ক্রিপ্টো ওয়ালেটে একটি ভুয়া নিরাপত্তা সতর্কবার্তা ঝলমল করে উঠল, যা ব্যবহারকারীদের তাদের তহবিল রক্ষায় ছুটে যেতে বাধ্য করল। কিন্তু সেই সতর্কবার্তাটি তাদের সরাসরি চোরদের হাতে তুলে দিল, যারা হার্ডওয়্যার ভাঙার কোনো প্রয়োজন ছাড়াই বিশ্বাসযোগ্য নোটিফিকেশন সিস্টেমের দুর্বলতা কাজে লাগিয়ে প্রায় ২.৫৬ মিলিয়ন ডলার লোপাট করল।
ক্রিপ্টো চোরেরা Ngrave অ্যালার্ট হ্যাক করে $২.৫৬ মিলিয়ন নিয়ে পালিয়ে গেল।
লেখক
শেয়ার
মূল বিষয়গুলো
- এনগ্রেভ চারটি ব্লকচেইন নেটওয়ার্ক জুড়ে ৭০টি ওয়ালেট ঠিকানা থেকে প্রায় $২.৫৬ মিলিয়ন চুরি হওয়ার ঘটনা শনাক্ত করেছে।
- এনগ্রেভ বলেছে যে তাদের ZERO হার্ডওয়্যার নিরাপদ ছিল, তবে ফিশিংয়ের শিকাররা ওয়ালেট পুনরুদ্ধারের তথ্য হস্তান্তর করেছে।
- এনগ্রেভের সিইও স্বীকার করেছেন যে কোম্পানিটি তার মৌলিক নিরাপত্তা বাধ্যবাধকতায় "সম্পূর্ণরূপে এবং একেবারে ব্যর্থ" হয়েছে।
একটি ভুয়া নিরাপত্তা সতর্কবার্তা, যার মূল্য ২.৫৬ মিলিয়ন ডলার
বেলজিয়ামের হার্ডওয়্যার-ওয়ালেট নির্মাতা এনগ্রেভ, সাধারণভাবে এনগ্রেভ নামে পরিচিত, ১৯ অক্টোবর প্রকাশ করেছে যে হামলাকারীরা তাদের LIQUID সঙ্গী অ্যাপে সেবা দেওয়া একটি তৃতীয় পক্ষের নোটিফিকেশন প্রদানকারীকে দখল করেছে। এই ভঙ্গ অপরাধীদের ১৭ অক্টোবর গ্রাহকদের কাছে সরাসরি বিশ্বাসযোগ্য নিরাপত্তা সতর্কবার্তা পাঠানোর সুযোগ দিয়েছে। বার্তাটিতে দাবি করা হয়েছিল যে একজন ব্যবহারকারীর পোর্টফোলিও মস্কোর একটি পিক্সেল 9 ডিভাইসের সাথে সিঙ্ক্রোনাইজ হয়েছে। সতর্কবার্তায় ক্লিক করলে একটি নকল এনগ্রেভ ওয়েবসাইট খুলে যায়, যেখানে একটি কাউন্টডাউন টাইমার এবং সন্দেহজনক কার্যকলাপ অনুমোদন বা অস্বীকার করার একটি ভয়ানক বিকল্প ছিল।
উভয় পথই একই ফাঁদে নিয়ে যেত। ব্যবহারকারীদের তাদের ২৪-শব্দের রিকভারি ফ্রেজ বা পারফেক্ট কী প্রবেশ করতে বলা হত, যা আক্রমণকারীদের তাদের ওয়ালেট পুনর্নির্মাণের জন্য প্রয়োজনীয় সবকিছুই সরবরাহ করত। স্বয়ংক্রিয় স্ক্রিপ্ট কয়েক মিনিটের মধ্যেই ক্ষতিগ্রস্ত অ্যাকাউন্টগুলো খালি করে দিত। এনগ্রেভের তদন্তে চারটি নেটওয়ার্ক জুড়ে ৭০টি ওয়ালেট ঠিকানা থেকে প্রায় ২.৫৬ মিলিয়ন ডলার চুরির সন্ধান পাওয়া গেছে। এর মধ্যে ১.৭৭ মিলিয়ন ডলার বিটকয়েন, ৪৫৪,০০০ ডলার XRP, ৩১৬,০০০ ডলার ইথেরিয়াম-ভিত্তিক সম্পদ এবং ১৮,০০০ ডলার স্টেলার অন্তর্ভুক্ত।
আক্রমণকারীরা হার্ডওয়্যার নয়, নোটিফিকেশন কী-ই শোষণ করেছে
কোম্পানির ঘটনা রিপোর্ট থেকে জানা যায় যে প্রতারণামূলক বিজ্ঞপ্তিগুলি প্রদর্শিত হওয়ার ছয় দিন আগে, অর্থাৎ ১১ অক্টোবর অননুমোদিত প্রবেশাধিকার সম্ভবত শুরু হয়েছিল। আক্রমণকারীরা একটি অ্যাক্সেস কী অর্জন করে তা ব্যবহার করে আরও বিস্তৃত অনুমতি সহ আরেকটি কী লাভ করেছিল, যার মধ্যে নির্দিষ্ট বিশ্লেষণাত্মক তথ্যে প্রবেশাধিকারও অন্তর্ভুক্ত ছিল। এনগ্রেভ ১৭ অক্টোবর রাত ৯:৩০ (UTC)-এ ক্ষতিকর অ্যালার্টগুলো প্রদর্শিত হওয়ার এক মিনিটের মধ্যে সনাক্ত করেছিল। তবুও, প্রথম ওয়ালেটটি ছয় মিনিট পর খালি হয়ে যায়।
