৫.৮ বিলিয়ন ডলারের বাইন্যান্স হ্যাক: কী নিশ্চিত, কী নিশ্চিত নয়

সমস্যা শুরু হয়েছিল কয়েক লাইন কোড এবং একটি ওয়ালেট থেকে, যেখানে অস্বাভাবিকভাবে বিপুল পরিমাণ অর্থ রাখা ছিল। ২০২৬ সালের ২৯ অক্টোবর, বৃহস্পতিবার, বিটকয়েন-সংযুক্ত ঠিকানোগুলো থেকে ক্রিপ্টোকারেন্সি বেরিয়ে আসতে শুরু করে, একটি ইথেরিয়াম লেনদেনে আনুমানিক ১৬৭,৪৬৪ ইথেরিয়াম (ETH), ১.৬১৫ বিলিয়ন USDT এবং কয়েক ডজন অন্যান্য টোকেন উধাও হয়ে যায়। ৪০ মিনিটের মধ্যে, একটি গ্রহণকারী ঠিকানায় আনুমানিক ৩.৫২ বিলিয়ন ডলার জমা হয়েছিল।

তারপর গল্পে আরেকটি মোড় এলো। বিশ্লেষকরা বিটকয়েন, ট্রন এবং অন্যান্য নেটওয়ার্কের আরও লেনদেন শনাক্ত করেছেন, যার ফলে কিছু অনুমান ৫.৫ বিলিয়ন ডলারেরও বেশি হয়ে গেছে। স্টেবলকয়েন কোম্পানিগুলো দ্রুত এই অর্থ জব্দ করতে ছুটে যায়, বাইন্যান্স উত্তোলন বন্ধ করে দেয়, এবং প্রতিষ্ঠাতা ঝাংপেন ঝাও স্বীকার করেন যে এই কার্যক্রম হ্যাকের মতোই দেখাচ্ছে। এক্সচেঞ্জ নিজে এখনও চুরির সম্পূর্ণতা বা এর আর্থিক ক্ষতি নিশ্চিত করেনি।

বিনান্সের ওয়ালেটের রহস্য পরিণত হয়েছে বহু-বিলিয়ন ডলারের জরুরি অবস্থায়

প্রথম বড় ইথেরিয়াম স্থানান্তর শুরু হয় প্রায় বিকেল ৪:২৪ (ইস্টার্ন টাইম) এ, যখন 'Binance 14' নামে পরিচিত একটি ওয়ালেট থেকে সম্পদ একটি নতুন তৈরি করা ঠিকানায় চলে যায়। এই স্থানান্তরে ৬০টিরও বেশি বিভিন্ন টোকেন ছিল, এবং পরবর্তী লেনদেনগুলো অন্যান্য Binance-সংযুক্ত ওয়ালেট থেকে আরও তহবিল নিয়ে আসে। পর্যবেক্ষক ও ব্লকচেইন গবেষকরা দ্রুত সতর্কতা জারি করেন। সন্ধ্যার আগেই, তদন্তকারীরা বিভিন্ন ঠিকানা ও নেটওয়ার্কের মাধ্যমে সম্পদ অনুসরণ করার সময় অনুমান বাড়তে থাকে।

এই সংখ্যাগুলো মোটেই পরিপাটি ছিল না। কিছু অন-চেইন হিসাব অনুযায়ী ইথেরিয়াম, বিটকয়েন ও ট্রনে সন্দেহভাজন আউটফ্লো ছিল ৫.৫৭ বিলিয়ন ডলার। Glassnode প্রায় ৫.৩ বিলিয়ন ডলার অনুমান করেছিল, যখন বিস্তৃত মূল্যায়ন ৫.৮ বিলিয়ন ডলারের কাছাকাছি গিয়েছিল। এই সংখ্যাগুলো প্রাথমিক, এবং কিছু বিশ্লেষক সতর্ক করেছেন যে বৃহত্তর অনুমানে সন্দেহভাজন আক্রমণের সাথে সম্পর্কহীন স্থানান্তরও থাকতে পারে। Binance স্বতন্ত্রভাবে যাচাইকৃত কোনো ক্ষতির পরিমাণ প্রকাশ করেনি।

