माउंटगॉक्स चुनौतियां और स्पैम्बोट स्मिथ

जैसा कि यहाँ पहले बार बार लिखा जा चुका है, वर्चुअल क्रिप्टोकरेंसी बिटकॉइन कठिन समय से गुजर रहा है। कई हफ्तों के लिए, सबसे पुराने और एक बार सबसे बड़े माउंटगॉक्स एक्सचेंज के उपयोगकर्ताओं ने एक्सचेंज से अपने बिटकॉइन को वापस लेने की कोशिश में कठिनाइयों का अनुभव किया। पिछले कुछ दिनों में, बिटकॉइन द्वारा अनुभव की जाने वाली कठिनाइयां एक नए स्तर पर पहुंच गई हैं।

यह ध्यान दिया जाना चाहिए कि माउंटगॉक्स के साथ समस्याएं पिछले वसंत में शुरू हुईं, जब संयुक्त राज्य में इसके बैंक खाते को एक उपयुक्त लाइसेंस के बिना अवैध धन हस्तांतरण गतिविधियों की जांच के सिलसिले में गिरफ्तार किया गया था। तब से, एक्सचेंज विश्वसनीय बैंकिंग भागीदारों को नहीं पा सकता है, और नियमित रूप से पारंपरिक मुद्रा में भुगतान में देरी करता है। इसके कारण अन्य एक्सचेंजों की तुलना में ध्यान देने योग्य विनिमय दर में अंतर आया, जो कभी-कभी 25% तक पहुंच गया ।

हालांकि, बिटकॉइन की वापसी के संबंध में, एक्सचेंज पहली बार इन समस्याओं का सामना नहीं कर रहा है। बिटकॉइन फाउंडेशन, ग्रेगरी मैक्सवेल (लिंक) के प्रमुख डेवलपर्स में से एक के अनुसार, एक्सचेंज ने पिछले साल सितंबर में इसी तरह की समस्याओं का अनुभव किया था:

मैंने लोगों को पहली बार ~ सितंबर में वापस लेन-देन की रिपोर्टिंग करते हुए सुना। मैंने इस पर ध्यान दिया और निर्धारित किया कि माउंटगॉक्स अपरिपक्व सिक्के खर्च कर रहा था। जब तक वे ब्लॉकचैन में कम से कम 100 ब्लॉक गहरे नहीं हो जाते हैं तब तक ताजा उत्पन्न बिटकॉइन (खनन से) खर्च नहीं किए जा सकते हैं। यदि चेन फिर से मिलती है तो यह धन को हमेशा के लिए गायब होने से बचाता है। मैंने मैजिकटक्स [नोट: मार्क कारपेल्स] को पिंग किया और एक जोड़े की कोशिश के बाद उसे मिला। मुझे लगता है कि समस्या के वास्तविक स्वरूप को ध्यान में लाए जाने से पहले वे इसे समाप्त करने की कोशिश कर रहे मृतकों पर भी कुछ समय बर्बाद करते हैं, उदाहरण के लिए, एक गलत धारणा के साथ अपने लेनदेन की फीस बढ़ाते हुए कि उनकी फीस पर्याप्त नहीं थी।
यदि सिक्कों को नए सिरे से तैयार किया गया था या उनके सॉफ्टवेयर में उनकी ऊंचाई कितनी थी, तो माउंटगॉक्स ट्रैकिंग नहीं कर रहा था। इस डेटा को शामिल करना स्पष्ट रूप से एक गैर-तुच्छ परिवर्तन होगा, और उच्च जोखिम वाले वित्त सॉफ़्टवेयर के लिए भी एक तुच्छ परिवर्तन बहुत काम लेता है। मैंने एक वर्कअराउंड (मूल रूप से, बस सबसे पुराने सिक्कों को खर्च करने की कोशिश) का सुझाव दिया, और जहां तक ​​मुझे पता है कि उन्होंने इसे लागू किया और यह प्रभावी था।

