24 सितंबर 2026 को Bitget ने अपने hot और warm wallet infrastructure के एक हिस्से से बिना अनुमति हुए crypto transfers का पता लगाया। अक्टूबर की शुरुआत तक exchange ने कहा कि प्रभावित funds की कुल राशि लगभग 388 million US dollars थी।
घटना इतनी बड़ी थी कि इसे सरल शब्दों में crypto exchange hack कहा जा सकता था। लेकिन यह छोटा-सा label कई अलग सवालों को छिपा देता है। क्या blockchain खुद compromise हुआ था? क्या private keys चोरी हुई थीं? Withdrawal controls को कैसे bypass किया गया? और assets wallets से निकल जाने के बाद आखिर वित्तीय नुकसान किसने उठाया?
Bitget के नवीनतम स्पष्टीकरण के अनुसार attacker ने third-party security product में मौजूद zero-day vulnerability का फायदा उठाया, high-privilege credentials हासिल किए और forged withdrawal instructions inject कीं, जो risk controls को bypass कर गईं। कंपनी का कहना है कि private keys compromise नहीं हुईं और cold wallets प्रभावित नहीं हुए।
SlowMist और Mandiant के updates भी broadly ऐसे attack path की ओर इशारा करते हैं जिसमें हमला external security environment और Bitget के production wallet infrastructure के बीच की trust boundary पार कर गया। जांच अभी भी जारी बताई गई थी और कुछ vendor details सार्वजनिक नहीं थीं। इसलिए इस causal account को 6 अक्टूबर 2026 तक उपलब्ध सबसे मजबूत तस्वीर के रूप में देखना चाहिए, अंतिम forensic निष्कर्ष के रूप में नहीं।
Users के लिए अधिक महत्वपूर्ण सवाल यह है कि technical failure के बाद क्या हुआ। Bitget ने कहा कि customer balances कम नहीं किए गए और financial impact को उसके Protection Fund के जरिए absorb किया गया। Withdrawals चरणबद्ध तरीके से दोबारा शुरू किए गए, और बाकी supported assets, fiat withdrawals तथा P2P सेवाओं को 2 अक्टूबर तक बहाल करने का schedule था।
यह अंतर महत्वपूर्ण है: जिस system में breach होता है और जो party अंततः नुकसान absorb करती है, वे जरूरी नहीं कि एक ही हों।
मुख्य बात: Crypto exchange का risk assess करते समय केवल यह पूछना पर्याप्त नहीं है कि blockchain सुरक्षित है या नहीं। यह भी देखना जरूरी है कि keys किसके नियंत्रण में हैं, transactions को approve कौन कर सकता है, किन systems को instructions जारी करने का भरोसा दिया गया है, और assets गायब होने पर platform के पास नुकसान absorb करने लायक capital या contractual protection है या नहीं।
“Crypto hack हो गया” पांच बिल्कुल अलग तरह के risks को दर्शा सकता है
“Crypto hack” शब्द अक्सर कई अलग failure modes को एक ही category में रख देता है। इन्हें अलग करके देखना security risk को अधिक स्पष्ट बनाता है।
- Blockchain या asset protocol risk – protocol, smart contract या bridge की vulnerability network rules को ऐसे exploit करने का रास्ता दे सकती है जिसकी designers ने कल्पना नहीं की थी।
- Custody risk – उन systems की कमजोरी जो users की ओर से private keys रखते हैं या wallets नियंत्रित करते हैं।
- Operational security risk – signing interfaces, privileged credentials, withdrawal workflows और core systems से जुड़े third-party software में failure।
- Counterparty risk – attack रुक जाने के बाद भी user जोखिम में रह सकता है, यदि platform की बची हुई assets उसकी liabilities को cover करने के लिए पर्याप्त न हों। इससे liquidity stress, restructuring या insolvency की स्थिति बन सकती है।
- Regulatory और consumer-protection risk – customer rights हर jurisdiction में समान नहीं होते। कुछ legal regimes asset segregation और custodian obligations को दूसरों की तुलना में अधिक स्पष्ट और कड़ा बनाते हैं।
मुख्य बात: Network की नजर में transaction पूरी तरह valid हो सकती है, लेकिन user या institution की नजर में unauthorized। Blockchain सही signature वाली instruction को execute कर सकता है, भले ही उस signature को बनाने या approve करने वाली process पर attacker पहले ही नियंत्रण पा चुका हो।
तीन crypto exchange breaches की तुलना
| Case | Technical failure mode | Reported affected value | Users पर असर |
|---|---|---|---|
| Bitget (2026) | Third-party security product compromise हुआ, जिससे privileged access और forged withdrawal instructions संभव हुईं | लगभग 388 million US dollars | User balances कम नहीं किए गए; Bitget ने कहा कि impact उसके Protection Fund से cover किया गया |
| Bybit (2025) | Safe environment में supply-chain compromise के जरिए multisig cold-wallet signing workflow manipulate हुआ | लगभग 1.46 billion US dollars | Exchange ने asset gap भरा और अपने report के scope में आने वाली assets के लिए 1:1 backing बहाल की |