তবুও, শুধুমাত্র ইথেরিয়াম লেনদেনগুলোই শিল্পকে সতর্ক করার জন্য যথেষ্ট ছিল। আনচেইন্ড পূর্ব সময় বিকেল ৪:২৪ থেকে ৫:০৪ এর মধ্যে একটি গ্রহণকারী ঠিকানায় প্রায় ৩.৫২ বিলিয়ন ডলার প্রবাহিত হওয়ার হিসাব দিয়েছে। তুলনায়, ফেব্রুয়ারি ২০২৫ সালের বাইবিট হ্যাকের পরিমাণ ছিল প্রায় ১.৫ বিলিয়ন ডলার। এমনকি ইথেরিয়ামের সংকীর্ণ অনুমানও সেই পরিমাণ ছাড়িয়ে যাবে।

কিভাবে একটি ওয়ালেটের নিজস্ব স্বাক্ষর দরজা খুলে দিয়েছিল

প্রধান প্রযুক্তিগত ব্যাখ্যা EIP-7702-কে কেন্দ্র করে, যা মে ২০২৫-এ পেকট্রা আপগ্রেডের মাধ্যমে ইথেরিয়ামে চালু করা হয়েছিল। এই ফিচারটি একটি সাধারণ ক্রিপ্টোকারেন্সি ওয়ালেটকে তার পক্ষে নির্দেশনা কার্যকর করার জন্য একটি স্মার্ট কন্ট্রাক্টকে অনুমোদন করার সুযোগ দেয়। এটি একটি কার্যকর প্রযুক্তি, তবে যখন এই ক্ষমতা ভুল হাতে চলে যায়, তখন তা বিপজ্জনক হয়ে ওঠে।

বিনান্স 14-এর তদন্তকারীরা প্রায় বিকেল ৪:২০ (ইস্টার্ন টাইম) এ জমা দেওয়া একটি প্রতিনিধি লেনদেন শনাক্ত করেছেন। Blockaid-এর বিশ্লেষণ অনুযায়ী, লেনদেনটিতে ৫০টি অনুমোদন ছিল, যা বিভিন্ন সম্ভাব্য লেনদেন কাউন্টার (ননস নামে পরিচিত) বিবেচনা করার জন্য তৈরি করা হয়েছিল। একটি মিলিত হয়েছে।

প্রায় তিন মিনিট পর, ওয়ালেটের সম্পদ একটি বাহ্যিক ঠিকানায় স্থানান্তরিত হয়। গবেষকরা সেই দিন আগে স্থাপিত একটি চুক্তি এবং একটি সংশ্লিষ্ট ঠিকানাও শনাক্ত করেছেন, যা ক্রিপ্টোকারেন্সি গোপনীয়তা প্রোটোকল টর্নাদো ক্যাশের মাধ্যমে অর্থায়িত হয়েছিল।

গুরুত্বপূর্ণ পার্থক্য হল, EIP-7702 বৈধ অনুমোদন প্রয়োজন। বিশ্লেষকরা পরীক্ষা করছেন যে আক্রমণকারী কি ব্যক্তিগত কী (private key) পেয়েছে, অনুমোদিত স্বাক্ষরকারীকে প্রতারণা করে ক্ষতিকর নির্দেশনা অনুমোদন করিয়েছে, নাকি বাইнанসের স্বাক্ষর অবকাঠামোর অন্য কোনো অংশে আপস করেছে। এইগুলির কোনোটিই এখনও নিশ্চিত হয়নি।

এছাড়াও, ইথেরিয়াম ব্যবস্থা বিটকয়েন এবং ট্রনে রিপোর্ট করা লেনদেনের গতিবিধি ব্যাখ্যা করতে পারে না। এতে তদন্তকারীদের সামনে একটি একক ক্ষতিগ্রস্ত স্মার্ট কন্ট্র্যাক্টের তুলনায় অনেক বড় ধাঁধা রয়ে গেছে।

