलब यह भी होगा कि बड़े पैमाने पर रिटेल ग्राहकों को सेवा देने वाले एक्सचेंजों को उनके कार्यों (या निष्क्रियता) के लिए उत्तरदायी ठहराया जाएगा।”

भारत में क्रिप्टोकरेंसी उद्योग अभी भी अनियमित है। इस अवधि में उठाया गया एकमात्र प्रमुख कदम 2020 में सुप्रीम कोर्ट का निर्णय था, जिसने 2018 में भारतीय रिज़र्व बैंक के प्रतिबंध को उलट दिया, जिससे बैंकों को उपयोगकर्ताओं और एक्सचेंजों से क्रिप्टो लेनदेन को सुविधाजनक बनाने की अनुमति मिली।

इसके अलावा, देश में क्रिप्टो के नियामक विकास में कोई प्रगति नहीं हुई है। अब तक इस क्षेत्र को विनियमित करने के लिए कोई विधेयक पारित नहीं हुआ है, और क्रिप्टो मुख्यतः प्राधिकरणों के दायरे से बाहर बना हुआ है।

वर्तमान में एकमात्र नियामक निगरानी भारतीय सरकार के FIU से आती है, जिसे वर्चुअल डिजिटल एसेट्स के ट्रेडिंग की देखरेख करने का कार्य सौंपा गया है। इस वर्ष मई में इकॉनमिक टाइम्स की रिपोर्ट के अनुसार, देश में 47 नियमनित संस्थाएँ क्रिप्टो एसेट्स के ट्रेडिंग या हैंडलिंग में शामिल हैं। यह तब हुआ जब सरकार ने एंटी-मनी लॉन्ड्रिंग (AML) दिशानिर्देशों का पालन न करने के कारण भारत में ऑफशोर क्रिप्टो प्लेटफ़ॉर्म को संचालन से प्रतिबंधित किया।

जबकि भारत के क्रिप्टो उपयोगकर्ताओं के लिए कोई नियामक सुरक्षा नहीं है, सरकार ने क्रिप्टो बेचने से होने वाले लाभ पर 30% तक का कर लगाया है, और नुकसान की कोई भरपाई नहीं दी जाती। इसके अतिरिक्त, हर लेनदेन के स्रोत से 1% कर काटा जाता है।

इन नीतियों ने उद्योग पर नकारात्मक प्रभाव डाला है, क्योंकि क्रिप्टो उपयोगकर्ता सरकार के समर्थन की कमी के कारण उद्योग को दबाव में महसूस कर रहे हैं, जबकि 2022 से उनके मुनाफे का बड़ा हिस्सा कर में जा रहा है।

भारत का क्रिप्टो उद्योग लंबे समय से नियामक स्पष्टता की कमी से पीड़ित रहा है, जिससे बुरे अभिनेताओं की संख्या बढ़ी है। जबकि WazirX एक साइबर हमले का शिकार रहा है, उपयोगकर्ता BitBNS जैसे एक्सचेंजों को लोगों को धोखा देने के लिए भी शिकायत कर रहे हैं।

FIU-India पंजीकृत इकाई, जो खुद को VASPs के लिए FATF वैश्विक मानकों के अनुरूप बताती है, ने 2022 में $7.5 मिलियन का हैक भी झेला। तब से, BitBNS ने उपयोगकर्ताओं को फंड जमा करने की अनुमति दी है लेकिन निकासी नहीं की। उपयोगकर्ता अनुमान लगाते हैं कि इसके सीईओ गौरव दहाके ने पहले ही देश छोड़ दिया है। इस साल की शुरुआत में, The Economic Times के साथ एक साक्षात्कार में, दहाके ने BTC के $100K पार करने की भविष्यवाणी की। पीड़ित वर्तमान में एक्सचेंज के खिलाफ क्लास एक्शन मुकदमा दायर करने की जांच कर रहे हैं।

लेकिन यह सब नहीं है। भारत में क्रिप्टो एक्सचेंज, जिसमें CoinDCX भी शामिल है, उपयोगकर्ताओं को स्वयं-भंडारण (self-custody) की अनुमति नहीं देते, जो क्रिप्टो के मूल सिद्धांत के पूरी तरह विपरीत है। भारतीय क्रिप्टो एक्सचेंज उपयोगकर्ताओं को फिएट जमा करने पर क्रिप्टो को बाहरी एक्सचेंज या वॉलेट में ट्रांसफर करने की अनुमति नहीं देते। यह समस्या को और बढ़ाता है क्योंकि उपयोगकर्ता चाहे भी तो स्वयं-भंडारण नहीं कर सकते, और इसका मतलब है कि वे WazirX हैक जैसी घटनाओं से खुद को बचा नहीं सकते।

हालांकि, दुनिया की सबसे अधिक जनसंख्या वाले देश की रिपोर्ट के अनुसार, यह सितंबर से पहले क्रिप्टो पर अपनी नीति स्थिति को रेखांकित करने वाला एक चर्चा पत्र प्रकाशित करने की योजना बना रहा है। हालांकि, सरकार ने कई बार क्रिप्टो को विनियमित करने की कोशिश की है, लेकिन अब तक कोई ठोस कदम नहीं उठाया गया है, जबकि दुनिया भर के नियामकों ने स्पष्ट दिशानिर्देश पेश किए हैं। यहां तक कि अमेरिका ने अपना पहला बिटकॉइन स्पॉट ETF मंजूर किया है, जिसने कुल मिलाकर करोड़ों डॉलर की इनफ़्लो आकर्षित की है।

इसलिए, जब तक भारतीय सरकार क्रिप्टो उद्योग को आवश्यक ध्यान और नियामक स्पष्टता नहीं देती, स्थानीय क्रिप्टो उपयोगकर्ता और यह सेक्टर पीड़ित होते रहेंगे।

पाँच सर्वश्रेष्ठ क्रिप्टो एक्सचेंजों की सूची के लिए यहाँ क्लिक करें।