রেভোলুটকে প্রতারিত করা হামলাকারীরা এখন ৬,০০০ এক্সএমআর দাবি করছে

ফাইন্যান্সিয়াল টাইমস (FT)-কে একান্তে কথা বলা হ্যাকারদের মতে, রেভলুট গ্রাহকের ডেটা হারায়নি কারণ হ্যাকাররা তার সার্ভার ভেঙে ঢুকেছিল। আক্রমণকারীরা স্রেফ সেটি চেয়েছিল। কয়েক মাস ধরে ইতালীয় আইন প্রয়োগকারী সংস্থার ছদ্মবেশে এবং বৈধ সরকারি ইমেল সিস্টেম ব্যবহার করে, iamnotavillain নামধারী একটি দল নির্দিষ্ট ক্রিপ্টোকারেন্সি ব্যবহারকারীদের ফাইল চেয়ে মাসের পর মাস অনুরোধ পাঠিয়েছে।

হ্যাকারদের এই দাবিগুলো FT-এর প্রতিবেদক টম উইলসন, লেইথ আল-খালাফ এবং অ্যামি কাজমিনের কাছে “একাধিক বার্তার ধারাবাহিকতায়” করা হয়েছে। অভিযোগ অনুযায়ী রেভলুট অনুরোধগুলো মান্য করে পাসপোর্ট, সেলফি এবং লেনদেনের ইতিহাসসহ রেকর্ড পাঠায়। এখন দলটি বলছে তাদের কাছে প্রায় ৬৮০ জনের ডেটা আছে এবং তারা ৬,০০০ মনেরো (XMR), আনুমানিক ৩০ লাখ ডলার, দাবি করছে—একই সঙ্গে একটি প্রকাশ্য কাউন্টডাউন ঘড়ি হুমকি দিচ্ছে যে সময় শেষ হলে এই পরিচয়-সংক্রান্ত ফাইলগুলো অন্য অপরাধীদের হাতে তুলে দেওয়া হবে।

তারা ভেঙে ঢোকেনি। তারা চেয়েছে

রেভলুটের ডেটা লঙ্ঘন নাকি ঘটেছে কারণ আক্রমণকারীরা ইতালির Posta Elettronica Certificata বা PEC সিস্টেম ব্যবহার করেছে—এটি আইনি ও সরকারি যোগাযোগের জন্য ব্যবহৃত একটি সার্টিফায়েড-ইমেল নেটওয়ার্ক। আপসকৃত চ্যানেল দিয়ে পাঠানো বার্তাগুলোতে আসল ডোমেইন অথেন্টিকেশন ক্রেডেনশিয়াল থাকায় রেভলুট এমন ইমেল দেখেছে যা দেখতে একটি বাস্তব সরকারি কর্তৃপক্ষ থেকে আসা বলে মনে হয়েছে।

এটাই ছিল ফাঁদ। অথেন্টিকেশন দেখাতে পারে যে ইমেলটি বৈধ ডোমেইন থেকে এসেছে, কিন্তু এটি প্রমাণ করতে পারে না যে অ্যাকাউন্টের পেছনের ব্যক্তি সত্যিই অনুমোদিত কোনো কর্মকর্তা। রেভলুটের নিরাপত্তা ব্যবস্থা ভাঙার বদলে, আক্রমণকারীরা দাবি করে যে তারা আইনসম্মত সরকারি অনুরোধ পরিচালনার জন্য তৈরি প্রক্রিয়াটিকেই কাজে লাগিয়েছে।

ভুক্তভোগীদের আগে বেছে নেওয়া হয়েছিল

এটি কোনো এলোমেলোভাবে ডেটা তুলে নেওয়া ছিল না। দলটি দাবি করে, অনচেইন বিশ্লেষণ ব্যবহার করে তারা উল্লেখযোগ্য ক্রিপ্টো কার্যকলাপসম্পন্ন রেভলুট ব্যবহারকারীদের শনাক্ত করে, তারপর নাম ধরে ওই লোকদের রেকর্ড চায়। FT-এর প্রতিবেদনে বলা হয়েছে, প্রভাবিত গোষ্ঠীটি প্রায় ৬৮০ জন, যারা ৩১টি দেশে প্ল্যাটফর্মটি ব্যবহার করত—যাদের অনেকেই সুইজারল্যান্ড ও ফ্রান্সে।

ফাইলগুলোতে নাকি নাম, ঠিকানা, ফোন নম্বর, অ্যাকাউন্ট আইডি, ক্রিপ্টো জমা ও উত্তোলন, ফিয়াট ট্রান্সফার, KYC নথি এবং যাচাইকরণ সেলফি অন্তর্ভুক্ত ছিল। সহজ ভাষায়, দলটি শুধু মৌলিক যোগাযোগ তথ্য সংগ্রহ করছিল না। তারা যাদের লক্ষ্যবস্তু করার মতো মূল্যবান মনে করেছিল, তাদের নিয়ে বিস্তারিত পরিচয় প্যাকেজ তৈরি করছিল।