ব্লকএইডের সহ-প্রতিষ্ঠাতা ও সিইও ইডো বেন-নাতান Bitcoin.com নিউজকে বলেছেন যে তারা এটি আসতে দেখেছিল। প্রতিষ্ঠানের H1 প্রতিবেদনে পূর্বাভাস দেওয়া হয়েছিল যে ২০২৬ সালের দ্বিতীয়ার্ধে সাত-অঙ্কের একটি এক্সপ্লয়ট ঘটবে। "আক্রমণকারী কার্যকরভাবে একটি প্রধান বাইন্যান্স ইথেরিয়াম হট ওয়ালেট পুনঃপ্রোগ্রাম করেছিল যাতে একজন অপারেটরই এটি খালি করতে পারে, এমনকি এতে জমা হওয়া নতুন অর্থও, এবং তারা সেই অ্যাক্সেসটি এক ঘণ্টারও বেশি সময় পর আবার ব্যবহার করেছিল," ব্লকএইডের সিইও ব্যাখ্যা করেন।

বেন-নাতান যোগ করেন:

"এই আক্রমণটি অনেক আগেই পরিকল্পিত ছিল, আক্রমণকারী টর্নেডো ক্যাশের মাধ্যমে অপারেশনের তহবিল জোগায় এবং কয়েক ঘণ্টা আগে পরীক্ষামূলক ওয়ালেটে একই দখল অনুশীলন করে, যা সবই অন-চেইনে দৃশ্যমান। টেথার এবং সার্কেল দ্রুত প্রায় ২.৪ বিলিয়ন ডলার জব্দ করেছে, এবং আমরা বাকি অংশের সন্ধান চালিয়ে যাচ্ছি।"

স্টেবলকয়েন ইস্যুকারীরা বিলিয়ন বিলিয়ন টোকেনে কঠোর ব্যবস্থা নিল

তদন্তকারীরা লেনদেনের ইতিহাস পর্যালোচনা করার সময়, স্টেবলকয়েন ইস্যুকারীরা সন্দেহভাজন এক্সপ্লয়েটের সাথে যুক্ত সম্পদে অ্যাক্সেস বন্ধ করতে শুরু করে। টেথারের সিইও পাওলো আর্ডোয়িনো ১.৫৬৭ বিলিয়ন USDT-এর বেশি ফ্রিজ করার কথা জানিয়েছেন। সার্কেলের সিইও জেরেমি অ্যালায়ারও নিশ্চিত করেছেন যে তার কোম্পানি আইন-শৃঙ্খলা রক্ষাকারী বাহিনীর সমন্বয়ে ৮০০ মিলিয়ন USDC-এর বেশি ফ্রিজ করেছে।

এরপর বাইন্যান্সের সহ-সিইও ই হি রিপলকে প্রায় ২০০ মিলিয়ন ডলার ফ্রিজ করার জন্য কৃতিত্ব দিয়েছেন, আর ওয়ার্ল্ড লিবার্টি ফাইন্যান্সিয়ালের সহ-প্রতিষ্ঠাতা জ্যাক উইটকফ প্রায় ২৭ মিলিয়ন ডলারের USD1-এ একটি পৃথক ফ্রিজের কথা জানিয়েছেন। সব মিলিয়ে, রিপোর্টকৃত এসব পদক্ষেপ প্রায় ২.৬ বিলিয়ন ডলারের প্রতিনিধিত্ব করে, যদিও এই সংখ্যাগুলো স্বতন্ত্রভাবে যাচাই করা হয়নি এবং এগুলোকে নিশ্চিত পুনরুদ্ধারের মোট পরিমাণ হিসেবে গণ্য করা উচিত নয়।

আরেকটি সমস্যা আছে। একটি টোকেন ফ্রিজ করা মানে তা তার ন্যায্য মালিকের কাছে ফেরত দেওয়া নয়। কেন্দ্রীভূত স্টেবলকয়েন ইস্যুকারীরা নির্দিষ্ট ঠিকানা থেকে স্থানান্তর ব্লক করতে পারে। বিটকয়েন (BTC) এবং ইথারের মতো নেটিভ অ্যাসেটের কোনো সমতুল্য ইস্যুকারী-নিয়ন্ত্রিত ফ্রিজ ব্যবস্থা নেই। এদিকে, বিশ্লেষকরা সন্দেহভাজন অপারেটরকে ওয়ালেটের মধ্যে ইথার সরানো, বিকেন্দ্রীকৃত ট্রেডিং অবকাঠামোর মাধ্যমে টোকেন বিনিময় এবং ক্রিপ্টোকারেন্সি জামানত রেখে ঋণ নেওয়ার কাজ করতে দেখেছেন।

