চুরি হওয়া ক্রিপ্টো আসলে কোথায় যায়: ৪৫ দিনের মানি-লন্ডারিং মেশিনের ভেতরে

ছয় বছর, ১৬ বিলিয়ন ডলারেরও বেশি উধাও

ক্রিপ্টো চুরি আর এমন কোনো পর্যায় নয় যেখান থেকে ডিজিটাল অ্যাসেট ইন্ডাস্ট্রি ধীরে ধীরে বেরিয়ে আসছে; বরং এটি নিজেই একটি শিল্পে পরিণত হয়েছে। এ পর্যন্ত, শুধু গত অর্ধ দশকেই অনচেইন গোয়েন্দারা বেলুনের মতো ফুলতে থাকা চুরির মোট অঙ্ক গণনা করেছেন ($3.7 বিলিয়ন ২০২২ সালে, $1.7 বিলিয়ন ২০২৩ সালে, $2.2 বিলিয়ন ২০২৪ সালে, এবং $3.4 বিলিয়ন ২০২৫ সালে)—এমন সংখ্যা যা থামার কোনো লক্ষণ দেখায়নি।

আসলে, উল্লেখযোগ্য যে গত বছরের মোটের প্রায় অর্ধেকই এসেছিল একটি মাত্র ঘটনার থেকে—অর্থাৎ ২০২৫ সালের ফেব্রুয়ারির Bybit হ্যাক—যেখানে হামলাকারীরা এক্সচেঞ্জটির কোল্ড-ওয়ালেট সাইনিং প্রক্রিয়া কম্প্রোমাইজ করে $1.5 বিলিয়ন নিয়ে পালিয়ে যায় (যা এটিকে ইতিহাসের সবচেয়ে বড় ক্রিপ্টো চুরিতে পরিণত করেছে)।

এই বছরের প্রথমার্ধও ছিল অস্বস্তিকরভাবে একই রকম; নিরাপত্তা প্রতিষ্ঠান Blockaid-এর মতে, রেকর্ড ২১২টি ঘটনার মাধ্যমে মোটামুটি $1.1 বিলিয়ন যোগ হয়েছে। সবচেয়ে বড় একক আঘাত ছিল ১৯ এপ্রিল রিস্টেকিং প্রোটোকল KelpDAO-এর এক্সপ্লয়েট ($293 মিলিয়ন), এবং TRM Labs এই ছয় মাসে ২০৭টি ঘটনা গণনা করেছে—যা এক বছর আগের একই সময়ের তুলনায় দ্বিগুণেরও বেশি।

৪৫ দিনের প্লেবুক

উল্লিখিত চুরিগুলোর পর সাধারণত যা ঘটে, তা এখন প্রায় স্ক্রিপ্টের মতো হয়ে গেছে; গবেষকেরা প্রায় ৪৫ দিন ধরে তিনটি ঢেউয়ে চলা একটি স্বতন্ত্র মানি-লন্ডারিং চক্রের বর্ণনা দেন।

শূন্য থেকে পঞ্চম দিন পর্যন্ত গতি সবচেয়ে গুরুত্বপূর্ণ, এবং চুরি হওয়া টোকেনগুলো সাধারণত বিকেন্দ্রীভূত ফাইন্যান্স (DeFi) প্রোটোকলের মাধ্যমে সোয়াপ করা হয় (কার্যকলাপ সর্বোচ্চ ৩৭০% পর্যন্ত বেড়ে যায়) এবং মিক্সিং সার্ভিসে পাঠানো হয়, যা উৎস ও গন্তব্যের সংযোগ ভাঙতে কয়েনগুলোকে একত্র করে এলোমেলোভাবে শাফল করে। ষষ্ঠ থেকে দশম দিনে, ফান্ডগুলো ক্রস-চেইন ব্রিজের মাধ্যমে চেইন বদলায় এবং সীমিত নো-ইওর-কাস্টমার (KYC) চেক থাকা এক্সচেঞ্জগুলোর মধ্য দিয়ে প্রবাহিত হয়।

এরপর, আনুমানিক ২০তম দিন থেকে ৪৫তম দিন পর্যন্ত, কয়েনগুলো ছোট ছোট কিস্তিতে (সাধারণত $500,000-এর নিচে, যাতে রিপোর্টিং থ্রেশহোল্ডের নিচে থাকা যায়) নো-KYC ভেন্যু, ইনস্ট্যান্ট এক্সচেঞ্জার, এবং চীনা ভাষাভিত্তিক ওভার-দ্য-কাউন্টার (OTC) নেটওয়ার্ক ও গ্যারান্টি সার্ভিস (যেমন নিষেধাজ্ঞাধীন Huione মার্কেটপ্লেস) এর মাধ্যমে ক্যাশ আউট করা হয়।

ফলস্বরূপ, চক্রের শেষে টাকা এতগুলো চেইন, মিক্সার এবং বিচারব্যবস্থার মধ্য দিয়ে চলে যায় যে—even though attribution remains possible (যেহেতু ব্লকচেইন কখনও ভুলে না)—রিকভারি খুব কমই সম্ভব হয়। প্রেক্ষাপট হিসেবে, Bybit-এর চুরি হওয়া তহবিলের ৫%-এরও কম কখনও উদ্ধার করা গিয়েছিল, যদিও এক্সচেঞ্জটির পাশে সবচেয়ে প্রভাবশালী হোয়াইট হ্যাট কর্মীদের কিছু ছিল।