কোম্পানি রাত ১০:৪৫ টায় তাদের নোটিফিকেশন সিস্টেম নিষ্ক্রিয় করে, তবে চুরি পরবর্তীকালে হ্যাক হওয়া ওয়ালেটগুলো থেকে পরের দিনের সকাল ৩:৫১ পর্যন্ত চলে। গুরুত্বপূর্ণভাবে, এনগ্রেভ নিশ্চিত করেছে যে তাদের কোনো হার্ডওয়্যার ওয়ালেট বা প্রাইভেট কী স্পর্শ করা হয়নি। অপরাধীরা পরিবর্তে গ্রাহকদের তাদের নিজস্ব শংসাপত্র জমা দিতে প্ররোচিত করেছে।
এনগ্রেভের সিইও স্বীকার করেছেন, কোম্পানি 'সম্পূর্ণরূপে এবং চরমভাবে ব্যর্থ হয়েছে'
চুরি হওয়া তহবিলগুলো এক্সচেঞ্জ, ব্লকচেইন ব্রিজ এবং নতুন ঠিকানার মাধ্যমে স্থানান্তরিত হয়েছে। Ngrave বিটকয়েনকে ১২টি ঠিকানায় ট্রেস করেছে, আর XRP ৫৪টি ট্রান্সফারের মাধ্যমে স্থানান্তরিত হয়েছে। কোম্পানিটি ডিভাইসের তথ্য, ওয়ালেট কার্যকলাপ, আইপি ঠিকানা এবং আনুমানিক অবস্থান প্রকাশের সম্ভাবনাও স্বীকার করেছে, যা পরবর্তী লক্ষ্যবস্তু প্রতারণার বিষয়ে উদ্বেগ বাড়িয়েছে।
বিশ্লেষণ প্রতিষ্ঠান বিটকোয়েরিও এ বিষয়ে একটি প্রতিবেদন প্রকাশ করেছে, যেখানে উল্লেখ করা হয়েছে যে, চুরিকৃত তহবিলের "অধিকাংশই এখন হাইপারলিকুইডে মনরো টোকেন হিসেবে রয়েছে।" বিটকোয়েরি রিপোর্ট অনুমান করেছে যে প্রায় ৮১% অর্থ জনপ্রিয় অপরাধী DEX এক্সচেঞ্জে পৌঁছেছে। ঘটনা রিপোর্টে, এনগ্রেভের একজন সিনিয়র নির্বাহী এ বিষয়ে কথা বলেছেন।
এর সিইও অস্বাভাবিকভাবে খোলাখুলি মূল্যায়ন দিয়েছেন, তিনি বলেছেন:
"আমার বিনম্র মতামতে, একটি ক্রিপ্টো নিরাপত্তা কোম্পানির প্রথম কর্তব্য হল ঠিক সেইটাই প্রদান করা: নিরাপত্তা। এ ক্ষেত্রে আমরা সম্পূর্ণরূপে এবং একেবারে ব্যর্থ হয়েছি।"
তিনি স্বীকার করেছেন যে কয়েক মাস আগে যখন তিনি নেতৃত্বভার গ্রহণ করেছিলেন, তখন কোম্পানির নিরাপত্তা ব্যবস্থা অপর্যাপ্ত ছিল। Ngrave তখন থেকে ক্ষতিগ্রস্ত কীগুলো প্রতিস্থাপন করেছে এবং আরও কঠোর বিজ্ঞপ্তি নিয়ন্ত্রণ ব্যবস্থা প্রণয়ন করেছে, যার মধ্যে রয়েছে দুই-ব্যক্তির অনুমোদন, সীমিত ডোমেইন এবং জরুরি বন্ধ করার সক্ষমতা।
প্রভাবিত গ্রাহকদের নতুন ওয়ালেট তৈরি করতে এবং সাপোর্টের সাথে যোগাযোগ করতে অনুরোধ করা হচ্ছে। তদন্ত চলছে, যা একটি উদ্বেগজনক পার্থক্য অটুট রেখেছে: হার্ডওয়্যারটি দৃঢ় ছিল, কিন্তু এর চারপাশের বিশ্বাসযোগ্য বার্তাই অস্ত্র হয়ে উঠেছিল।
২০২৬ সালটি হার্ডওয়্যার ওয়ালেট নির্মাতাদের জন্য কঠিন বছর হয়েছে, কারণ এটি নিরাপত্তা সমস্যার ছড়াছড়ি করেছে। লেজার, ট্রেজর, ট্যাঞ্জেম, সেফপাল, বিটবক্স০২ এবং কোল্ডকার্ডসহ প্রায় এক ডজন নথিভুক্ত হার্ডওয়্যার-ওয়ালেট নিরাপত্তা ঘটনা ঘটেছে। দুইটি ঘটনায় রিপোর্টকৃত ক্ষতি ১৮০ মিলিয়ন ডলার ছাড়িয়ে গেছে, যা ফার্মওয়্যার, তৃতীয় পক্ষের বিক্রেতা, শারীরিক নিরাপত্তা এবং ফিশিং-এ দুর্বলতা উন্মোচন করেছে, রিকভারি ফ্রেজগুলিতে সরাসরি দূরবর্তী আক্রমণের পরিবর্তে।
এই নিবন্ধটি AI ব্যবহার করে ইংরেজি থেকে অনুবাদ করা হয়েছে। মূল ইংরেজি সংস্করণটি নির্ভরযোগ্য উৎস; স্বয়ংক্রিয় অনুবাদে ভুল থাকতে পারে, বিশেষ করে আইনি ও নিয়ন্ত্রক পরিভাষায়।
