GENERAL BYTES चेकिया में क्रिप्टोकरेंसी ATM बनाती है। वह BATM कहलाने वाले टर्मिनल और Crypto Application Server, यानी CAS नाम का प्रबंधन सिस्टम देती है। यहाँ ATM एक स्वचालित विनिमय केंद्र की तरह काम करता है: नकदी देकर क्रिप्टोकरेंसी खरीदी जा सकती है और कुछ मॉडल उलटा विनिमय भी करते हैं। निर्माता तकनीक देती है; खास लेनदेन की शर्तें और ग्राहक सहायता उस स्थान के संचालक से मिलती हैं।
मान लीजिए कि आप नोट देकर बिटकॉइन खरीदना चाहते हैं। एक्सचेंज में लॉग इन करने के बजाय आप मशीन के पास जाते हैं और अपने वॉलेट का पता देते हैं। GENERAL BYTES ऐसे विनिमय के लिए तकनीक बनाती है। कंपनी की अपनी समयरेखा के अनुसार उसकी स्थापना प्राग में 2013 में हुई और जनता के लिए पहला ATM 2014 में लगा। बेची गई मशीनों की संख्या पिछली आपूर्ति बताती है, अभी चालू स्थानों की सूची या स्वतंत्र रूप से जाँची गई ग्राहक संख्या नहीं। [1]
खरीदारी उम्मीद के मुताबिक न हो, तो यह जानना ज़रूरी है कि उस ATM को कौन चला रहा है। GENERAL BYTES भी खास लेनदेन की शिकायत के लिए ग्राहक को संचालक के पास भेजती है। सिर्फ निर्माता का नाम विनिमय दर, शुल्क, भुगतान पाने वाले या रिफंड सँभालने वाले को नहीं बताता। इसलिए खरीदने से पहले शर्तें पढ़ना और सेवा का संपर्क पता करना उपयोगी है, न कि केवल मशीन पर लिखा नाम जानना। [2]
एकतरफ़ा BATM नकदी लेकर क्रिप्टोकरेंसी खरीदने देता है। दोतरफ़ा मॉडल क्रिप्टोकरेंसी लेकर नकदी भी दे सकता है। इसका अर्थ यह नहीं कि उसी ब्रांड की हर मशीन दोनों सुविधाएँ देती है। मॉडल, उसमें लगे उपकरण और संचालक की सेटिंग महत्त्वपूर्ण हैं। उदाहरण के लिए, उत्पाद श्रृंखला में बिटकॉइन बेचने की सुविधा होना यह गारंटी नहीं है कि आपकी चुनी मशीन पर जाने के समय नोट मिल ही जाएँगे। [2]
BATM टर्मिनल के अनुरोध CAS सँभालता है, जो ATM का केंद्रीय प्रबंधन सर्वर है। सेटिंग के अनुसार यह एक्सचेंज और hot wallets से जुड़ता है। Hot wallets ऐसे वॉलेट हैं जो नियमित भुगतान के लिए ऑनलाइन उपलब्ध रहते हैं। खरीद के समय जुड़े वॉलेट से बिटकॉइन ग्राहक के पते पर भेजा जा सकता है। निर्माता के अनुसार टर्मिनल खुद क्रिप्टोकरेंसी नहीं रखता। इसलिए सुरक्षा मज़बूत बाहरी ढाँचे तक सीमित नहीं है: सर्वर, वॉलेट और जुड़ी सेवाओं के खातों तक पहुँच भी सुरक्षित होनी चाहिए। [3]
संचालक को किसी दूसरे एक्सचेंज या वॉलेट से जुड़ना पड़ सकता है। CAS एक्सटेंशन ऐसा करने का तरीका देते हैं। सार्वजनिक batm_public रिपॉज़िटरी में उदाहरण, परीक्षण औज़ार और Java API है। यह वह इंटरफ़ेस है जिसके ज़रिए Java में लिखे प्रोग्राम सिस्टम के साथ काम करते हैं। इन एक्सटेंशन का कोड सार्वजनिक होने से पूरे उत्पाद के सभी हिस्से खुले होने का प्रमाण नहीं मिलता। अपने बनाए ऐड-ऑन का रखरखाव और इस्तेमाल हो रहे CAS संस्करण के साथ संगतता जाँचना भी ज़रूरी है। [4]
17–18 मार्च 2023 की घटना की सूचना में बताया गया कि हमलावर ने सर्वर इंटरफ़ेस से अपना एप्लिकेशन चलाया। इससे डेटाबेस और API कुंजियों तक पहुँच मिली। ये जुड़े वॉलेट और एक्सचेंज की सेवाओं में प्रवेश के क्रेडेंशियल हैं और इनसे धन भेजना भी संभव हो सकता है। इसलिए बहाली में सॉफ़्टवेयर अपडेट के साथ प्रभावित सर्वर फिर स्थापित करना और क्रेडेंशियल बदलना शामिल था। शुरुआती कमजोरी बंद करना और पहले से चुराई गई पहुँच रद्द करना अलग काम हैं। [5]
22 जुलाई 2026 से संबंधित रिपोर्ट में कंपनी ने CAS की दूसरी घटना बताई। उसने इसे प्राप्त डेटा सँभालने वाली Hessian लाइब्रेरी की अपर्याप्त सुरक्षा और टर्मिनल की पहचान वाले फ़िंगरप्रिंट की गलत जाँच से जोड़ा। यहाँ फ़िंगरप्रिंट का अर्थ जुड़े उपकरण की पहचान है, ग्राहक की उँगली नहीं। निर्माता ने अपने बुनियादी ढाँचे में सेंध की भी सूचना दी। इसलिए 2023 का सुधार बाद वाली समस्या के हल का प्रमाण नहीं है; हर सूचना का अपना दायरा और सुधार प्रक्रिया है। [6]
2026 की रिपोर्ट के अगस्त परिशिष्ट में Sentry में सेंध का विवरण आया। यह सिस्टम खराबियों की जाँच के लिए डायग्नोस्टिक डेटा जमा करता है। कंपनी के अनुसार हमलावरों को CAS सर्वर के पते और ऐसे QR कोड की तस्वीरें मिल सकती थीं जिन्हें मशीनें पढ़ नहीं पाईं। निर्माता ने कहा कि तस्वीरों में पते थे, निजी कुंजियाँ नहीं। यह फर्क महत्त्वपूर्ण है, फिर भी ये संवेदनशील संचालन संबंधी जानकारी है। ATM ग्राहकों की पहचान भी जाँच सकते हैं। इसलिए केवल नोट से भुगतान करना गुमनाम खरीद की गारंटी नहीं है। [6] [2]
पूरी तस्वीर के लिए इस प्रविष्टि के साथ यह भी पढ़ें Bitcoin, Custodial Exchange, स्व-अभिरक्षा. इस प्रविष्टि का उल्लेख यहाँ भी है प्राग Bitcoin पारिस्थितिकी, Stackuj, Alza पर बिटकॉइन से भुगतान.