बिटफिनेक्स: चोरी जिसे ब्लॉकचेन ने नहीं भुलाया

Bitfinex ने BitGo के साथ मिलकर ग्राहकों के धन की सुरक्षा के लिए कई हस्ताक्षर माँगने वाली व्यवस्था अपनाई थी। उद्देश्य यह था कि एक कुंजी चोरी होने या लीक होने भर से पैसे न निकाले जा सकें। लेकिन 2 अगस्त को सिस्टम ने ऐसे बहुत से लेन-देन मंजूर कर दिए जिन्हें एक्सचेंज करना ही नहीं चाहता था। कई हस्ताक्षरों की शर्त पूरी संचालन व्यवस्था को विफल होने से नहीं बचा सकी।

2 000 से अधिक हस्तांतरणों में ठीक 119 754 BTC चोरी हुए थे। उस समय यह लगभग 7 करोड़ डॉलर की रकम थी; बाद में कीमत बढ़ने से इसका मूल्य अरबों डॉलर हो गया। लेकिन ग्राहकों के लिए नुकसान भविष्य के किसी मूल्य-ग्राफ से शुरू नहीं हुआ। वह उस पल शुरू हो गया था जब सेवा रुक गई और उनके खाते में बचा धन किसी दूसरे की सुरक्षा चूक के निपटारे का हिस्सा बन गया।

चोरी ने मल्टीसिग तकनीक और मल्टीसिग प्रबंधन के बीच के अंतर को उजागर किया। अधिक कुंजियाँ केवल तभी मदद करती हैं जब वे स्वतंत्र हों, हस्ताक्षर नियम असामान्य अनुरोध का पता लगाते हैं और पूरी प्रणाली में सुरक्षा को दरकिनार करने का कोई मार्ग नहीं है। सुरक्षा योजना का मूल्यांकन कुंजियों की संख्या से नहीं किया जा सकता है यदि यह ज्ञात नहीं है कि कौन और किन परिस्थितियों में उनका उपयोग कर रहा है।

एक्सचेंज का ग्राहक इसके अलावा ऑन-चेन पर अपने हिस्से को दूसरों से अलग पहचान भी नहीं पाता था। आंतरिक डेटाबेस में उसके पास एक लेखा शेष था; निजी कुंजियाँ सेवा के नियंत्रण में थीं। काउंटरपार्टी जोखिम ठीक उसी क्षण में सच हो गया, जब वॉलेट की तकनीकी समस्या एक निर्णय में बदल गई कि नुकसान को उन लोगों के बीच कैसे बाँटा जाए जिनके व्यक्तिगत खाते हमले का शिकार नहीं हुए थे।

बिटफिनेक्स ने समय-समय पर जानकारी जारी की, लेकिन शुरुआत में वह पूर्ण तौर पर घुसपैठ के तंत्र को समझाने में असमर्थ रहा। ऐसी अनिश्चितता किसी भी घटना में सामान्य होती है और साथ ही दर्दनाक भी: उपयोगकर्ताओं को यह जानने की जरूरत होती है कि शेष धन सुरक्षित है या नहीं, जबकि जांच तुरंत सभी सुराग प्रकाशित नहीं कर सकती। एक्सचेंज ने कुछ दिनों के बाद ही लेखा घाटे के साथ काम बहाल करने का फैसला किया।

Bitfinex ने नुकसान केवल उन बिटकॉइन खातों पर नहीं डाला जिनसे सिक्के चोरी हुए थे। उसने सभी ग्राहकों की शेष राशि में 36.067 प्रतिशत कटौती की घोषणा की। उस समय के बयान में एक्सचेंज ने इसे कंपनी के परिसमापन की स्थिति में होने वाले निपटारे के सबसे करीब बताया। इस तरह एक तकनीकी विफलता का नुकसान साझा लेखा व्यवस्था के ज़रिए ग्राहकों में बाँट दिया गया।

मूल्यह्रास की गई राशि के लिए एक्सचेंज ने बीएफएक्स टोकन जारी किए, जिनका मूल्य डॉलर में था। इन्हें धारक व्यापार कर सकते थे, बाद में वापस खरीदने का विकल्प रख सकते थे या मातृ कंपनी iFinex में हिस्सेदारी में बदल सकते थे। इस व्यवस्था ने पीड़ितों को तरल दावा दिया, लेकिन साथ ही उन पर यह जोखिम भी डाल दिया कि एक्सचेंज बचेगा या नहीं और वह अपने दायित्वों को पूरा कर पाएगा या नहीं।

अप्रैल 2017 तक Bitfinex ने घोषणा कर दी थी कि सभी BFX टोकन या तो उनके डॉलर में अंकित मूल्य पर वापस खरीद लिए गए हैं या शेयरों में बदल दिए गए हैं। इसलिए पूरे मुआवजे के दावे का अर्थ ध्यान से समझना ज़रूरी है। ग्राहक को उतने ही बिटकॉइन वापस नहीं मिले जितने शुरू में खोए थे, जबकि इस बीच उनकी कीमत बढ़ सकती थी। उसे घटना के बाद कंपनी की बनाई व्यवस्था के अनुसार मूल्य मिला।

