২০ মিনিটে ঘটল বিশ্বের সবচেয়ে বড় ক্রিপ্টো হ্যাকিং, কিন্তু কীভাবে?
চুরি করা তহবিলের কিছু অংশ জামানত হিসেবে রাখা হলেও প্রায় ২৪০ কোটি ডলারের বিটকয়েন ও ইথার এখন আর নাগালের মধ্যে নেই।
বিশ্বের সবচেয়ে বড় ক্রিপ্টোকারেন্সি এক্সচেঞ্জ বাইন্যান্সে হামলা চালিয়ে ৬৩০ কোটি ডলারের ডিজিটাল সম্পদ হাতিয়ে নিয়েছে হ্যাকাররা, যা ক্রিপ্টো ইতিহাসে এযাবৎকালের সবচেয়ে বড় চুরির ঘটনা।
এক্সচেঞ্জ কর্তৃপক্ষের বার্তা ও ব্লকচেইন লেনদেনের তথ্য বিশ্লেষণ করে বিশেষজ্ঞরা বলছেন, ব্যবহারকারীদের নিয়মিত লেনদেন প্রক্রিয়ায় বাইন্যান্স যেসব ওয়ালেট ব্যবহার করত, তা থেকেই মোটা অংকের এ ক্রিপ্টোকারেন্সি সরিয়ে নিয়েছে হ্যাকাররা।
এক্সে দেওয়া এক বিবৃতিতে বাইন্যান্স জানিয়েছে, প্রথমে তারা ধারণা করেছিল, একটি হ্যাক হওয়া ল্যাপটপের মাধ্যমে এই হামলা চালানো হয়েছে। তবে তদন্তে নিরাপত্তা ব্যবস্থায় আরও কয়েকটি দুর্বলতার সন্ধান পাওয়া গেছে। এ বিষয়ে বিস্তারিত কিছু জানায়নি বাইন্যান্স।
ব্রিটিশ সংবাদমাধ্যম ইনডিপেনডেন্ট লিখেছে, গ্রাহকদের সম্পদ সুরক্ষায় বাইন্যান্সের নিজস্ব একটি তহবিল রয়েছে। কোম্পানির ওয়েবসাইটের তথ্য অনুযায়ী, নিরাপত্তা লঙ্ঘনের ঘটনায় গ্রাহকদের সুরক্ষা দিতে এই তহবিলে ১০০ কোটি ডলারের বিটকয়েন সংরক্ষিত আছে।
কোম্পানির কো-সিইও রিচার্ড টেং বলেছেন, এ সাইবার হামলায় যে ক্ষতি হয়েছে, তা ওই সুরক্ষা তহবিল ও কোম্পানির নিজস্ব সম্পদ থেকে পূরণ করা হবে।
যুক্তরাষ্ট্রভিত্তিক ব্লকচেইন বিশ্লেষক কোম্পানি ‘টিআরএম ল্যাবস’ বলেছে, লেনদেন অনুমোদনের জন্য ব্যবহৃত বাইন্যান্সের ‘সাইনিং ইনফ্রাস্ট্রাকচার’ বা ডিজিটাল স্বাক্ষর অবকাঠামোর নিয়ন্ত্রণ পেয়ে গিয়েছিল হ্যাকাররা। এর ফলে তারা আক্রান্ত ওয়ালেটগুলোর সব সম্পদ খালি করে নেওয়ার সুযোগ পায়।
ব্লকচেইন রেকর্ড পর্যালোচনা করে দেখা গেছে, স্থানীয় সময় বৃহস্পতিবার রাত ৮টার কিছু পরে ওই চুরির কাজ শুরু হয়। মোটামুটি ২০ মিনিটের মধ্যে তহবিলের বড় অংশ সরিয়ে ফেলে হ্যাকাররা।
অর্থ সরিয়ে নেওয়ার পর হ্যাকাররা দ্রুত সেগুলো এমন জায়গায় স্থানান্তরের চেষ্টা করে, যেখানে বাইন্যান্সের সহযোগী প্রতিষ্ঠান বা স্টেবলকয়েন ইস্যুকারীরা সেগুলো জব্দ করতে পারবে না।
তবে পরিস্থিতি টের পেয়ে স্টেবলকয়েন সরবরাহকারীরা চুরি যাওয়া মোট সম্পদের প্রায় অর্ধেক তাৎক্ষণিকভাবে জব্দ করতে সক্ষম হয়েছে।
টিথার ও সার্কল-এর মতো প্রধান স্টেবলকয়েনগুলোর অন্যতম বৈশিষ্ট্য হচ্ছে, এসব ডিজিটাল মুদ্রার ইস্যুকারী কোম্পানিগুলো চাইলে দূর থেকেই যে কোনো ডিজিটাল সম্পদ বা লেনদেন ফ্রিজ করে দিতে পারে।
ক্রিপ্টো সংক্রান্ত মামলা নিয়ে কাজ করা হংকংয়ের আইনজীবী জোশুয়া চু বিষয়টি ব্যাখ্যা করে বলেন, “সহজ ভাষায় বললে, আক্রমণকারী হয়ত সরাসরি ভল্টের চাবি চুরি করেনি, বরং তারা ভল্টকে অর্থ ছেড়ে দেওয়ার নির্দেশ প্রদানকারী মূল সিস্টেমটিকেই নিজেদের নিয়ন্ত্রণে নিয়েছিল।”
নেপথ্যে কারা?
