বাইন্যান্স হ্যাক: ১৫ ডলারের অনুমতিতে এক লেনদেনেই ২৫০ কোটি ডলার লুট

ক্রিপ্টো ইতিহাসের সবচেয়ে বড় চুরির ঘটনা হিসেবে আলোচিত বাইন্যান্স হ্যাকের কারিগরি রহস্য আরও স্পষ্ট হয়েছে। শুক্রবার (৬ নভেম্বর ২০২৬) ব্লুমবার্গ ব্লকচেইন নিরাপত্তা প্রতিষ্ঠান ব্লকএইডের বিশ্লেষণ উদ্ধৃত করে জানিয়েছে, হ্যাকাররা মাত্র প্রায় ১৫ মার্কিন ডলার নেটওয়ার্ক ফি দিয়ে ইথেরিয়াম ব্লকচেইনে একটি ‘অনুমতি’ তৈরি করে। এর সাড়ে তিন মিনিটের মাথায় একটিমাত্র লেনদেনে বাইন্যান্সের একটি বড় হট ওয়ালেট থেকে প্রায় ২৫০ কোটি ডলারের সম্পদ সরিয়ে নেওয়া হয়। বাইন্যান্সও স্বীকার করেছে, ইথেরিয়ামের ‘ইআইপি-৭৭০২’ নামের একটি সুবিধা এই হামলায় উল্লেখযোগ্য ভূমিকা রেখেছে।

পটভূমি: ২৯ অক্টোবরের রাত

গত ২৯ অক্টোবর (বৃহস্পতিবার) গ্রিনিচ মান সময় রাত আটটার পর থেকে বাইন্যান্সের একাধিক ওয়ালেট থেকে অস্বাভাবিকভাবে অর্থ বের হতে শুরু করে। প্রায় ১০টি ব্লকচেইন নেটওয়ার্কে ছড়ানো এই হামলায় সব মিলিয়ে প্রায় ৬৩০ কোটি ডলারের ডিজিটাল সম্পদ বেহাত হয়েছে বলে বাইন্যান্সের প্রাক্কলন। এর আগে ক্রিপ্টো খাতের সবচেয়ে বড় চুরি ছিল ২০২৫ সালের ফেব্রুয়ারিতে বাইবিট এক্সচেঞ্জ থেকে প্রায় ১৫০ কোটি ডলার হাতিয়ে নেওয়ার ঘটনা।

৩১ অক্টোবর যুক্তরাষ্ট্রের কেন্দ্রীয় তদন্ত সংস্থা এফবিআই আনুষ্ঠানিকভাবে এই হামলার জন্য উত্তর কোরিয়াকে দায়ী করে। সংস্থাটির ভাষ্য, ‘ট্রেডারট্রেইটর’ নামে পরিচিত উত্তর কোরীয় হ্যাকার দল এর পেছনে রয়েছে। এর আগে ব্লকচেইন বিশ্লেষণ প্রতিষ্ঠান টিআরএম ল্যাবস ও চেইনঅ্যানালাইসিসও একই ইঙ্গিত দিয়েছিল।

যেভাবে কাজে লাগানো হলো ইআইপি-৭৭০২

ইআইপি-৭৭০২ হলো ২০২৫ সালের মে মাসে ইথেরিয়ামে চালু হওয়া একটি হালনাগাদ। এর মাধ্যমে একটি সাধারণ ওয়ালেট সাময়িকভাবে কোনো সফটওয়্যার বা স্মার্ট কন্ট্র্যাক্টকে নিজের হয়ে লেনদেন করার অধিকার দিতে পারে। উদ্দেশ্য ছিল ওয়ালেট ব্যবহার সহজ করা, যেমন একসঙ্গে একাধিক লেনদেন করা বা অন্য কাউকে ফি পরিশোধের সুযোগ দেওয়া।

ব্লকএইডের বিশ্লেষণ অনুযায়ী, হামলাকারীরা ঠিক এই সুবিধাটিকেই অস্ত্র বানিয়েছে। তারা বাইন্যান্সের ‘বাইন্যান্স ১৪’ নামে পরিচিত হট ওয়ালেটের ওপর নিজেদের নিয়ন্ত্রিত কোডকে কাজ করার অনুমতি দেয়। ফলে এক্সচেঞ্জের নিরাপত্তাব্যবস্থা সাধারণত যে ধাপে ধাপে উত্তোলন প্রক্রিয়া নজরে রাখে, তা এড়িয়ে একবারেই বিপুল সম্পদ সরানো সম্ভব হয়। সবচেয়ে উদ্বেগের বিষয়, অনুমতিটি সরাসরি ব্লকচেইনে লেখা ছিল। তাই বাইন্যান্স তার অভ্যন্তরীণ উত্তোলন সেবা বন্ধ করলেও অনুমতিটি সঙ্গে সঙ্গে বাতিল হয়নি; পরে আরও কয়েক দফায় ওই ওয়ালেট থেকে অর্থ সরানো হয়।

বাইন্যান্সের প্রাথমিক তদন্তে বলা হয়েছিল, হামলাকারীরা প্রতিষ্ঠানের অভ্যন্তরীণ ওয়ালেট-স্বাক্ষর সেবায় অননুমোদিত প্রবেশাধিকার পেয়েছিল এবং এক প্রকৌশলীর ল্যাপটপ সম্ভাব্য প্রবেশপথ হতে পারে। তবে ওয়ালেটের প্রাইভেট কি ফাঁস হওয়ার প্রমাণ পাওয়া যায়নি বলে দাবি প্রতিষ্ঠানটির।