| WazirX (2024) | Multisig wallet compromise से बड़ा collateral shortfall बना | 230 million US dollars से अधिक | Company restructuring में गई; eligible users को scheme के तहत Approved Claims का लगभग 85% पहली distribution में मिला |
दो सवाल हमेशा अलग रखने चाहिए: system कहां fail हुआ, और loss किसने absorb किया? पहला security architecture का सवाल है। दूसरा capital, liquidity, contracts और law पर निर्भर करता है।
Bitget: attacker ने blockchain नहीं तोड़ा, बल्कि keys के आसपास के control पर कब्जा किया
Bitget का मामला private key रखने और उसके आसपास के workflow को नियंत्रित करने के बीच का फर्क साफ दिखाता है। Exchange के नवीनतम account के अनुसार attacker ने किसी cold wallet की private key सीधे नहीं चुराई। उसने third-party security product compromise किया और high-level credentials हासिल किए।
व्यवहार में attacker को इतना अधिकार मिल गया कि वह trusted operator की तरह impersonate कर सके और forged withdrawal instructions बना सके, जिन्हें internal systems ने legitimate माना। सबक यह है कि केवल key को सुरक्षित रखना पर्याप्त नहीं, यदि key के आसपास authority रखने वाले systems compromise हो सकते हैं।
Modern custody architecture को इसलिए सिर्फ hot wallet बनाम cold wallet की बहस से आगे जाना पड़ता है। Signer permissions, separation of duties, transaction policies, withdrawal limits और external vendors की security भी उतनी ही महत्वपूर्ण हैं। किसी asset की सुरक्षा उतनी ही मजबूत है जितना सबसे कमजोर privileged path जो उसे move कर सकता है।
जब technical controls विफल हुए, Bitget ने अपनी balance sheet और Protection Fund को अगली defense layer के रूप में इस्तेमाल किया। कंपनी ने कहा कि user balances write down नहीं किए जाएंगे। हर exchange ऐसा कर सके, यह जरूरी नहीं, लेकिन यह case दिखाता है कि technical control टूटने के बाद institution की loss absorb करने की क्षमता भी economic security control बन जाती है।
मुख्य बात: अब महत्वपूर्ण सवाल सिर्फ “key सुरक्षित है या नहीं?” नहीं, बल्कि “key के आसपास act करने की अनुमति वाले systems को कौन नियंत्रित करता है?” भी है। Blockchain या private key सीधे compromise न होने पर भी surrounding workflow पर कब्जा वही आर्थिक नुकसान पैदा कर सकता है।
Bybit: approval process को धोखा दिया जाए तो cold wallet भी जोखिम में रह सकती है
21 फरवरी 2025 को Bybit ने Ethereum multisig cold wallet से assets खोए। Exchange ने नुकसान लगभग 1.46 billion US dollars बताया, जबकि FBI ने लगभग 1.5 billion US dollars का आंकड़ा दिया और theft को North Korea से जुड़े actors से जोड़ा।
यह case बताता है कि “cold wallet” label risk को खत्म नहीं करता। यदि signers को transaction review और approve करने की process manipulate की जा सकती है, तो wallet ऐसी transaction authorize कर सकती है जिसे human operators ने कभी approve करने का इरादा नहीं किया था।
Bybit ने कहा कि incident Safe के जरिए multisig transaction के दौरान हुआ, जहां signers को screen पर दिखाई गई जानकारी उस transaction से मेल नहीं खाती थी जो अंततः on-chain execute हुई। इसलिए control problem सिर्फ signers की संख्या नहीं थी। Software stack, verification interface और destination तथा transaction data को independently verify करने की क्षमता भी महत्वपूर्ण थी।
Incident के बाद Bybit ने कहा कि उसने short-term borrowing, OTC purchases और बड़े deposits के जरिए ETH deficit भर दिया। बाद की proof-of-reserves report के अनुसार report के scope में आने वाली customer assets लगभग 72 घंटे में फिर 1:1 backed थीं।
मुख्य बात: Keys को offline रखना सुरक्षा की guarantee नहीं है, यदि signing workflow manipulate किया जा सकता है। Incident के बाद 1:1 backing दिखाने वाला proof of reserves उपयोगी evidence है, लेकिन वह अकेले long-term solvency, customer assets की legal segregation या future security साबित नहीं करता।
WazirX: जब cyber loss liquidity और creditor problem बन जाए
WazirX एक अलग तरह का outcome दिखाता है। 18 जुलाई 2024 को multisig wallet attack के बाद company ने कहा कि 230 million US dollars से अधिक की digital assets चोरी हो गईं और इस loss ने 1:1 collateral backing बनाए रखने की उसकी क्षमता को प्रभावित किया।
उस बिंदु पर समस्या सिर्फ incident response नहीं रही। यह balance-sheet question बन गई: जब बची हुई assets users को owed amount के बराबर न हों, तो platform liabilities कैसे पूरी होंगी?