বেশ কয়েকটি মার্কিন ব্লকচেইন বিশ্লেষক কোম্পানি বলেছে, এই হ্যাকিংয়ের সঙ্গে উত্তর কোরিয়ার হ্যাকারদের আগের কিছু হামলার মিল রয়েছে।
তবে বাইন্যান্সের সহ-প্রধান নির্বাহী রিচার্ড টেং বলেছেন, তাদের তদন্তে এখনও হ্যাকারদের সুনির্দিষ্টভাবে শনাক্ত করা সম্ভব হয়নি।
উত্তর কোরিয়া বরাবরই সাইবার হামলা ও ক্রিপ্টোকারেন্সি চুরির সঙ্গে নিজেদের সংশ্লিষ্টতার কথা অস্বীকার করে আসছে।
ইনডিপেনডেন্ট লিখেছে, জেনিভা ও চীনে উত্তর কোরিয়ার কূটনৈতিক মিশন এ বিষয়ে মন্তব্যের অনুরোধে কোনো সাড়া দেয়নি।
টিআরএম ল্যাবস বলেছে, গেল বছর ক্রিপ্টো এক্সচেঞ্জ ‘বাইবিট’-এ হওয়া হামলার সঙ্গে এবারের সাইবার হামলার কৌশলগত মিল রয়েছে। এ হামলাকে উত্তর কোরিয়ার হ্যাকারদের কাজ হিসেবে চিহ্নিত করেছিল মার্কিন গোয়েন্দা সংস্থা এফবিআই।
বাইন্যান্সের এ চুরির পেছনেও একই গ্রুপ সক্রিয় ছিল বলে টিআরএম ল্যাবসের ধারণা।
আরেক মার্কিন ব্লকচেইন বিশ্লেষণকারী কোম্পানি ‘চেইনালাইসিস’ বলেছে, গত মাসে ‘বিটগেট’ নামের আরেক এক্সচেঞ্জে হামলার মাধ্যমে চুরি হওয়া ক্রিপ্টো তহবিলের সঙ্গে বাইন্যান্সের এ চুরির অর্থ ‘মিক্সিং’ বা একত্র করা হচ্ছে।
কোথায় গেল চুরি হওয়া অর্থ?