এক নজরে হামলার তথ্য-উপাত্ত

গ্রাহকের অর্থ ও বাজারে প্রভাব

বাইন্যান্স জানিয়েছে, গ্রাহকদের কোনো ক্ষতি বহন করতে হবে না। প্রতিষ্ঠানটির জরুরি তহবিল ‘সেফ’ (সিকিউর অ্যাসেট ফান্ড ফর ইউজারস) ও নিজস্ব অর্থ দিয়ে চুরি যাওয়া সম্পদ পূরণ করা হচ্ছে। ৩ নভেম্বরের হালনাগাদে বাইন্যান্স জানায়, ক্ষতিগ্রস্ত টোকেনের প্রায় ৯৮ শতাংশ পূরণ করা হয়েছে এবং সেগুলোর উত্তোলন আবার চালু হয়েছে। প্রায় ৫৪ ঘণ্টা বন্ধ থাকার পর ১ নভেম্বর থেকে ধাপে ধাপে উত্তোলন চালু হয়।

হামলা-পরবর্তী পদক্ষেপ হিসেবে বাইন্যান্স সংশ্লিষ্ট অনুমতি বাতিল, ওয়ালেট অবকাঠামো নতুন করে তৈরি এবং এ ধরনের ডেলিগেশন লেনদেনে নজরদারি কঠোর করার কথা জানিয়েছে। স্বাধীন সাইবার নিরাপত্তা নিরীক্ষার পরিকল্পনাও রয়েছে। স্টেবলকয়েন ইস্যুকারী টেথার ও সার্কেল নিজেদের মুদ্রা জব্দ করতে পারলেও বিটকয়েন বা ইথারের মতো সম্পদ কোনো কেন্দ্রীয় কর্তৃপক্ষ আটকাতে পারে না। তাই এ অংশ উদ্ধার কঠিন বলে মনে করছেন বিশ্লেষকেরা।

বিশ্লেষণ: সুবিধাই যখন দুর্বলতা

এই ঘটনার বড় শিক্ষা হলো, ব্লকচেইনের মূল প্রযুক্তি ভাঙা না হলেও তার ওপর তৈরি সুবিধা ও প্রতিষ্ঠানের অভ্যন্তরীণ ব্যবস্থাই হতে পারে সবচেয়ে দুর্বল জায়গা। ওয়ালেটকে ‘স্মার্ট’ করার জন্য যে সুবিধা আনা হয়েছিল, ভুল হাতে পড়ায় সেটিই কোটি কোটি ডলারের দরজা খুলে দিয়েছে। নিরাপত্তা বিশেষজ্ঞদের মতে, এক্সচেঞ্জগুলোকে এখন শুধু নিজস্ব সার্ভার নয়, ব্লকচেইনে দেওয়া প্রতিটি অনুমতিও নিয়মিত পর্যবেক্ষণ করতে হবে। যুক্তরাষ্ট্রের নিয়ন্ত্রক সংস্থাগুলোও এ ঘটনার পর ব্যাংক খাতের ঝুঁকি মূল্যায়ন করছে বলে খবর বেরিয়েছে।

পাঠকের প্রশ্নোত্তর

প্রশ্ন: সাধারণ ব্যবহারকারীর ওয়ালেটও কি এভাবে ঝুঁকিতে?
উত্তর: হ্যাঁ, অজানা ওয়েবসাইট বা অ্যাপে ‘অনুমোদন’ বা ‘সাইন’ বাটনে চাপ দিলে একই ধরনের অনুমতি দিয়ে ফেলার ঝুঁকি থাকে। কোনো লেনদেনে স্বাক্ষরের আগে কী অনুমতি দিচ্ছেন তা ভালোভাবে পড়ুন এবং পুরোনো অনুমতি নিয়মিত বাতিল করুন।

প্রশ্ন: বাংলাদেশের মানুষের জন্য এর তাৎপর্য কী?
উত্তর: বাংলাদেশে ক্রিপ্টোকারেন্সি লেনদেনের আইনি স্বীকৃতি নেই এবং বাংলাদেশ ব্যাংক এ বিষয়ে একাধিকবার সতর্ক করেছে। বিদেশি প্ল্যাটফর্মে বিনিয়োগ করলে হ্যাকিং বা প্রতারণায় ক্ষতির ক্ষেত্রে দেশে আইনি প্রতিকার পাওয়ার সুযোগ সীমিত।

প্রশ্ন: হ্যাকের নামে প্রতারণার ঝুঁকি আছে কি?
উত্তর: আছে। বাইন্যান্সের সহপ্রতিষ্ঠাতা ই হে সতর্ক করেছেন, ক্ষতিপূরণ বা ‘ক্যাশ ভাউচার’ দেওয়ার কোনো প্রচারণা নেই। এমন বার্তা বা লিংক পেলে এড়িয়ে চলাই নিরাপদ।

তথ্যসূত্র: ব্লুমবার্গ (দ্য এজ মালয়েশিয়া, ওওডিএলুপ), ব্লকএইড, বাইন্যান্সের হালনাগাদ (নিউজবাইটস), এফবিআই (এপি, ব্লিপিংকম্পিউটার), স্টেলথইএক্স