माउंटगॉक्स बिटकॉइन के साथ संचालन करने के लिए बिटकॉइन फाउंडेशन द्वारा प्रदान किए गए संदर्भ सॉफ़्टवेयर का उपयोग नहीं करता है। उनके अनुसार, संदर्भ सॉफ़्टवेयर उनके संस्करणों के लिए उपयुक्त नहीं है। इसके बजाय, वे अपने स्वयं के बटुए का उपयोग करते हैं, जो अफवाहों के अनुसार, मार्क करपेल्स (उर्फ मैजिकिकलक्स) द्वारा व्यक्तिगत रूप से PHP में लिखा गया था - विनिमय के निदेशक। क्रिप्टोकरेंसी को वापस लेते समय, उन्होंने हाल ही में उत्पन्न बिटकॉइन (100 से कम पुष्टि) का उपयोग करने की कोशिश की, जो कि प्रोटोकॉल नियमों द्वारा निषिद्ध है। नतीजतन, इन लेनदेन को अवरुद्ध कर दिया गया और पुष्टि नहीं की गई। इस समस्या को मौलिक रूप से हल करने के लिए, आपको मौजूदा सॉफ़्टवेयर को महत्वपूर्ण रूप से पुनर्निर्मित करना होगा और सिक्कों के प्रत्येक भाग के लिए पुष्टियों की संख्या को ट्रैक करना होगा। सबसे अधिक संभावना है, माउंटगॉक्स ने मौलिक परिवर्तन करने की हिम्मत नहीं की और इसके बजाय आउटगोइंग लेनदेन के लिए सिक्का चयन एल्गोरिदम को बदलकर समस्या को दरकिनार कर दिया - सबसे पुराने सिक्कों को प्राथमिकता दी।

इस बार वे जिस समस्या का सामना कर रहे हैं वह कुछ हद तक समान है। इन समस्याओं की शुरुआत, जाहिर तौर पर, नवंबर की शुरुआत में हुई , और धीरे-धीरे बिगड़े हुए लेन-देन में अपने बटुए "अटक" में अधिक से अधिक बिटकॉइन के रूप में खराब हो गए। रूसी में जो हुआ, उसकी कमोबेश सामान्य व्याख्या पहले ही यहां प्रकाशित हो चुकी थी । मैं केवल कुछ टिप्पणियां करूंगा।

सबसे पहले, निंदनीय लेन-देन "निंदनीय" नहीं हैं, लेकिन "निंदनीय" (मैलेट = हथौड़ा), या, अगर परिभाषा द्वारा अनुवाद किया जाए, तो "विकृत"।

दूसरे, कई निवर्तमान माउंटगॉक्स लेनदेन शुरू में काफी सही नहीं थे, और अधिकांश नेटवर्क नोड्स द्वारा अवरुद्ध थे, क्योंकि उनमें एक गलत प्रारूप में हस्ताक्षर थे। इस लॉक को ग्राहक के संदर्भ कार्यान्वयन में अपेक्षाकृत हाल ही में जोड़ा गया था, और, जाहिर है, सभी नोड्स और नहीं सभी खनिक अपने सॉफ़्टवेयर को अपडेट करने में कामयाब रहे, जिसने माउंटगॉक्स को समय के लिए लेनदेन घटता जारी रखने की अनुमति दी। इसके अलावा, MtGox के पास कुछ खनन पूलों तक सीधी पहुंच है, जिससे उन्हें नेटवर्क अवरुद्ध लेनदेन को बायपास करने की अनुमति मिलती है।

एक तरह से या किसी अन्य, किसी बिंदु पर, किसी ने ध्यान से देखा कि उसका लेन-देन क्यों नहीं हुआ, इसे सही किया (मैलाबिलिटी यह हस्ताक्षर को बदलने के बिना किए जाने की अनुमति देता है) और इसे भेजा। चूंकि लेनदेन रूप में बदल गया है (सामग्री में नहीं), इसका हैश भी बदल गया है, जिसे mtGox ट्रैक करता था। उपयोगकर्ता ने देखा कि सिक्के उसके पते पर पहुंचे, लेकिन माउंटगॉक्स ने यह मानना ​​जारी रखा कि लेनदेन की पुष्टि नहीं हुई है। बाद में, स्वचालित रूप से या मैन्युअल रूप से (मुझे लगता है कि स्वचालित रूप से), माउंटगॉक्स एक ही उपयोगकर्ता को एक नया लेनदेन भेजने की कोशिश करता है। यदि यह नया लेन-देन "गैर-अटक" सिक्कों का उपयोग करता है (जिनमें से शुरू में इतने सारे नहीं थे), तो या तो लेन-देन फिर से सफल होता है (कभी-कभी, संयोग से, हस्ताक्षर सही प्रारूप में था), या उपयोगकर्ता को फिर से लेनदेन को "फिर से" करने की आवश्यकता थी, और उसे एक नया हिस्सा मिला। आपके पते पर सिक्के।

