কোল্ডকার্ড সংকটের মধ্যে ট্রেজর, ওয়ানকি, বিটবক্সের বিক্রি হঠাৎ বেড়েছে; সিকিউরিটি মডেলগুলো বিকশিত হচ্ছে

Bitcoin.com News মন্তব্যের জন্য যেসব ১৩টি হার্ডওয়্যার ওয়ালেট নির্মাতার সঙ্গে যোগাযোগ করেছিল, তাদের মধ্যে Trezor, Bitbox এবং Onekey নিশ্চিত করেছে যে আগস্টে তাদের বিক্রি বেড়েছে। Ledger তাদের মাসিক বিক্রি নিয়ে মন্তব্য করতে অস্বীকৃতি জানায়, আর পাবলিকলি তালিকাভুক্ত Bitkey-এর নির্মাতা Block তাদের ত্রৈমাসিক রিপোর্টের বাধ্যবাধকতায় রয়েছে।

কোনো কোম্পানিই সঠিক সংখ্যা প্রকাশ না করলেও Bitbox সবচেয়ে নির্দিষ্ট ছিল—তারা বলেছে, আগের কয়েক সপ্তাহের বেসলাইনের তুলনায় তাদের ক্রেডিট-কার্ড বিক্রি প্রায় দশগুণ বেড়েছে। এতে অন্যান্য পেমেন্ট পদ্ধতিতে হওয়া বিক্রি অন্তর্ভুক্ত নয়।

Bitbox-এর CEO ডগলাস বাক্কুম Bitcoin.com News-কে বলেন, “আমরা বিক্রিতে উল্লম্ফন দেখেছি, বেশিরভাগই উত্তর আমেরিকা থেকে এসেছে, যেখানে ধারণা করা যায় কোল্ডকার্ডের উপস্থিতি সবচেয়ে বেশি ছিল।”

স্ব-হেফাজতের জন্য উৎসাহজনক ইঙ্গিত

এদিকে, Trezor জানিয়েছে তারাও বিক্রি বৃদ্ধি দেখেছে—বিশেষ করে তাদের বিটকয়েন-অনলি পণ্যের বিক্রিতে। কোম্পানিটি সংখ্যা নির্দিষ্ট না করলেও, তাদের হেড অব সিকিউরিটি জান কোমারেক উল্লেখ করেন যে এই উত্থান পুরো বিটকয়েন ইন্ডাস্ট্রির জন্য একটি উৎসাহজনক সংকেত।

তিনি বলেন, “আমাদের কাছে আরও আকর্ষণীয় বিষয় হলো এটা কী বোঝায়: মনে হচ্ছে কোল্ডকার্ড পরিস্থিতিতে প্রভাবিত লোকজন স্ব-হেফাজত ছেড়ে দেওয়ার বদলে আরেকটি হার্ডওয়্যার ওয়ালেট খুঁজেছে,” যোগ করে বলেন, এটি “উৎসাহজনক শিক্ষা—একটি কঠিন সময়ে প্রতিক্রিয়া ছিল নিজেদের কী-এর নিয়ন্ত্রণে থাকা, সেখান থেকে সরে আসা নয়।”

তবে, ইন্ডাস্ট্রি বিশ্লেষকদের মতে, অনেক হার্ডওয়্যার ওয়ালেট ব্যবহারকারী তাদের ফান্ড ক্রিপ্টো এক্সচেঞ্জে পাঠিয়েছে বা তাদের মূলধন ETF-এ সরিয়ে নিয়েছে, স্ব-হেফাজত পরিত্যাগ করে। যেকোনো ক্ষেত্রেই, এই স্থানান্তর কতটা বড় ছিল বা ব্যবহারকারীরা স্ব-হেফাজতে ফিরে আসার আগে এটি কেবল অস্থায়ী ব্যবস্থা ছিল কিনা—তা স্পষ্ট নয়।

Onekey, বিক্রি বৃদ্ধি নথিভুক্ত করলেও, উল্লেখ করেছে যে এতে অন্যান্য কারণও প্রভাব ফেলতে পারে—যেমন পৃথক পণ্যের চক্র। কোম্পানির মতে, কোল্ডকার্ড সংকট হার্ডওয়্যার ওয়ালেট সিকিউরিটি নিয়ে অনেক বড় আলোচনা উসকে দিয়েছে, যেগুলো সাধারণত শেষ ব্যবহারকারীদের চোখের আড়ালে থাকে—যেমন সিড ফ্রেজ তৈরি (seed phrase generation)।

