ছয়টি চেইন জুড়ে ৯.৭ মিলিয়ন ডলার খালি করে দেওয়া হয়েছে ট্রিপল-এ হট ওয়ালেট থেকে: পেকশিল্ড যা খুঁজে পেয়েছে তা হলো

অনচেইন তদন্তকারী প্রথমে ব্রিচটি চিহ্নিত করেন

অনচেইন তদন্তকারী Specter প্রথম ঘটনাটি রিপোর্ট করেন। শনিবার প্রকাশিত একটি Peckshield সতর্কতা অনুযায়ী, সিঙ্গাপুরভিত্তিক ফিয়াট-টু-ক্রিপ্টো পেমেন্ট গেটওয়ে Triple-A-এর সঙ্গে সংশ্লিষ্ট ওয়ালেটগুলো থেকে Ethereum, Tron, Polygon, Arbitrum, Solana এবং The Open Network (TON) জুড়ে তহবিল তুলে নেওয়া হয়েছে।

Triple-A এমন পেমেন্ট অবকাঠামো পরিচালনা করে যা ব্যবসায়ীদের ক্রিপ্টোকারেন্সি গ্রহণ করতে এবং ফিয়াট মুদ্রায় সেটেল করতে দেয়—অর্থাৎ, দ্রুত লেনদেন প্রক্রিয়াকরণের জন্য তাদের হট ওয়ালেটে গ্রাহকের তহবিল এবং তরল স্টেবলকয়েনের ঘূর্ণায়মান একটি পুল থাকে। গতি বজায় রাখতে হট ওয়ালেট ইন্টারনেটের সঙ্গে সংযুক্ত থাকে, কিন্তু এই বিনিময়ে অফলাইন কোল্ড স্টোরেজের তুলনায় এগুলো বেশি ঝুঁকিপূর্ণ।

নিরাপত্তা গবেষকদের পর্যালোচিত অনচেইন ডেটা দেখায়, আক্রমণকারী ডেসেন্ট্রালাইজড এক্সচেঞ্জে চুরি হওয়া স্টেবলকয়েন ও অন্যান্য তরল সম্পদ অদলবদল করার পর আয় Ethereum-এ ব্রিজ করেছে। তহবিলগুলো 0x01F8 দিয়ে শুরু হওয়া একটি একক ঠিকানায় জমা পড়ে, যেখানে শনিবার পর্যন্ত প্রায় ৫,২২৭ ETH ছিল—মূল্য আনুমানিক ৯.৭ মিলিয়ন ডলার।

একত্রিত ওয়ালেটটি একবারে একগুচ্ছ ট্রান্সফার না করে কয়েকটি ধাপে চুরি হওয়া সম্পদ গ্রহণ করেছে—যা অতীতেও দেখা গেছে, যখন অসৎ পক্ষগুলো একাধিক চেইনে পদ্ধতিগতভাবে সম্পদ রূপান্তর করে পরে সেগুলো আবার এক জায়গায় একত্র করে।

সবশেষে, উল্লেখযোগ্য যে Peckshield আগেও এ ধরনের ব্রিজ-টু-Ethereum একত্রীকরণ চিহ্নিত করেছে, যার মধ্যে কয়েক সপ্তাহ আগে Hedera থেকে Ethereum-এ ৫.২৫ মিলিয়ন ডলার ব্রিজ হওয়া সন্দেহভাজন এক্সপ্লয়টও রয়েছে।

পেমেন্ট অবকাঠামোর জন্য পরিচিত এক প্যাটার্ন

Triple-A এ বছর হট ওয়ালেট কমপ্রোমাইজের লক্ষ্যবস্তু হওয়া ক্রিপ্টো পেমেন্ট প্রসেসর এবং এক্সচেঞ্জগুলোর ক্রমবর্ধমান তালিকায় যোগ দিল। Web3 অবকাঠামো প্রতিষ্ঠানে আক্রমণগুলো প্রায়ই একই রকম ধারায় এগোয়—অর্থাৎ, আক্রমণকারীরা একটি হট ওয়ালেটের প্রাইভেট কী বা ভুলভাবে কনফিগার করা স্মার্ট কন্ট্রাক্টে প্রবেশাধিকার অর্জন করে, দ্রুত তরল সম্পদ খালি করে, তারপর কেন্দ্রীভূত প্ল্যাটফর্মগুলো তহবিল ফ্রিজ করতে পারার আগে ডেসেন্ট্রালাইজড এক্সচেঞ্জ (DEX) ও ক্রস-চেইন ব্রিজের মাধ্যমে আয় ধোয়ার চেষ্টা করে।

মে মাসে Gravity Bridge থেকে ৫.৪ মিলিয়ন ডলার তুলে নেওয়ার ঘটনায়ও একই ধরনের প্লেবুক দেখা যায়, যেখানে আক্রমণকারী চুরি হওয়া তহবিল Binance-এর মাধ্যমে রুট করে ট্রেইল অস্পষ্ট করার চেষ্টা করেছিল। শুধু তাই নয়, সাইবারসিকিউরিটি জায়ান্টটি জানিয়েছে যে শিল্পটি কেবল জুন মাসেই ৪০টি পৃথক হ্যাকে ৭৫.৮৭ মিলিয়ন ডলার হারিয়েছে—যা মে মাসের ৮১.৭ মিলিয়ন ডলার থেকে ৭.১৩% কম (এবং হট ওয়ালেট কমপ্রোমাইজ স্মার্ট কন্ট্রাক্ট বাগ ও প্রাইভেট কী লিকের পাশাপাশি সবচেয়ে সাধারণ আক্রমণ ভেক্টরগুলোর মধ্যে রয়েছে)।

কোনো প্রতিকারমূলক ব্যবস্থা নেওয়া হয়নি

ব্রিচটি প্রথম চিহ্নিত হওয়ার আট ঘণ্টারও বেশি সময় পরও Triple-A এখনো কোনো আনুষ্ঠানিক বিবৃতি দিয়ে এক্সপ্লয়ট স্বীকার করেনি বা গ্রাহকের তহবিল—যদি কোনোটি—প্রভাবিত হয়ে থাকে, সে বিষয়ে বিস্তারিত জানায়নি। এই নীরবতা প্রশ্ন রেখে দেয়, Triple-A-এর পেমেন্ট রেল ব্যবহার করা ব্যবসায়ীরা সেটেলমেন্টে কোনো বিঘ্নের মুখোমুখি হয়েছিল কি না, এবং ক্ষতিগ্রস্ত ব্যবহারকারীদের ক্ষতিপূরণ দিতে কোম্পানিটির পর্যাপ্ত রিজার্ভ আছে কি না।

আগামী কয়েক ঘণ্টায় নিরাপত্তা গবেষকরা সম্ভবত একত্রিত Ethereum ঠিকানাটি পর্যবেক্ষণ চালিয়ে যাবেন—আক্রমণকারী তহবিলগুলো কেন্দ্রীভূত এক্সচেঞ্জ বা কোনো মিক্সিং সার্ভিসের দিকে সরাচ্ছে কি না তা দেখার জন্য; এমন একটি পদক্ষেপ তদন্তকারীদের জন্য তহবিল ক্যাশ আউট হওয়ার আগে ওয়ালেটটি চিহ্নিত করার সুযোগ দিতে পারে।