সিড ফ্রেজ: ১২টি শব্দ যা আপনার এবং সবকিছু হারানোর মধ্যে দাঁড়িয়ে আছে

শব্দগুলো পাসওয়ার্ড নয়। এগুলোই টাকা।

একটি সিড ফ্রেজ—সাধারণত ১২ বা ২৪টি শব্দ, ২,০৪৮ শব্দের একটি মানসম্মত তালিকা থেকে নেওয়া—কোনো লগইন ক্রেডেনশিয়াল নয় যা অন্য কোথাও থাকা তহবিলে প্রবেশাধিকার দেয়। গাণিতিকভাবে এটাই ওয়ালেট। প্রতিটি শব্দ কাঁচা এনট্রপির একটি অংশ এনকোড করে, যা একটি ডিটারমিনিস্টিক অ্যালগরিদম (BIP39 নামে একটি স্ট্যান্ডার্ডে নির্দিষ্ট) দিয়ে একটি মাস্টার প্রাইভেট কী-তে রূপান্তরিত হয়, এবং কোনো ওয়ালেট যে সব বিটকয়েন ঠিকানা কখনও তৈরি করেছে বা ভবিষ্যতে করবে—সবই ওই একক কী থেকেই উদ্ভূত।

কোনো কোম্পানির ডাটাবেসে এর কপি থাকে না, কোনো কাস্টমার সার্ভিস লাইন নেই যে ভুলে যাওয়া ফ্রেজ খুঁজে দেবে, আর কোনো “পাসওয়ার্ড ভুলে গেছেন” ফ্লোও নেই। যে-ই এই শব্দগুলো তৈরি করে দেখাতে পারে, সে-ই ওই শব্দগুলো থেকে নির্ধারিত (ডেরাইভ করা) প্রতিটি কয়েন নিয়ন্ত্রণ করে (তাৎক্ষণিকভাবে, এবং অপরিবর্তনীয়ভাবে)।

এ কারণেই জানুয়ারির চুরি কোনো প্রযুক্তিগত এক্সপ্লয়েট ছাড়াই সফল হয়েছিল। ব্লকচেইন-ফরেনসিক্স ফার্ম জিরোশ্যাডো, যারা পরে চুরি হওয়া তহবিল ট্রেস করতে সাহায্য করেছিল, এটিকে বর্ণনা করেছে “ওয়ালেট সফটওয়্যার বা প্রাইভেট-কী অবকাঠামোর কোনো কম্প্রোমাইজ নয়, বরং সোশ্যাল ইঞ্জিনিয়ারিং-এর ফল” হিসেবে।

আক্রমণকারীকে কিছুই ভাঙতে হয়নি। তাদের শুধু ভুক্তভোগীকে ভুল জায়গায় ১২টি শব্দ টাইপ করাতে হয়েছে, তারপর দ্রুত পদক্ষেপ: প্রায় $১৩৯ মিলিয়ন বিটকয়েন এবং $১৫৩ মিলিয়ন লাইটকয়েন THORChain ব্রিজ জুড়ে ভাগ করা হয়, ইনস্ট্যান্ট-এক্সচেঞ্জ সার্ভিসের মাধ্যমে মনেরোতে রূপান্তর করা হয়, এবং মিনিটের মধ্যেই পিল-চেইন ট্রান্সফার দিয়ে স্তরীকরণ (লেয়ারিং) করা হয়।

জিরোশ্যাডোর মনিটরিং টিম ২০ মিনিটের মধ্যে এর প্রায় $৭০০,০০০ ফ্ল্যাগ করে ফ্রিজ করতে পেরেছিল—একটি বিরল আংশিক উদ্ধার, এবং মনে করিয়ে দেয় যে সিড-ফ্রেজ চুরির ক্ষেত্রে সাধারণত কতই না সামান্য অংশ আদৌ পুনরুদ্ধারযোগ্য।

কেন ১২টি শব্দ আসলে এক বিশাল সংখ্যা

প্রতিটি BIP39 শব্দ ১১ বিট এনট্রপি বহন করে, কারণ শব্দতালিকায় ঠিক ২,০৪৮ (2^11)টি এন্ট্রি আছে। একটি ১২-শব্দের ফ্রেজে বিল্ট-ইন চেকসম ধরলে মোটামুটি ১২৮ বিট মোট এনট্রপি থাকে, এবং একটি ২৪-শব্দের ফ্রেজে ২৫৬ বিট।

এগুলো শুধু সাধারণ পাসওয়ার্ডের তুলনায় “বড়” সংখ্যা নয়—এগুলো জ্যোতির্বৈজ্ঞানিকভাবে বড়। একটি পূর্ণ ১২-শব্দের ফ্রেজের প্রতিটি সম্ভাব্য কম্বিনেশন ব্রুট-ফোর্স করতে, এমনকি অত্যন্ত উদারভাবে প্রতি সেকেন্ডে ১ বিলিয়ন অনুমানের হার ধরলেও, সময় লাগবে আনুমানিক 10^22 বছর। মহাবিশ্বের বয়স প্রায় ১৩.৮ বিলিয়ন বছর।

ভবিষ্যতের কোনো বাস্তবসম্মত কম্পিউটিং শক্তিই সেই ব্যবধান কমাতে পারে না; সম্পূর্ণ, অজানা একটি সিড ফ্রেজ অনুমান করা এমন কোনো ঝুঁকি নয় যার জন্য কারও পরিকল্পনা করা দরকার।