इस प्रकार, यह भेद्यता स्पष्ट, संभव और आसानी से शोषित हो गई है। हैकर को मूल गलत लेनदेन के साथ प्रतिस्पर्धा करने की आवश्यकता नहीं थी, जो पहले से ही नेटवर्क द्वारा अवरुद्ध था; लेन-देन "फोर्जिंग" के ट्रिकी तरीकों का आविष्कार करने की कोई आवश्यकता नहीं थी (जिनमें से कई अब उपलब्ध नहीं हैं)। उसे केवल लेनदेन को "ठीक" करने की आवश्यकता थी।

यह तथ्य कि आप लेन-देन को ट्रैक करने के लिए हैश पर भरोसा नहीं कर सकते हैं , अप्रैल 2011 में वापस जाना गया था। थोड़ी देर बाद, संदर्भ सॉफ़्टवेयर में परिवर्तन किए गए ताकि यह पूरी तरह से लेन-देन आईडी पर निर्भर न हो, लेकिन किसी भी लेन-देन की निगरानी करता है जो संगत आउटपुट का उपभोग करता है (आगे, ये परिवर्तन अपर्याप्त थे)। इसके बावजूद, जनवरी 2014 के अंत तक, माउंटगॉक्स के डेवलपर्स को पता नहीं था कि क्या चल रहा है। कई दिनों की जांच के बाद, 10 फरवरी को, माउंटगॉक्स ने अंततः सभी आउटगोइंग लेनदेन को रोक दिया और अपनी वेबसाइट पर एक घोषणा प्रकाशित की । इसमें, वे संक्षेप में समस्या का तकनीकी विवरण देते हैं और बताते हैं कि यह प्रोटोकॉल में एक महत्वपूर्ण त्रुटि है, और यह कि सभी एक्सचेंज और ऑनलाइन वॉलेट हमलों के लिए अतिसंवेदनशील हो सकते हैं। क्लाइंट के अपने स्वयं के कार्यान्वयन की समस्याओं के बारे में, जिसने हमले को लागू करने में आसान बना दिया, घोषणा में एक शब्द भी नहीं। माउंटगॉक्स अपनी समस्याओं के लिए हर किसी को दोषी ठहराने के लिए इतनी जल्दी में थे कि वे अपनी खामियों, सुस्ती के लिए माफी मांगना भूल गए और, इसे हल्के ढंग से डालने के लिए, असुविधा जो उन्होंने पैदा की और अपने उपयोगकर्ताओं को वितरित करना जारी रखा।

इस बयान के बाद, माउंटगॉक्स ने कुछ प्रमुख डेवलपर्स से व्यक्तिगत रूप से पहले प्रतिक्रिया ली , फिर आधिकारिक बिटकॉइन फाउंडेशन की प्रतिक्रिया क्यों। वे सभी स्वीकार करते हैं कि यह प्रोटोकॉल डिजाइन में एक लंबे समय से ज्ञात दोष है, लेकिन किसी भी तरह से महत्वपूर्ण नहीं है। यह इंगित किया गया है कि इन कठिनाइयों का सामना करने के लिए संदर्भ सॉफ़्टवेयर में लंबे समय तक कोड है, और यह कि माउंटगॉक्स को अपने स्वयं के सॉफ़्टवेयर को ठीक करना चाहिए। बहुत से लोग आश्चर्य करते हैं कि एक्सचेंज से धन की निकासी को अवरुद्ध करने के बहाने के रूप में इसका उपयोग क्यों किया जाता है।

बहुत सारे बिटकॉइनर्स सहमत हैं कि माउंटगॉक्स के इस बयान का मुख्य उद्देश्य बिटकॉइन के नुकसान को कवर करने के लिए कीमत को अस्थिर करना था, ताकि वे अपने स्वयं के एक्सचेंज पर कम कीमत पर खरीद सकें और अन्य एक्सचेंजों पर मध्यस्थता कर सकें।