চুরি যাওয়া ক্রিপ্টো সম্পদের প্রায় অর্ধেকই ছিল বিভিন্ন স্টেবলকয়েন, যা এরইমধ্যে টিথার, সার্কল, রিপল ও ট্রাম্প পরিবারের ক্রিপ্টো উদ্যোগ ‘ওয়ার্ল্ড লিবার্টি ফাইনান্সিয়াল’-এর মতো ইস্যুকারী কোম্পানিগুলো দূর থেকে ফ্রিজ করে দিয়েছে।
স্টেবলকয়েন ফ্রিজ করার মানে এই নয় যে, ওই অর্থ সরাসরি বাইন্যান্সের কাছে ফেরত চলে আসবে। তবে এর ফলে হ্যাকারদের পক্ষে ওই সম্পদ ভাঙানো বা নগদে রূপান্তর করার সুযোগ অনেকটাই সীমিত হয়েছে।
টিআরএম ল্যাবস বলেছে, চুরি করা তহবিলের কিছু অংশ এরইমধ্যে ইথার ঋণ বা ধার নেওয়ার জন্য জামানত হিসেবে রাখা হয়েছে এবং প্রায় ২৪০ কোটি ডলারের বিটকয়েন ও ইথার এখন আর নাগালের মধ্যে নেই।
ক্রিপ্টোকারেন্সির দুনিয়ায় ‘ইথার ঋণ নেওয়া’ বলতে বোঝায় অন্য কোনো ক্রিপ্টোকারেন্সি বা ডিজিটাল সম্পদ জামানত বা বন্ধক রেখে তার বদলে ‘ইথার’ ধার নেওয়া।
সিঙ্গাপুরভিত্তিক ব্লকচেইন ইন্টেলিজেন্স ফার্ম ‘চেইনআর্গোস’-এর জেনারেল কাউন্সেল প্যাট্রিক তান বলেন, “বিটকয়েন বা ইথার কোনো নির্দিষ্ট কোম্পানি ইস্যু করে না। ফলে এককভাবে কোনো কোম্পানির পক্ষে এগুলো ফ্রিজ করা সম্ভব নয়।
“বিটকয়েন ও ইথার তখনই আটকানো সম্ভব যখন হ্যাকাররা তা এমন কোনো এক্সচেঞ্জ বা ব্রোকারের কাছে পাঠায়, যারা তা ফ্রিজ করতে সক্ষম বা আগ্রহী। অথবা আইন প্রয়োগকারী সংস্থা যদি কোনোভাবে ডিজিটাল ওয়ালেটের প্রাইভেট কি উদ্ধার করতে পারে, তাহলেও সম্ভব।”
বাজার বিশ্লেষকরা বলছেন, হ্যাকাররা চুরি করা বিভিন্ন কয়েন অন্য ডিজিটাল সম্পদের সঙ্গে মিশিয়ে ফেলবে বা অপরিচিত কোনো এক্সচেঞ্জ ব্যবহার করে পাচার করার চেষ্টা করবে।
স্টেবলকয়েন অবকাঠামো বিষয়ক কোম্পানি ‘ট্রেস ফাইন্যান্স’-এর প্রধান নির্বাহী বের্নার্দো ব্রিটেস বলেন, “সময় যত গড়াবে এই অর্থ অন্য কোনো এক্সচেঞ্জ বা পেমেন্ট সেবাদাতাদের মাধ্যমে পাচার করা হ্যাকারদের জন্য ততটাই কঠিন হয়ে পড়বে। কারণ এসব ওয়ালেট বা ফান্ডকে স্থায়ীভাবে কালো তালিকাভুক্ত করে ফেলা হয়।
“বাস্তবতা হচ্ছে, হ্যাকিংয়ের মাধ্যমে পাওয়া ফান্ডের বড় অংশ কেবল প্রথম কয়েক ঘণ্টার মধ্যেই পাচার করা সম্ভব হয়। তবে সেই সময় পার হয়ে গেলে খাত সংশ্লিষ্ট সব পক্ষই জেনে যায় যে এগুলো চুরি যাওয়া সম্পদ। ফলে বছরের পর বছর ধরে সেগুলো ওয়ালেটে নিষ্ক্রিয়ভাবে পড়ে থাকে।”
এখন কী?
ডিজিটাল সম্পদ চুরির ধারাবাহিক ঘটনার সর্বশেষ সংযোজন বাইন্যান্সে এই হামলা।
টিআরএম ল্যাবসের তথ্য অনুসারে, গত বছর প্রায় ১৫০টি আলাদা সাইবার হামলায় বিশ্বজুড়ে ২৯০ কোটি ডলারের ক্রিপ্টোকারেন্সি চুরি হয়েছিল।
সর্বশেষ এই বড় চুরির ঘটনা পুরো ক্রিপ্টো বাজারের আত্মবিশ্বাসকে নাড়িয়ে দিয়ে গেল।
শুক্রবার প্রধান প্রধান ক্রিপ্টোকারেন্সির দাম কমার পাশাপাশি স্টেবলকয়েনের সার্বিক বাজারদর কমেছে, যা থেকে ইঙ্গিত মেলে, বিনিয়োগকারীরা ডিজিটাল সম্পদ থেকে দ্রুত নিজেদের অর্থ তুলে নিচ্ছেন।