তারপর এলো মনেরোর দাবি

১৬ সেপ্টেম্বর, Iamnotavillain একই নামের একটি ওয়েবসাইটে প্রকাশ্যে আল্টিমেটাম পোস্ট করে, যেখানে ৬,০০০ XMR দাবি করা হয়—যাকে আনুমানিক ৩০ লাখ ডলার হিসেবে উপস্থাপন করা হয়—২৪ ঘণ্টার মধ্যে, নইলে চুরি করা ফাইলগুলো অন্যান্য অপরাধী গোষ্ঠীর কাছে বিক্রি করা হবে। টেলিগ্রামে আগে ১০,০০০ বিটকয়েন (BTC) দাবির কথা ছড়িয়েছিল, তবে পরে দলটি সেই সংখ্যাটির জন্য একজন ছদ্মবেশী ব্যক্তি বা সাবেক সহযোগীকে দায়ী করে।

অনেক পর্যবেক্ষকের কাছে চাঁদাবাজির দাবিতে মনেরো (XMR)-তে সরে আসা যৌক্তিক। বিটকয়েনের লেনদেন পাবলিক লেজারে দৃশ্যমান, আর XMR লেনদেনের বিস্তারিত আড়াল করার জন্য ডিজাইন করা। এদিকে রেভলুট সংবাদমাধ্যমকে বলেছে যে কাউন্টডাউনটি দেখা দেওয়ার সময় দায় স্বীকারকারীদের কাছ থেকে তারা কোনো সরাসরি দাবি পায়নি—ফলে ঘড়িটা আলোচনার চেয়ে জনসমক্ষে চাপ তৈরির প্রচারণাই বেশি বলে মনে হচ্ছে।

রেভলুট বলছে তাদের সিস্টেম ও গ্রাহকের অর্থ প্রভাবিত হয়নি। অপরাধীরা নাকি কোম্পানির মূল নেটওয়ার্কে অনুপ্রবেশ করেনি বা গ্রাহকের অ্যাকাউন্ট খালি করেনি। আলোচ্য দাবি হলো—তারা নাকি বৈধ সরকারি অনুরোধের মতো দেখতে অনুরোধের মাধ্যমে রেভলুটকে তথ্য হস্তান্তরে প্ররোচিত করেছে।

তাতে চুরি হওয়া রেকর্ডগুলো নিরীহ হয়ে যায় না। পাসপোর্ট, সেলফি, বাড়ির ঠিকানা, ফোন নম্বর এবং লেনদেনের ইতিহাস—এসব ব্যবহার করে ছদ্মবেশ ধারণ, অ্যাকাউন্ট রিসেট, ভুয়া সাপোর্ট কল এবং অন্যান্য আর্থিক সেবার বিরুদ্ধে পরবর্তী আক্রমণ চালানো সম্ভব। প্রকৃত বিপদ শুধু রেভলুট থেকে কী নেওয়া হয়েছে তাতেই নয়, বরং ওই ফাইলগুলো অন্যত্র কী খুলে দিতে পারে সেটিতেও।

বড় সমস্যা হলো KYC ট্রাস্ট চ্যানেল

রেভলুট ১২ সেপ্টেম্বর Techcrunch-কে বলেছে যে তারা ছদ্মবেশী প্রতারণাটি শনাক্ত করেছে, ঠিকানাটি ব্লক করেছে এবং সংশ্লিষ্ট সংস্থা, আইন প্রয়োগকারী কর্তৃপক্ষ ও নিয়ন্ত্রকদের অবহিত করেছে। এখন তদন্তকারীরা দেখছেন কীভাবে একটি বৈধ সরকারি যোগাযোগ চ্যানেল এই অপারেশনের অংশ হয়ে উঠল।

এটি ডিজিটাল কারেন্সি প্রতিষ্ঠানের বাইরেও একটি অস্বস্তিকর প্রশ্ন রেখে যায়। যদি একটি আপসকৃত সরকারি মেইলবক্স থেকেই মাসের পর মাস বিশ্বাসযোগ্য তথ্য-অনুরোধ তৈরি করা যায়, তবে অন্য ক্রিপ্টো প্রতিষ্ঠানগুলোও একই ধরনের বার্তা পেয়ে থাকতে পারে। আক্রমণকারীরা ভল্ট ভাঙেনি। তারা নিজেদের এমনভাবে উপস্থাপন করেছে যেন তারাই সেই লোক, যাদের আইনগতভাবে ভল্ট খুলতে বলার অধিকার আছে।