তবে, কোল্ডকার্ড ফার্মওয়্যার এক্সপ্লয়েট এমন আলোচনা ও পদক্ষেপ শুধু শেষ ব্যবহারকারীদের মধ্যেই নয়, হার্ডওয়্যার ওয়ালেট নির্মাতাদের মধ্যেও উসকে দেয়। প্রথমত, ঘটনাটি টিমগুলোকে তাদের বর্তমান সিকিউরিটি মডেলগুলো পর্যালোচনা করতে উদ্বুদ্ধ করে।

ওয়ালেটগুলো ইতিমধ্যেই যা করেছে

Trezor কোল্ডকার্ড কেসে যে ব্যর্থতার ধরন (failure mode) এক্সপ্লয়েট করা হয়েছিল, তার বিরুদ্ধে বিশেষভাবে নিজেদের সিড জেনারেশন পর্যালোচনা করেছে; BitBox নিজেদের র‍্যান্ডম নাম্বার জেনারেটর কোডে “আরও একটি বিস্তারিত নজর” দিয়েছে; আর Onekey বলেছে, তাদের হার্ডওয়্যার ওয়ালেট লাইনআপ জুড়ে এন্ট্রপি এবং সিড-জেনারেশন পাথগুলোর অতিরিক্ত এন্ড-টু-এন্ড যাচাই করেছে।

Bitcoin.com News-এর প্রতিবেদন অনুযায়ী, কোল্ডকার্ডের সঙ্গে আলাদা ও সম্পর্কহীনভাবে, Bitbox এই আগস্টে নিজেদের ফার্মওয়্যারের বাগ প্রকাশ ও প্যাচ করেছে। কোনো এক্সপ্লয়টেশনের খবর পাওয়া যায়নি। এদিকে একই মাসে, Trezor প্রকাশ করেছে যে তাদের একটি শিপিং প্রোভাইডারের ডেটা ব্রিচের ফলে প্রায় ১৪,০০০ গ্রাহক প্রভাবিত হয়েছেন।

যেকোনো ক্ষেত্রেই, প্রধান সিকিউরিটি লড়াই এখনও সামনে—কারণ বিটকয়েন ও অন্যান্য ক্রিপ্টো অ্যাসেটের হার্ডওয়্যার ওয়ালেটগুলোকে এআই দ্বারা প্রণোদিত নতুন বাস্তবতার সাথে খাপ খাইয়ে নিতে হচ্ছে।

দুটি বিষয়ে মনোযোগ

Ledger-এর CTO চার্লস গিয়েমে বলেন, “আক্রমণকারীরা ইতিমধ্যেই মেশিন-স্পিডে কাজ করছে, তাই তাদের থেকে এগিয়ে থাকতে আমাদেরও তেমনই করতে হবে,” যোগ করেন যে প্রতিরক্ষা এখনও আক্রমণকারীদের তুলনায় ধীরগতিতে এগোয়। অন্তত তার মতে, প্যাচ রিলিজ হওয়া এবং তা অস্ত্রে রূপ নেওয়ার (weaponised) মধ্যকার সময়ের জানালা ছোট হচ্ছে।

CTO জোর দিয়ে বলেন, কোম্পানিগুলোকে এখন দুটি বিষয়ে মনোযোগ দিতে হবে: প্রকাশনীতি উন্নত করা এবং ব্যবহারকারী শিক্ষা।

গিয়েমে Bitcoin.com News-কে বলেন, “প্রথমত, দায়িত্বশীল প্রকাশ (responsible disclosure) দ্রুত প্যাচিং, ছোট প্রকাশ-টাইমলাইন, এবং এমন মাইগ্রেশন স্ট্র্যাটেজির মাধ্যমে বিকশিত হতে হবে যা ধরে নেয় সক্ষম, এআই-সহায়তাপ্রাপ্ত আক্রমণকারীরা সিকিউরিটি মডেলের অংশ—ঐচ্ছিক উন্নতি নয়।”

এছাড়াও, তার মতে, মানুষকে হার্ডওয়্যার ওয়ালেট বোঝাতে সাহায্য করা “ইন্ডাস্ট্রিকে নিরাপদ রাখতে অপরিহার্য হয়ে উঠবে।”

আপনার বাড়ির যন্ত্রপাতিও আপগ্রেড করুন

একই প্রসঙ্গে, Blockstream Jade ওয়ালেটের ডেভেলপাররা তাদের “কোল্ডকার্ড ফলআউট নিয়ে প্রতিফলন”-এ হার্ডওয়্যার ওয়ালেট ব্যবহারকারীদের সফ্টওয়্যার আপ-টু-ডেট রাখতে তাগিদ দিয়েছেন। Blockstream Jade সদ্য বেশ কিছু ফিক্সসহ একটি ফার্মওয়্যার আপডেট রিলিজ করেছে। তবে টিমের মতে, হার্ডওয়্যার ওয়ালেট ছাড়াও ব্যবহারকারীদের তাদের অ্যাপ্লিকেশন, অপারেটিং সিস্টেম, ডিভাইস, রাউটার, এমনকি বাড়ির যন্ত্রপাতিও আপ-টু-ডেট রাখা উচিত।

