বিটগেট হ্যাক: ১৫৭ মিলিয়ন ডলারের চুরি হওয়া XRP এমন ওয়ালেটে রয়েছে, যা কেউই ফ্রিজ করতে পারে না

তিনটি পেমেন্ট, একটি ঠিকানা

Bitget জানায়, হামলাকারীরা তাদের ওয়ালেট অবকাঠামোর ভেতরের “একটি গুরুত্বপূর্ণ ব্যাকএন্ড সিস্টেম”-এ ঢুকে পড়ে, ট্রান্সঅ্যাকশন ডেটা স্পুফ করে এবং তাদের হট ও ওয়ার্ম ওয়ালেট থেকে $৩৫০ মিলিয়নেরও বেশি অর্থ বাইরে পাঠিয়ে দেয়। এককভাবে সবচেয়ে বড় অংশ ছিল XRP, এবং অনচেইন ট্র্যাকাররা ১০২.৯৩ মিলিয়ন XRP গণনা করেছে—যার মূল্য $১৫৭.৪৮ মিলিয়ন—যা ৩১,৮৯০ ETH এবং প্রায় $৭৫ মিলিয়ন স্টেবলকয়েন (যেগুলিও বেরিয়ে গিয়েছিল) থেকে অনেক এগিয়ে।

XRP লেজার (XRPL) ঠিক কীভাবে এটি ঘটেছে তা স্পষ্টভাবে দেখায়:

• ১৯:০১ UTC-এ, “Bitget Global” লেবেলযুক্ত একটি ওয়ালেট ২,২৪৮,৮৭১ XRP পাঠায় rwNhefsz দিয়ে শুরু হওয়া একটি একেবারে নতুন ঠিকানায়।
• পনের মিনিট পরে, দ্বিতীয় একটি Bitget ওয়ালেট ৯১,৪২০,৯৪৩ XRP পাঠায় একই ঠিকানায়।
• এরপর তৃতীয় ট্রান্সফার হিসেবে ৯,৩০৬,৮৬৬ XRP যায়।

সবগুলো যোগ করলে দাঁড়ায় ১০২,৯৭৬,৬৮০ XRP—ঠিক সেই সংখ্যাই যেটি একজন পর্যবেক্ষক সেই রাতে ফ্ল্যাগ করেছিলেন।

সবশেষে উল্লেখ্য, হামলাকারী এই পুরো পরিমাণটি চারটি ওয়ালেটে ভাগ করেছে—প্রতিটিতে ২০ মিলিয়ন XRP করে—এবং পঞ্চমটিতে ২২,৯৭৬,৬৭৭ XRP রেখেছে। প্রতিটি হপের পর সম্পর্কহীন ঠিকানা থেকে ০.০০০০১ XRP করে একটি ফলো-আপ পেমেন্ট এসেছে—এটি ঠিকানা বিষপ্রয়োগ (address poisoning)-এর একটি স্প্যাম প্যাটার্ন, যেখানে প্রতারকরা আশা করে কেউ ভুল ওয়ালেট কপি করে ফেলবে।

যে ফ্রিজ ঘটানোই যায় না

Bitget-এর সিইও Gracy Chen বলেন, এক্সচেঞ্জটি প্রতিটি আক্রান্ত চেইনের ফাউন্ডেশনের সঙ্গে যোগাযোগ করেছে এবং কিছু চেইন “ইতিমধ্যেই হ্যাকারদের ওয়ালেট ঠিকানা ফ্রিজ করেছে।” এটি সেই টোকেনগুলোর ক্ষেত্রে কাজ করে যাদের পেছনে কোনো ইস্যুয়ার থাকে—যেমন USDT বা USDC। অন্য নেটওয়ার্কেও এটি কাজ করেছে; উদাহরণস্বরূপ, এপ্রিল মাসে Arbitrum KelpDAO এক্সপ্লয়েট-এর সঙ্গে যুক্ত $৭১ মিলিয়ন ফ্রিজ করেছিল।