২০২৬: আরও হ্যাক, ছোট লুট

এ বছর হামলাকারীরা তাদের লক্ষ্যবস্তু বিস্তৃত করেছে, কারণ KelpDAO-এর মতো প্রোটোকল এক্সপ্লয়েটের পাশাপাশি শুধু এপ্রিল মাসেই $641.67 মিলিয়ন চুরি হওয়ার মাসিক রেকর্ড তৈরি হয়েছে। Lazarus-সংশ্লিষ্ট উত্তর কোরীয় দলগুলো প্রথমার্ধের ক্ষতির প্রায় ৫৫%-এর পেছনে ছিল, এবং CertiK-এর গণনা (যার মধ্যে ফিশিং এবং ব্যক্তিগত-ওয়ালেট ড্রেনও অন্তর্ভুক্ত) অনুযায়ী, এই সময়ের ক্ষতি ছিল $1.32 বিলিয়ন, মোট ৩৪৪টি ঘটনার মাধ্যমে।

সবচেয়ে সাম্প্রতিকভাবে, Coldcard হার্ডওয়্যার-ওয়ালেট এক্সপ্লয়েট দেখিয়েছে যে প্লেবুকটি বিটকয়েনের ক্ষেত্রেও কীভাবে মানিয়ে নিচ্ছে। দুর্বল-সিড ওয়ালেট থেকে প্রায় $116 মিলিয়ন খালি করার পর, আক্রমণকারী কয়েনগুলো কনসলিডেট করতে শুরু করে, আর দর্শকেরা প্রতিটি হপ দেখছিল। ঘটনাটির আলোকে, বিটকয়েনের মূল USP-গুলো—যেমন স্বচ্ছতা ও অপরিবর্তনীয়তা—প্রায় রাতারাতি দ্বিমুখী তলোয়ার হয়ে গেল, কারণ সবাই চুরি হওয়া কয়েনগুলোকে নড়তে দেখলেও কেউ সেগুলোকে ফিরিয়ে আনতে পারল না।

কেন রিকভারি প্রায় কখনও হয় না

এই সব আক্রমণ চলাকালে, যে একমাত্র লিভারটি বারবার নির্ভরযোগ্যভাবে কাজ করেছে, তা হলো কেন্দ্রীভূত স্টেবলকয়েন ফ্রিজ। Tether এবং Circle কন্ট্রাক্ট লেভেলে ঠিকানা ব্ল্যাকলিস্ট করতে পারে, ফলে চোরেরা এখনও ধরে রাখা যেকোনো USDT বা USDC সঙ্গে সঙ্গেই আটকে যায়—এ কারণেই পরিশীলিত আক্রমণকারীরা ব্রিচের কয়েক মিনিটের মধ্যেই চুরি হওয়া স্টেবলকয়েন ইথার বা বিটকয়েনে সোয়াপ করে, ফ্রিজ রেডিয়াস থেকে বেরোতে মূল্যঝুঁকি মেনে নেয়।

এটি একটি উন্মোচনকারী অসমতা; অর্থাৎ সবচেয়ে সেন্সরশিপ-রেজিস্ট্যান্ট অ্যাসেটগুলোই লন্ডার করা সবচেয়ে সহজ, আর যেগুলো ফ্রিজ করা সবচেয়ে সহজ সেগুলোই রিকভার করা সবচেয়ে সহজ। প্রতিটি লন্ডারিং প্লেবুক শেষ পর্যন্ত একটি দৌড়—যাতে পজ বোতামওয়ালা কেউ টের পাওয়ার আগে “ধরা যায়” এমনটিকে “ধরা যায় না” এমনটিতে রূপান্তর করা যায়।

ক্রিপ্টো চুরির অস্বস্তিকর হিসাব হলো, প্রতিরোধই প্রায় পুরো খেলাটা। এক্সচেঞ্জ এবং অ্যানালিটিক্স ফার্মগুলো কমপ্লায়েন্ট প্ল্যাটফর্মে স্পর্শ করা ফান্ড ফ্রিজ করতে পারে—এ কারণেই লন্ডারাররা শুরুতেই DeFi এবং মিক্সার ব্যবহার করে, যেখানে কেউ কিছুই ফ্রিজ করতে পারে না।

মিক্সার এবং Huione-এর মতো সার্ভিসের ওপর নিষেধাজ্ঞা খরচ বাড়ায়, কিন্তু থামানোর বদলে প্রবাহকে উত্তরসূরিদের দিকে ঠেলে দেয়। আর ৪৫ দিনের ঘড়ি মানে, সীমান্তপারের আইনি প্রক্রিয়া শুরু হতে হতে সাধারণত কয়েনগুলো তাদের যাত্রা শেষ করে ফেলে।

ব্যবহারকারী ও প্ল্যাটফর্মগুলোর জন্য শিক্ষা হলো, একবার চুরি হয়ে গেলে তাদের তহবিলের বিপুল সংখ্যাগরিষ্ঠ অংশই আর কখনও ফিরে আসে না। তদুপরি, আক্রমণকারীদের চক্র কমপ্লায়েন্সের চেয়েও দ্রুত, এবং প্রতি বছরই যখন শিরোনামে দেখা যায় “ক্রিপ্টো চুরি কমছে”, তখন পরের বিলিয়ন-ডলারের পাল্টা উদাহরণ ইতিমধ্যেই চলতে থাকে। ব্লকচেইন সবকিছু রেকর্ড করে এবং কিছুই ফেরত দেয় না।