2025 में WazirX operator Zettai ने Singapore में Scheme of Arrangement में प्रवेश किया। Company ने कहा कि scheme अक्टूबर 2025 में effective हुआ। इसके बाद eligible users को scheme की reference-pricing methodology के आधार पर Approved Claims का लगभग 85% पहली distribution के रूप में मिला, साथ में Recovery Tokens भी दिए गए जो future recoveries में हिस्सा ले सकते हैं।
इसलिए 85% को “आज के market price पर original coins का 85% वापस” नहीं समझना चाहिए। यह legal restructuring framework के तहत value distribution है।
Bitget, Bybit और WazirX की तुलना से आर्थिक अंतर साफ दिखता है। Headlines में एक जैसे लगने वाले incidents users के लिए बिल्कुल अलग outcomes पैदा कर सकते हैं।
यदि exchange के पास पर्याप्त capital, liquidity या reserve resources हों, तो users direct haircut से बच सकते हैं। लेकिन loss balance sheet को इतना कमजोर कर दे कि assets liabilities से नीचे चली जाएं, तो मुद्दा तेजी से insolvency, creditor priority और property law का बन जाता है।
मुख्य बात: Cyber incident सिर्फ technical hole patch होने पर खत्म नहीं होता। जब loss institution की financial defenses पार कर जाता है, तो वह debt-structure problem बन जाता है, और users की recovery platform की balance sheet और लागू legal framework पर बहुत अधिक निर्भर करती है।
Blockchain पर funds trace हो सकते हैं, फिर भी automatically reverse क्यों नहीं होते
Crypto का एक बड़ा paradox यह है कि बहुत-सी transactions public ledger पर दर्ज होती हैं, जिससे investigators funds की movement follow कर सकते हैं। लेकिन visibility कोई undo button नहीं बनाती।
एक बार transaction network rules को पूरा कर ले, उसके economic effect को reverse करने के लिए आम तौर पर external control point चाहिए। Assets प्राप्त करने वाला centralized exchange उन्हें freeze कर सकता है। Stablecoin issuer के पास कुछ tokens को freeze या disable करने की क्षमता हो सकती है। Legal authority और service-provider cooperation मिलने पर law-enforcement agencies assets seize कर सकती हैं।
Bybit case में partial freezing और seizure के उदाहरण मिले। March 2025 में T3 Financial Crime Unit ने incident से जुड़े लगभग 9 million US dollars freeze करने की घोषणा की, जबकि Chainalysis ने बाद में Greek law enforcement द्वारा theft से जुड़े अतिरिक्त assets seize किए जाने का विवरण दिया।
ये उदाहरण दिखाते हैं कि traceability enforcement के लिए महत्वपूर्ण है, लेकिन इसका मतलब यह नहीं कि चोरी हुई अधिकांश रकम हमेशा recover हो सकती है। हर digital asset में centralized emergency switch भी नहीं होता।
Bitcoin या Ether जैसे base-layer assets में कोई central issuer नहीं है जो कुछ stablecoin issuers की तरह transaction को retrospectively freeze कर सके। Attacker जितनी तेजी से assets को अलग-अलग chains, swaps, bridges या non-cooperating services में फैला देता है, recovery उतनी कठिन हो जाती है।
इसलिए transparent ledger trail दिखाता है, लेकिन blockchain को credit-card-style chargeback system नहीं बनाता।
Blockchain एक ही समय में transparent और final हो सकता है। Stolen assets कहां गए, यह दिख जाना किसी को उन्हें वापस खींचने की automatic authority नहीं देता।
Self-custody counterparty risk कम करती है, लेकिन जिम्मेदारी key holder पर डालती है
Exchange hack के बाद आम सलाह है कि assets को self-custody में ले जाएं। इससे एक तरह का risk कम हो सकता है क्योंकि private key user के पास रहती है, exchange के पास नहीं। इसलिए exchange bankruptcy, withdrawal freeze या custody failure का exposure घटता है।
लेकिन risk खत्म नहीं होता। वह security teams, incident-recovery procedures और balance sheet वाली institution से individual user पर shift हो जाता है। Owner को seed phrase सुरक्षित रखनी होती है, destination verify करना होता है, phishing से बचना होता है, जरूरत के अनुसार devices अलग रखने होते हैं और access खो जाने की स्थिति में recovery plan बनाना पड़ता है।
Chainalysis ने बताया कि personal-wallet compromises 23.35% stolen-fund activity का हिस्सा थे जिसे वह 2025 के midyear तक track कर रही थी। यह आंकड़ा यह साबित नहीं करता कि self-custody exchange custody से अधिक खतरनाक है, क्योंकि definitions और datasets अलग हैं। लेकिन यह दिखाता है कि intermediary से assets हटाने पर attack surface खत्म नहीं होती, केवल बदलती है।