তারা জোর দিয়ে বলেন, “নিরাপত্তা বজায় রাখা একটি চলমান প্রক্রিয়া, এবং একজন ব্যবহারকারী হিসেবে আপনাকেও এতে অংশ নিতে হবে,” যোগ করেন যে কোল্ডকার্ড বাগটি ছিল “একটি দুর্ভাগ্যজনক ঘটনা যেখানে সফ্টওয়্যার ও ফার্মওয়্যার আপগ্রেড করেও ব্যবহারকারীদের নিরাপদ করা সম্ভব ছিল না।”

এদিকে, Onekey যোগ করে যে হার্ডওয়্যার ওয়ালেট সিকিউরিটি গড়ে তুলতে হবে হার্ডওয়্যার-ব্যাকড এন্ট্রপি ও কী স্টোরেজ, যাচাইযোগ্য ওপেন-সোর্স সফ্টওয়্যার, স্বাধীন সিকিউরিটি রিভিউ, সিকিউরিটি-ক্রিটিক্যাল কম্পোনেন্টগুলোর শক্ত বিচ্ছিন্নতা, এবং ব্যবহারকারীমুখী পরিষ্কার ট্রানজ্যাকশন ভেরিফিকেশনকে কেন্দ্র করে।

ওয়ালেট নির্মাতা বলে, “AI যখন সফ্টওয়্যার বিশ্লেষণ ও আক্রমণ স্বয়ংক্রিয় করার খরচ কমিয়ে দেয়, লক্ষ্য হলো নিশ্চিত করা—একটি ইমপ্লিমেন্টেশন দুর্বলতা আবিষ্কার করাই যেন পুরো সিকিউরিটি মডেল কমপ্রোমাইজ করার জন্য যথেষ্ট না হয়।”

স্বল্প-, মধ্য- এবং দীর্ঘমেয়াদি নিরাপত্তা পরিকল্পনা

কোম্পানিগুলো নিজেরাই ইতিমধ্যেই স্বল্প-, মধ্য- এবং দীর্ঘমেয়াদি সিকিউরিটি পরিবর্তন বাস্তবায়ন করছে। উদাহরণস্বরূপ, Trezor “কোল্ডকার্ড ফাইন্ডিংসের সরাসরি প্রতিক্রিয়ায়” ডিভাইসের নিজস্ব অভ্যন্তরীণভাবে উৎপন্ন এন্ট্রপি যাচাইয়ের সময় “অতিরিক্ত sanity checks” যোগ করছে—বাহ্যিক এন্ট্রপি সত্যিই ব্যবহার করা হচ্ছে কিনা তা যাচাই করতে।

কোমারেক বলেন, “এর বাইরে, আমাদের রিভিউ আমাদেরকে অনিরাপদ টেস্ট জেনারেটর ঘিরে আমাদের অভ্যন্তরীণ টেস্টিং ও ট্রিপওয়্যার শক্তিশালী করতে, এবং প্রতিটি পৃথক এন্ট্রপি সোর্সের কল পাথ আমরা কীভাবে ভেরিফাই করি তা বিস্তৃত করতে নেতৃত্ব দিয়েছে,” উল্লেখ করেন যে অনিরাপদ জেনারেটরটি কেবল অভ্যন্তরীণ টেস্টিংয়ের জন্যই রয়েছে।

কোম্পানিটি স্বাধীন সিকিউরিটি গবেষকদের রিপোর্টও নিয়ে কাজ করছে এবং মধ্যমেয়াদে, মূল ফার্মওয়্যার ফিচারগুলোর একটি নতুন পেনিট্রেশন টেস্ট করার পরিকল্পনা করছে—যা পরিচালিত হবে “একটি সুপরিচিত বাহ্যিক সিকিউরিটি এজেন্সি” দ্বারা। সিকিউরিটি অডিট রিপোর্টগুলো পাবলিক করার পরিকল্পনা রয়েছে।

হেড অব সিকিউরিটি বলেন, “দীর্ঘমেয়াদে, আমাদের ফোকাস হলো AI-এনেবলড আক্রমণের প্রতি প্রতিক্রিয়া দেখানোর বদলে তাদের থেকে এগিয়ে থাকা,” একই সাথে অন্যান্য ওয়ালেট নির্মাতারাও জোর দিয়েছে যে তারা বাউন্টি প্রোগ্রামের পাশাপাশি কোড রিভিউ করতে ইতিমধ্যেই AI ব্যবহার করছে।