কিন্তু XRP ভিন্ন, কারণ একবার লেজারের অংশ হয়ে গেলে এই অ্যাসেট ফ্রিজ করার ক্ষমতা কারও নেই। XRPL-এর ফ্রিজ টুল কেবল ইস্যুড টোকেনের ক্ষেত্রে প্রযোজ্য—নেটিভ অ্যাসেটের ক্ষেত্রে নয়। এর মানে Bitget থেকে নেওয়া সম্পদের সবচেয়ে বড় অংশটাই এমন, যেটিতে কোনো ফাউন্ডেশন হাত দিতে পারে না। এখন একমাত্র যে চোকপয়েন্ট বাকি থাকে তা হলো এক্সচেঞ্জ ও ব্রিজ—যেগুলো পেরিয়ে হামলাকারীকে ক্যাশ আউট করতে হবে।

জুলাই পর্যন্ত ফিরে যাওয়া সূত্র এবং সম্ভাব্য Lazarus সংযোগ

Chen বলেন, IP আচরণগত প্যাটার্ন এবং অনচেইন সিগনেচারগুলো “DPRK-লিঙ্কড হ্যাকার গ্রুপগুলোর ব্যবহৃত কৌশলের সঙ্গে সামঞ্জস্যপূর্ণ,” তবে তিনি জোর দেন যে হামলাকারীর পরিচয় নিশ্চিত নয়। অনচেইন বিশ্লেষক Specter আরও এগিয়ে গিয়ে একটি ফ্লো গ্রাফ পোস্ট করেন, যা দেখায়—চুরি হওয়া XRP-এর বদলে Bridgers সোয়াপ সার্ভিস যে ETH পেআউট করেছে, সেটি Trader Traitor ক্লাস্টার হিসেবে ট্যাগ করা ওয়ালেটগুলোর সঙ্গে সংযুক্ত। Specter এই তহবিলগুলোকে জুলাইয়ের AFX আক্রমণের সঙ্গে যুক্ত করেছেন—যেটি প্রায় $২৪ মিলিয়নের চুরি।

এই সংযোগটি এখনও বেশ পাতলা, কারণ গ্রাফটি প্রায় $৪,৩০০ থাকা একটি একক Ethereum ওয়ালেটের মধ্য দিয়ে যায়, এবং এ ধরনের ছোট ওভারল্যাপ কেবল শেয়ারড লন্ডারিং সার্ভিসের প্রতিফলনও হতে পারে। তবু প্যাটার্নটি মিলে যায়, এবং নিরাপত্তা প্রতিষ্ঠান Blockaid ২০২৬ সালের প্রথমার্ধের ক্ষতির মধ্যে Trader Traitor ক্লাস্টারের ঘাড়ে প্রায় $৬০৯ মিলিয়ন চাপিয়েছে—যা Lazarus Group-এর সঙ্গে যুক্ত।

$১৫৭ মিলিয়নের ওভারহ্যাং

এখন পর্যন্ত ক্যাশ-আউট খুব ধীরগতির, এবং অনচেইন অনুসন্ধানকারী Yfarmx ৩৩,৫০০ XRP সরতে দেখেছেন ২৫ সেপ্টেম্বর Bridgers-এর মাধ্যমে, এবং এটিকে “বড় ক্যাশ-আউটের আগে একটি টেস্ট রান” বলেছেন। লেজার এখন দেখাচ্ছে পাঁচটি ওয়ালেটের একটির থেকে প্রায় ৪০০,১০৫ XRP বেরিয়ে গেছে, আর বাকি চারটি থেকে একটিও নড়েনি।

আজ XRP $১.৫৩ দামে ট্রেড করছে, যা গতকালের তুলনায় ১.৪% বেশি—তাই বাজার আপাতত ঘটনাটিকে পাত্তা দিচ্ছে না। তবে যদি কয়েক কোটিরও বেশি XRP সোয়াপ ডেস্কে ঢুকতে শুরু করে, পরিস্থিতি দ্রুত বদলে যেতে পারে। মনোভাব আগেই নড়বড়ে ছিল, এবং Bitcoin.com News সম্প্রতি রিপোর্ট করেছে যে গড় দীর্ঘমেয়াদি XRP ট্রেডার এখনও ১১.৭৫% লোকসানে আছে, XRP-এর সাম্প্রতিক রিবাউন্ডের পরেও।

Bitget বলেছে, মূল্যায়নের পর ক্ষতিটি তাদের User Protection Fund থেকে কভার করা হবে। বর্তমানে ওই ফান্ডে ৫,৫০০ BTC আছে।