कुछ ग्राहकों ने टोकन को पहले ही छूट के साथ बेच दिया था, जबकि अन्य इसे पकड़े हुए थे और अन्य ने शेयरों का विकल्प चुना। उनका आर्थिक अनुभव अलग-अलग था। कंपनी का सभी टोकनों को रिडीम करने का बयान बीएफएक्स के नियमों के अनुसार समझौते को बंद करने का वर्णन करता है, न कि चोरी से पहले की स्थिति में एक समान वापसी का।

इस मामले ने स्व-संरक्षण के लिए एक प्रमुख तर्क के रूप में काम किया। हालांकि, यह भी सही बैकअप और प्रक्रियाओं के बिना सुरक्षा की गारंटी नहीं देता है। अंतर निर्णय लेने के स्थान में है: अपने बटुए के साथ, व्यक्ति सीधे कुंजी के जोखिम को वहन करता है, जबकि एक एक्सचेंज पर, व्यक्ति कुंजी और संकट की योजना दोनों को कंपनी को सौंप देता है, जो खो जाने के बाद उसकी लेखा दावा बदल सकती है।

सभी के लिए समान प्रतिशत लेखांकन के लिहाज़ से सरल लगता था, लेकिन मानवीय परिस्थितियाँ समान नहीं थीं। एक ग्राहक ने एक्सचेंज पर बिटकॉइन रखा था, दूसरे ने डॉलर बैलेंस और तीसरे ने खुली ट्रेडिंग पोज़िशन। इसलिए नुकसान का वितरण तुरंत यह सवाल खड़ा कर दिया कि क्या कंपनी विफलता के बाद भिन्न-भिन्न संपत्तियों को एक सामान्य ऋण-दाव में बदल सकती है। BFX टोकन ने इस दाव को व्यापार योग्य रूप दिया, यह निश्चितता नहीं कि हर कोई आर्थिक रूप से समान चीज़ वापस पाएगा। जब Bitfinex ने बाद में इसे नामांकित डॉलर में खरीद लिया, तो वह सच कह सकता था कि वह देयता चुका चुकी है; फिर भी ग्राहक परिणाम की तुलना उस बिटकॉइन की मात्रा से कर सकता था जो उसके खाते से काटी गई थी। दोनों वाक्य एक साथ सच हो सकते हैं।

चोरी किए गए बिटकॉइन उन पतों पर रहे जिन्हें कोई भी विश्लेषक देख सकता था। जनता देख सकती थी कि भंडार का कोई हिस्सा कब हिला, लेकिन स्वयं लेनदेन ग्राफ में अपराधी का नाम नहीं था। पता एक छद्मनाम है, पहचान पत्र नहीं, और एक व्यक्ति हजारों पते बना सकता है।

अमेरिकी न्याय विभाग के अनुसार, जांचकर्ताओं ने जटिल श्रृंखलाओं, फर्जी पहचान वाले खातों, संपत्तियों के बीच आदान-प्रदान और मिक्सर्स के रूप में जानी जाने वाली सेवाओं के माध्यम से स्थानांतरणों का पालन किया। न्यायिक दस्तावेजों के अनुसार, आय का एक हिस्सा सोने की खरीद के लिए भी उपयोग किया गया था। प्रत्येक अतिरिक्त चरण में सिक्कों को ज्ञात स्रोत से अलग करना था, लेकिन साथ ही साथ नए स्थान भी जोड़े गए जहां एक निशान पैदा हो सकती थी।

Bitcoin मिश्रण इनपुट और आउटपुट के सरल आवंटन को कठिन कर सकता है, परंतु सभी आस-पास के डेटा को मिटा नहीं देता। विनिमय केंद्र लॉगिन और पहचान डेटा संग्रहीत करते हैं, क्लाउड सेवाएँ रिकॉर्ड रखती हैं, और जब्त किए गए उपकरण में ऐसे फ़ाइलें हो सकती हैं जो सूडोनिम पता को किसी विशिष्ट व्यक्ति से जोड़ती हैं। चेन विश्लेषण पहेली का एक हिस्सा था, स्वतः प्रकटीकरण नहीं।

फरवरी में 2022 अमेरिकी अधिकारियों ने इल्या लिख्टेनस्टीन और हीदर मॉर्गन की गिरफ्तारी और लगभग 95 000 बीटीसी की जब्ती की घोषणा की। इतनी बड़ी मात्रा में सिक्कों तक पहुंच जांच के दौरान पाए गए निजी कुंजियों के कारण संभव हुई। कुंजियों के बिना, पते की जानकारी सरकार को संसाधनों को स्थानांतरित करने की क्षमता प्रदान नहीं करती।