Ledger-এর গিয়েমে যোগ করেন, “আমাদের Donjon গবেষণা ল্যাব (হোয়াইট হ্যাট হ্যাকার ল্যাব) রয়েছে—যার উদ্দেশ্য হলো অন্য কেউ পারার আগে আমাদের পণ্যগুলো ভাঙার চেষ্টা করা, এবং অভ্যন্তরীণভাবে আমরা আমাদের নিজের পণ্যে ভলনারেবিলিটি খুঁজতে LLM-এর ব্যাপক ব্যবহার করি।”

Onekey বলেছে, তারা এখন সিকিউরিটি-ক্রিটিক্যাল কোড পাথ, ফার্মওয়্যার বিল্ড, এন্ট্রপি জেনারেশন এবং ট্রানজ্যাকশন-সাইনিং ফ্লো পর্যালোচনা শক্তিশালী করার দিকে মনোযোগী; আর মধ্যমেয়াদে তাদের ফোকাস হবে ট্রানজ্যাকশন ভেরিফিকেশনের দিকে—Clear Signing সমাধানের কথা উল্লেখ করে, যা বিটকয়েনের বাইরে অনেক প্রধান ক্রিপ্টো অ্যাসেটের জন্য প্রাসঙ্গিক।

সাধারণ দায়িত্ব এবং নতুন ক্রিটিক্যাল বাগ

এদিকে, Bitkey-এর নির্মাতা Block-এর সিকিউরিটি গবেষকরা কোল্ডকার্ড সংকটের সময় বিটকয়েন ও হার্ডওয়্যার ওয়ালেট ইন্ডাস্ট্রিকে সহায়তা করতে গুরুত্বপূর্ণ ভূমিকা রেখেছেন, কারণ তারা কমিউনিটির সঙ্গে সক্রিয়ভাবে যুক্ত থেকে গুরুত্বপূর্ণ ফাইন্ডিংস শেয়ার করেছেন এবং প্রতিক্রিয়া উদ্যোগগুলো সমন্বয় করেছেন।

কোম্পানিটি Bitcoin.com News-কে বলে, “আমরা আমাদের ফাইন্ডিংস স্বচ্ছভাবে—পাবলিক X আলোচনা এবং প্রাইভেট চ্যানেল উভয়ের মাধ্যমেই—শেয়ার করেছি, কারণ আমরা বিশ্বাস করি যে যখন সিকিউরিটি দুর্বলতা ইকোসিস্টেমকে প্রভাবিত করে, তখন সব নির্মাতার দ্রুত পদক্ষেপ নেওয়ার দায়িত্ব রয়েছে,” যোগ করে যে হার্ডওয়্যার ওয়ালেটগুলোর উচিত কী সিকিউরিটি মডেলগুলোর ওপর নিয়ন্ত্রণ বজায় রাখা।

এই নিবন্ধটি লেখার সময়, ২৬ আগস্টে, আরেকটি “একটি বড় হার্ডওয়্যার ওয়ালেট ভেন্ডরের ক্রিটিক্যাল বাগ” নিয়ে রিপোর্ট ছড়াতে শুরু করে। বিটকয়েন সিকিউরিটি কনসালট্যান্ট ও Bitsaga-এর প্রতিষ্ঠাতা রব সেগার্স, যিনি “আরও কয়েকটি উচ্চ-তীব্রতার” বাগের সঙ্গে এই বাগটিও খুঁজে পান, বলেন যে অপ্রকাশিত ভেন্ডর এই বাগগুলো নিশ্চিত করেছে, “তবে একটি ফিক্স ইতিমধ্যেই আসন্ন রিলিজে রয়েছে।”

সেগারের মতে, ক্রিটিক্যাল বাগটি “অফিশিয়াল হার্ডওয়্যার ফার্মওয়্যারে” পাওয়া গেছে, তবে ফান্ড চুরি করতে “দুরভিসন্ধিমূলক হোস্ট সফ্টওয়্যার” প্রয়োজন। অর্থাৎ, কোনো ব্যবহারকারী যদি উদাহরণস্বরূপ একটি ভুয়া ওয়ালেট ডাউনলোড করেন, তখন বাগটি এক্সপ্লয়ট করা যেতে পারে। Trezor-এর সহ-প্রতিষ্ঠাতা মারেক “স্লাশ” পালাটিনুস নিশ্চিত করেছেন যে রিপোর্ট করা বাগটি এই ওয়ালেট সম্পর্কে নয়। এদিকে, সেগার জানান যে তিনি আরও দুটি বাগ খুঁজে পেয়েছেন—যার ফলে আতঙ্ক ছড়ানোর অভিযোগে তিনি সমালোচিত হন।

নিরাপদ থাকুন।