हालांकि, मज़ा कल शुरू हुआ।

किसी ने बिटकॉइन नेटवर्क पर एक नोड / नोड्स लॉन्च किया, जो सभी लेनदेन को स्वीकार करता है, और औद्योगिक पैमाने पर उन्हें "आगे" करता है। कुछ रिपोर्टों के अनुसार, केवल 11 और 12 फरवरी के दौरान, लगभग 30,000 लेनदेन “उत्परिवर्तित” थे। बिटकॉइन प्रोटोकॉल आपको इस तरह से पैसे चोरी करने की अनुमति नहीं देता है, और हैकर का एकमात्र लक्ष्य, जाहिरा तौर पर बिटकॉइन पर हमला करना है, जिसका उद्देश्य मूल्य को और अस्थिर करना है।

जैसा कि मैंने पहले उल्लेख किया था, संदर्भ प्रोटोकॉल कार्यान्वयन आउटपुट उपयोग को ट्रैक करने के लिए tx id (लेनदेन हैश) पर निर्भर नहीं करता है। हालांकि, इसमें एक विशेषता है जो फोर्जिंग के साथ पूरी तरह से संगत नहीं है। वर्तमान में, बिटकॉइन-क्यूटी आपको पुष्टि के इंतजार किए बिना, तुरंत लेनदेन से "परिवर्तन" खर्च करने की अनुमति देता है। यह माना जाता था कि यह एक सुरक्षित अभ्यास है - क्योंकि परिवर्तन हमेशा हमारे अपने बटुए में चला जाता है। यदि परिवर्तन बनाने वाले लेन-देन की पुष्टि की जाती है, तो बाद में होने वाला लेन-देन परिवर्तन का उपभोग करने वाला सही होगा, और बटुए के समग्र संतुलन का उल्लंघन नहीं किया जाएगा। यदि पहले लेनदेन की पुष्टि नहीं की जाती है, तो परिवर्तन को खर्च करने वाले लेनदेन का कोई मतलब नहीं होगा। फोर्जिंग लेनदेन इस धारणा के लिए अपना समायोजन करता है, क्योंकि एक बदले हुए tx आईडी के साथ एक जाली लेनदेन की पुष्टि की जा सकती है, लेकिन एक लेनदेन जो परिवर्तन का उपभोग करता है, वह इस तथ्य के कारण गलत हो जाता है कि लेनदेन का tx आईडी जिस पर वह निर्भर करता है, बदल गया है।

इस प्रकार, यदि कोई सक्रिय रूप से अपने बटुए से धन खर्च करता है, तो वे इस तथ्य का सामना कर सकते हैं कि शेष राशि सही ढंग से परिलक्षित नहीं होती है, और कुछ लेनदेन कभी भी पूरा नहीं होते हैं। बिटकॉइन नहीं खोए हैं! हालाँकि, यह खर्च किए गए बिटकॉइन के लिए लेखांकन में अराजकता का परिचय देता है, और कुछ मुश्किलें पैदा करता है, क्योंकि "अटका हुआ" लेनदेन मैन्युअल रूप से हटाना आसान नहीं है।

इस समस्या को तत्काल हल करने के लिए एक पैच तैयार किया जा रहा है। समाधान सरल है: कम से कम एक पुष्टिकरण प्राप्त होने तक परिवर्तन को खर्च न करें। मैन्युअल रूप से अटके लेनदेन को "स्पष्ट" करने के लिए एक कमांड भी जोड़ा जाएगा। लंबे समय में, "फोर्जिंग" लेनदेन के लिए संभावनाओं को कम करने का प्रस्ताव किया गया था, हालांकि यह अभी तक स्पष्ट नहीं है कि क्या यह पूरी तरह से समाप्त हो सकता है।

मैं अनुशंसा करता हूं कि आप बिटकॉइन को संदर्भ बिटकॉइन-क्यूटी का उपयोग करके अग्रेषित न करें जब तक कि एक नया रिलीज जारी न हो। यदि, हालांकि, ऐसा करने की तत्काल आवश्यकता है, तो नए लेनदेन करने से पहले कम से कम एक पुष्टि की प्रतीक्षा करें।

अपडेट: बिटकॉइन फाउंडेशन ने आखिरकार बिटकॉइन पर 0.9.0 संदर्भ की एक नई रिलीज की है ।