जब्ती ने एक नया कानूनी समस्या पैदा कर दी: जिन संपत्तियों की संख्या समान है, लेकिन उनका डॉलर मूल्य नाटकीय रूप से बदल गया है, उन पर कौन दावा कर सकता है? मूल ग्राहक, एक्सचेंज और अन्य लेनदारों के पास अलग-अलग तर्क हो सकते थे। अधिकारियों के हाथों में ऑन-चेन स्वामित्व ने न्यायसंगत वितरण के बारे में निर्णय नहीं लिया; यह न्यायालयों और कानूनी प्रक्रियाओं का काम बना रहा।

लिख्टेनस्टीन ने वर्ष 2023 में स्वीकार किया कि उन्होंने बिटफिनेक्स को हैक किया और बाद में चोरी की गई संपत्ति को धोया। मॉर्गन ने आय के धोने में भाग लेने की बात स्वीकार की। यह स्वीकृति पहले के आरोपों को अदालत द्वारा प्रमाणित भूमिका से अलग करती है: यह केवल एक जोड़ी नहीं थी जो कुंजी के पास पाई गई थी, बल्कि वे लोग थे जिन्होंने विशिष्ट कार्यों के लिए जिम्मेदारी स्वीकार की।

नवंबर 2024 में लिचटेंस्टीन को पाँच वर्ष की कैद की सजा मिली। यह फैसला चोरी के आठ वर्ष बाद आया। लंबा अंतराल सार्वजनिक लेजर के दोनों पक्षों को दिखाता है: जाँच वर्षों तक चल सकती है, लेकिन इस बीच ऐतिहासिक डेटा बदला नहीं जा सकता और पुराने लेनदेन का नई जानकारी के साथ फिर से विश्लेषण किया जा सकता है।

इस कहानी का उपयोग अक्सर यह साबित करने के लिए किया जाता है कि बिटकॉइन गुमनाम नहीं है। अधिक सटीक शब्द है प्सेव्डोनिमिता। ब्लॉकचेन हमेशा राशियों और पते के बीच संबंधों को दिखाता है, लेकिन पहचान तब जुड़ती है जब इसे बाहरी दुनिया से जोड़ा जाता है। यदि कोई व्यक्ति कोई लिंक नहीं बनाता है, तो श्रृंखला में नाम नहीं होता है। यदि वह लिंक बनाता है, तो यह वर्षों पुरानी इतिहास को भी उजागर कर सकता है।

ब्लॉकचेन का विश्लेषण इसलिए सर्वज्ञ कैमरा नहीं है। यह संभावनाओं, पैटर्न और संस्थानों से डेटा के साथ काम करता है। बिटफिनेक्स मामले में, सार्वजनिक लेनदेन के अलावा अदालती आदेश, एक्सचेंज रिकॉर्ड, क्लाउड डेटा और जब्त की गई कुंजी वाला फ़ाइल जोड़ा गया था। केवल योग ही ग्राफ से व्यक्तियों तक और ट्रैकिंग से जब्ती तक जाने की अनुमति देता है।

बिटफिनेक्स हैक तीन अलग-अलग कहानियों को जोड़ता है, जिन्हें अलग-अलग रखना आवश्यक है: 2016 वर्ष में कस्टोडियल सेवा की विफलता, कंपनी का विभाजन और नुकसान की भरपाई, और बाद में मनी लॉन्ड्रिंग की आपराधिक जांच। ब्लॉकचेन ने सभी हिस्सों को एक स्थायी निशान से जोड़ा, लेकिन किसी को भी स्वयं हल नहीं किया। यह लेन-देन को नहीं भूला; लोगों को यह पता लगाने की आवश्यकता थी कि वे क्या मतलब रखते हैं और किसे वर्षों बाद जिम्मेदारी दी जानी चाहिए।

इसलिए यह मामला उस सरल शिक्षा को अस्वीकार करता है कि सार्वजनिक ब्लॉकचेन या तो पूर्ण गुमनामी सुनिश्चित करता है, या इसके विपरीत हर किसी को उजागर कर देता है। पते दिखाई देते हैं, लेकिन उनमें नाम लिखे नहीं होते। जाँच को तब ही अर्थ मिला जब ऑन-चेन गतिविधियों को सेवाओं के खातों, दस्तावेज़ों, उपकरणों और अंततः उन कुंजियों से जोड़ा गया जो सिक्कों को हटाने की अनुमति देती थीं। हर अगला कदम अनुमान को मजबूत कर सकता था या खारिज कर सकता था। चेन ट्रेसिंग एक नक्शा था, फ़रमान नहीं। बिल्कुल यही धीमापन चोरी और बड़े जब्त के बीच छह वर्षों के अंतराल की व्याख्या करता है: निशान बने रहे, लेकिन उसे पहचान और प्रमाण में बदलने के लिए ब्लॉकचेन के बाहर काम और ऐसी प्रक्रियाएँ चाहिए थीं जो अदालत में टिक सकें।