বিপদটা কখনও গণিত নয়, বরং এক্সপোজার। যদি শব্দগুলোর কয়েকটি হলেও ফাঁস হয়, বা কোনো আক্রমণকারী কোনো ছবি, ক্লাউড ব্যাকআপ, বা সাপোর্ট-অনুকরণকারী প্রতারণা থেকে কিছু শব্দ জেনে ফেলে, তাহলে অবশিষ্ট সার্চ স্পেস ধীরে ধীরে নয়—বিপর্যয়করভাবে ভেঙে পড়ে। উপরের চার্ট দেখায় কেন: ১২টির মধ্যে ৬টি শব্দ আগে থেকেই জানা থাকলে, বাকি অংশ ভাঙতে একই অনুমান-হারে তবুও আনুমানিক ১,১৬৯ বছর লাগবে (এখনও নিরাপদ)।

কিন্তু ৭টি শব্দ জানা থাকলে, সেটি এক বছরের নিচে নেমে যায়। ৮টি শব্দ জানা থাকলে, কয়েক ঘণ্টা। ১০ বা ১১টি শব্দ জানা থাকলে, মিলিসেকেন্ড। শব্দ ফাঁস হলে নিরাপত্তা সরলরৈখিকভাবে কমে না; এটি খাদের মতো পড়ে যায়—এ কারণেই “শুধু প্রথম ছয়টি শব্দ” বা “আমার ফ্রেজের অর্ধেক” প্রকাশ করা পুরোটা প্রকাশ করার তুলনায় অর্থপূর্ণভাবে বেশি নিরাপদ নয়।

ভুল ধরার জন্য বানানো একমাত্র ফিচার, আক্রমণকারীদের জন্য নয়

BIP39-এর চেকসম অনুমান-ভিত্তিক আক্রমণের বিরুদ্ধে নিরাপত্তার চেয়ে অনেক বেশি সাধারণ এক কারণে আছে: টাইপো ধরা। সিড ফ্রেজের শেষ শব্দটি পুরোপুরি র‌্যান্ডম নয়; এর কয়েকটি বিট অন্য শব্দগুলো থেকে গণনা করা একটি চেকসম, যাতে একটি ওয়ালেট যাচাই করতে পারে যে ফ্রেজটি ঠিকভাবে লিখে রাখা হয়েছে।

একটি শব্দ ভুল লিখলেই, আপনি যখন এটি রিস্টোর করার চেষ্টা করবেন, সেই মুহূর্তে ওয়ালেটের ফ্রেজটিকে অবৈধ হিসেবে চিহ্নিত করার সম্ভাবনা খুব বেশি—নীরবে ভিন্ন, শূন্য ব্যালান্সের একটি ওয়ালেট তৈরি করে ফেলার বদলে। এটি নকশার একটি ছোট অংশ, কিন্তু এটাই কারণ যে বিকৃত ব্যাকআপ সাধারণত সঙ্গে সঙ্গেই নিজেকে প্রকাশ করে, মাসের পর মাস পরে ধীরে ধীরে ধরা পড়া বিপর্যয়ে পরিণত হওয়ার বদলে।

লক্ষ লক্ষ কয়েন প্রমাণ করে বড় ঝুঁকি চুরি নয়

$২৮২ মিলিয়ন ফিশিং ডাকাতি যতই মনোযোগ টানুক, ক্ষতির আরও বড়, আরও নীরব কারণটি সহজতর: মানুষ তাদের নিজের শব্দগুলোর অ্যাক্সেস হারিয়ে ফেলে। অনুমান ভিন্ন হতে পারে, কিন্তু ব্লকচেইন অ্যানালিটিক্স ফার্ম চেইনঅ্যানালাইসিস সংখ্যাটি সর্বোচ্চ ২৩% পর্যন্ত বলেছে—খনন করা সব বিটকয়েনের (আজ পর্যন্ত আনুমানিক ১৯.৮ মিলিয়ন খননকৃতের মধ্যে কয়েক মিলিয়ন BTC) স্থায়ীভাবে অপ্রাপ্য—মূলত ভুলে যাওয়া ফ্রেজ, ধ্বংস হয়ে যাওয়া ব্যাকআপ, এবং শব্দগুলোর জন্য কোনো উত্তরাধিকার পরিকল্পনা ছাড়াই মৃত্যুজনিত কারণে। কোনো হ্যাকার নয়, কোনো এক্সপ্লয়েট নয়, কোনো ফিশিং পেজ নয়—শুধু এমন এক ওয়ালেট যেটা আর কেউ খুলতে পারে না, এমন কয়েন ধরে রেখে যেগুলো আর কখনও নড়বে না।

এটাই একটি সিড ফ্রেজের আসল গুরুত্ব—অর্থাৎ মনে রাখার মতো কোনো পাসওয়ার্ড নয়, বরং এমন একটি সম্পদের একমাত্র, অ-আলোচনাযোগ্য মালিকানার প্রমাণ, যার কোনো রিকভারি মেকানিজমই নেই। ভুল লিখে রাখলে, এটি নিরাপদভাবে ব্যর্থ হয়। আংশিকভাবে হলেও প্রকাশ পেলে, নিরাপত্তা দ্রুত ভেঙে পড়ে। পুরোপুরি হারিয়ে গেলে, ফিরে দাঁড়ানোর মতো আর কিছু না থাকায়, এর পেছনের বিটকয়েন কার্যত সবার জন্যই অস্তিত্বহীন হয়ে যায়।