बेहतर सवाल यह है कि user कौन-से risks खुद manage करने के लिए तैयार है और custodian से कौन-सी capabilities चाहता है।
Exchange users के लिए security due diligence को cold wallet या proof of reserves के दावों से आगे जाना चाहिए। इसमें signer governance, customer assets की segregation, withdrawal controls, reconciliation और audit practices, insurance या protection funds, legal terms और incidents संभालने का platform record शामिल होना चाहिए।
मुख्य बात: Self-custody कोई cure-all नहीं है। यह platform risk को personal operational responsibility से replace करती है। यदि assets intermediary के पास रहें, तो investor को technical marketing से आगे बढ़कर governance, segregation और institution की losses absorb करने की क्षमता देखनी चाहिए।
Digital money का भविष्य शायद trust खत्म करने से ज्यादा यह जानने पर निर्भर है कि हम किस पर trust कर रहे हैं
Blockchain technology का शुरुआती वादा अक्सर trust minimization से शुरू होता है: verifiable rules और user-controlled keys के जरिए intermediaries पर निर्भरता कम करना। लेकिन real economy में अधिकांश users अब भी exchanges, custodians, stablecoin issuers, wallet software, cloud infrastructure, cybersecurity vendors और legal systems पर निर्भर हैं।
Trust गायब नहीं हुआ। वह ecosystem की अलग-अलग layers में redistribute हुआ है।
Bitget, Bybit और WazirX दिखाते हैं कि digital-money security केवल cryptography का सवाल नहीं बल्कि socio-technical problem है। Strong protocol भी operational discipline, independent verification, asset segregation, incident response, liquid reserves और losses allocate करने के स्पष्ट नियमों पर निर्भर करता है।
उल्टा भी सही है: strong intermediary protocol risk या users की अपनी गलतियों को खत्म नहीं कर सकता।
Users के लिए सवाल “क्या यह exchange कभी hack हुआ है?” से बदलकर “अगर एक control layer fail हो जाए, तो क्या अगली layer damage contain कर सकती है?” होना चाहिए। इसका अर्थ signer permissions, withdrawal limits, independent verification, customer property segregation, balance sheet की shock-absorption capacity और worst-case scenario में customer legal rights की जांच करना है।
यह lesson cryptocurrency से आगे जाता है। Tokenized assets और stablecoins से लेकर नए digital payment systems तक, money और financial assets के अधिक रूप software और custody infrastructure पर निर्भर होते जा रहे हैं।
इसलिए credibility “blockchain पर भरोसा करें” या “institution पर भरोसा करें” में से किसी एक को चुनने से नहीं आती। वह ऐसी layers design करने से आती है जो एक-दूसरे को verify कर सकें और failures को absorb कर सकें, बिना पूरे cost को automatically end users पर डालने के।
मुख्य निष्कर्ष
- Exchange hack का मतलब जरूरी नहीं कि blockchain fail हुआ हो। Loss custody systems, signing processes, privileged access, withdrawal controls या third-party software से पैदा हो सकता है, जबकि blockchain valid instructions execute करता रहता है।
- Breach कहां हुआ और उसका नुकसान किसने उठाया, ये अलग सवाल हैं। Bitget और Bybit ने कहा कि उन्होंने deficit absorb किया, जबकि WazirX loss के कारण asset shortfall बनने के बाद restructuring में गया।
- Traceability और reversibility एक ही चीज नहीं हैं। Public ledgers stolen assets को track करने में मदद कर सकते हैं, लेकिन उन्हें freeze या recover करने के लिए अक्सर centralized control point, service-provider cooperation या legal authority चाहिए।
- Self-custody risk को हटाती नहीं, transfer करती है। यह exchange counterparty risk कम करती है, लेकिन key management, phishing defense और recovery planning की जिम्मेदारी user पर डालती है।
- Digital money के भविष्य के लिए protocol security और institutional resilience दोनों जरूरी हैं। Secure keys को ऐसे systems में काम करना चाहिए जिनमें मजबूत governance, asset segregation, risk controls, liquidity और crisis में customer rights स्पष्ट हों।
