আক্রমণকারীরা সুযোগ পাওয়ার আগেই হোয়াইট হ্যাটরা এনএফটি থেকে ৫.৭ মিলিয়ন ডলার তুলে নিয়েছে

কিছুই না দিয়ে হঠাৎ হাজার হাজার NFT স্থানান্তর

অনচেইনে দৃশ্যটা ভয়াবহ লাগছিল। হাজার হাজার NFT শত শত ওয়ালেট থেকে বেরিয়ে যাচ্ছিল, আর প্রতিটি ট্রান্সফারই ঠিক ০ ETH-এ ম্যাজিক ইডেন সেল হিসেবে দেখা যাচ্ছিল।

NFT ট্র্যাকার সাইরাস ২৫ সেপ্টেম্বর ভোরে সতর্কতা দেয়, যখন তারা ৩,৮৩২টি NFT একটি একক ওয়ালেটে যেতে দেখে। কয়েক মিনিট পরই ইউগা ল্যাবসের VP অব ব্লকচেইন 0xQuit টুইস্টসহ এগিয়ে আসে: “হেই, হ্যাঁ—এটা একটা হোয়াইটহ্যাট এবং [ওয়ালেট 0x71cF]-এ যা কিছু আছে সব নিরাপদ, আর ঝুঁকি না থাকলেই এগুলো ফেরত দেওয়া হবে।” উদ্ধার অভিযানটি প্রথমে যতটা ভাবা হয়েছিল, তার চেয়ে অনেক বড় ছিল।

পুরোনো অনুমোদনই পরে কাল হয়

পরে 0xQuit বলেছে, Limit Break-এর Payment Processor-এ একটি দুর্বলতা আবিষ্কারের পর হোয়াইট-হ্যাটরা ২৩,১৫৫টি NFT সুরক্ষিত করেছে, যার মূল্য ৫.৭ মিলিয়ন ডলারেরও বেশি। ম্যাজিক ইডেন আগে ইথেরিয়াম ট্রেডের জন্য এই প্রোটোকল ব্যবহার করত, পরে মার্চে তাদের EVM মার্কেটপ্লেস বন্ধ করে দেয়। মার্কেটপ্লেসটি উধাও হয়ে গেল। কিছু ওয়ালেট অনুমোদন (approval) কিন্তু রয়ে গেল।

0xQuit-এর মতে, একজন আক্রমণকারী প্রথমে ১০টি Meebit নন-ফাঞ্জিবল টোকেন, ৫০টি Otherdeeds, ১০টি World of Women NFT, এবং ২৩৫টি Desperate Apewives চুরি করে। বড় পরিসরের এক্সপোজার স্পষ্ট হওয়ার পর, হোয়াইট-হ্যাটরা আক্রমণকারীরা পৌঁছানোর আগেই ঝুঁকিপূর্ণ NFT-গুলোকে হেফাজতে সরিয়ে নিতে শুরু করে।

আরও একটি ফাঁদ ছিল। একই দুর্বলতাটি নাকি WETH-এর বিরুদ্ধেও ব্যবহার করা যেতে পারত, এবং আনুমানিক ৬৬০ WETH উদ্ধার করা যায়নি। 0xQuit এটিকে বর্ণনা করেছে “$1.7M in WETH I wasn’t fast enough for”—অর্থাৎ “WETH-এর $1.7M-এর ক্ষেত্রে আমি যথেষ্ট দ্রুত হতে পারিনি।”

মালিকদের এখনও অনুমোদন বাতিল করতে হবে

উদ্ধার অভিযানটি স্বয়ংক্রিয়ভাবে সেই ঝুঁকিপূর্ণ অনুমোদনগুলোকে নিষ্ক্রিয় করে না। যারা আগে ম্যাজিক ইডেন-এর ইথেরিয়াম মার্কেটপ্লেসে ইন্টারঅ্যাক্ট করেছিলেন, তাদের ইথেরিয়ামে Limit Break Payment Processor V2 অনুমোদন এবং ApeChain-এ V3 অনুমোদন বাতিল (revoke) করতে বলা হয়েছে।

উদ্ধার করা NFT-গুলো আক্রান্ত মালিকরা সেই অনুমতিগুলো বাতিল করার পর ফেরত দেওয়ার কথা, তবে প্রকাশ্যে কোনো ক্লেইম তারিখ ঘোষণা করা হয়নি। শুক্রবার ইস্টার্ন সময় সকাল ৬:৪৪ মিনিটে ম্যাজিক ইডেন কী ঘটেছে তা সংক্ষেপে জানায়। অফিশিয়াল X অ্যাকাউন্ট বলেছে, এক্সপ্লয়েটটি Limit Break-এর Payment Processor V2–কে জড়িত করে, যা ২০২৪ সালে EVM ট্রেড সেটেল করতে মার্কেটপ্লেসটি ব্যবহার করেছিল।

কোম্পানিটি ২০২৪ সালের অক্টোবরে প্রোটোকলটি ব্যবহার বন্ধ করে এবং ২০২৬ সালের প্রথম প্রান্তিকে তাদের EVM মার্কেটপ্লেস বন্ধ করে দেয়। “এই এক্সপ্লয়েটে কোনো লাইভ ম্যাজিক ইডেন লিস্টিং প্রভাবিত হয়নি,” কোম্পানিটি দাবি করেছে, যদিও আনুমানিক ২০২৪ সালের ফেব্রুয়ারি থেকে অক্টোবরের মধ্যে তাদের EVM মার্কেটপ্লেসে লিস্ট করা NFT-গুলো সম্ভাব্যভাবে প্রভাবিত হতে পারে।

ম্যাজিক ইডেন টিম জোর দিয়ে বলেছে, তারা Limit Break-এর সঙ্গে কাজ করছে—যারা প্রোটোকলটির মালিক এবং রক্ষণাবেক্ষণ করে—এবং অতিরিক্ত মিটিগেশন ব্যবস্থা নিয়ে তদন্ত করছে। কোম্পানিটি “হোয়াইট হ্যাট রেসকিউ” এবং দুর্বলতাটি চিহ্নিত করার জন্য 0xQuit-কে কৃতিত্বও দিয়েছে।

যেসব ব্যবহারকারী ম্যাজিক ইডেনের EVM মার্কেটপ্লেস বন্ধ হওয়ার আগে সেখানে NFT লিস্ট বা ট্রেড করেছিলেন, তাদের ইথেরিয়াম, পলিগন এবং বেসে আক্রান্ত Payment Processor V2 কন্ট্র্যাক্টের সঙ্গে সম্পর্কিত অনুমোদনগুলো বাতিল করতে বলা হচ্ছে। ম্যাজিক ইডেন সতর্ক করেছে যে “রিভোক করলে ইতিমধ্যে যে টোকেনগুলো সরে গেছে তা ফেরত আসে না” এবং জোর দিয়েছে যে তাদের তদন্ত এখনও চলমান।