সতর্কতামূলক ব্যবস্থা হিসেবে আভে (Aave) অস্থায়ীভাবে তার ইথেরিয়াম V3 ঋণ বাজারগুলো স্থগিত করেছে, তবে তাদের স্মার্ট কন্ট্রাক্টগুলো অক্ষত রয়েছে বলে জানিয়েছে। ফলাফল ছিল তদন্তকারীদের মধ্যে একটি দৌড়—তারা আয় চিহ্নিত করার চেষ্টা করছিল এবং প্রাপ্ত ওয়ালেট নিয়ন্ত্রিত ব্যক্তিগুলো সেগুলো সরানোর চেষ্টা করছিল। এর পাশাপাশি, অ্যারবিট্রাম সিকিউরিটি কাউন্সিল একটি অন-চেইন লেনদেন বাস্তবায়ন করেছে, সন্দেহভাজন বাইন্যান্স এক্সপ্লয়েটের সাথে যুক্ত প্রায় ৩০.৫ মিলিয়ন ডলারের সম্পদ ফ্রিজ করতে।

জাও গ্রাহকদের ক্ষতিপূরণ দেওয়ার প্রতিশ্রুতি দেওয়ার পর বাইন্যান্স উত্তোলন বন্ধ করল

বিনান্সের আনুষ্ঠানিক প্রতিক্রিয়া সতর্কই ছিল, যদিও এর প্রতিষ্ঠাতা অনেক বেশি কঠোর ভাষা ব্যবহার করেছিলেন। এক্সচেঞ্জটি একটি সম্ভাব্য নিরাপত্তা সমস্যার কথা স্বীকার করে জানিয়েছে যে তাদের দলগুলো তদন্ত করছে। পরে বৃহস্পতিবার, নিরাপত্তা পরীক্ষা চালানোর সময় তারা উত্তোলন স্থগিত করে এবং সমস্যা সমাধানের পর অ্যাক্সেস পুনরুদ্ধারের প্রতিশ্রুতি দেয়। বিনান্স আরও জানিয়েছে যে গ্রাহকদের তহবিল সম্পূর্ণরূপে নিরাপদ।

২০২৩ সালে সিইও পদ থেকে সরে দাঁড়ানো ঝাও আরও সরাসরি মূল্যায়ন দিয়েছেন। "এটি সত্যিই বাইন্যান্সে একটি হ্যাকের মতো দেখাচ্ছে," তিনি এক্স-এ লিখেছেন, একই সঙ্গে জোর দিয়ে বলেছেন যে তিনি আর এক্সচেঞ্জ পরিচালনা করেন না। একজন শেয়ারহোল্ডার হিসেবে, তিনি বলেছেন যে তিনি আশা করেন সমস্ত গ্রাহকের তহবিল সুরক্ষিত থাকবে। পরবর্তী একটি পোস্টে ঝাও ইঙ্গিত দিয়েছেন যে ক্ষতির পরিমাণ প্রাথমিকভাবে রিপোর্ট করা সংখ্যার চেয়ে বেশি হতে পারে এবং বলেছেন যে বাইন্যান্স তা পূরণ করবে।

এই প্রতিশ্রুতি এক্সচেঞ্জের আর্থিক সম্পদকে সরাসরি আলোচনার কেন্দ্রে নিয়ে এসেছে।

"ব্যবহারকারীর তহবিল নিরাপদ," বাইন্যান্সের সহ-প্রতিষ্ঠাতা ও প্রধান গ্রাহক সেবা কর্মকর্তা ই হি পূর্ব সময় অনুযায়ী রাত ৮টায় লিখেছেন। "বাইন্যান্স সমস্ত হ্যাকিং ক্ষতির দায়ভার বহন করবে। আমাদের দল নিরাপত্তা পরীক্ষা পরিচালনা, তহবিল জব্দ এবং আইন প্রয়োগকারী সংস্থার সঙ্গে কাজ করার সময় আমানত ও উত্তোলন অস্থায়ীভাবে স্থগিত রাখা হয়েছে। তদন্ত শেষ হলে আমরা একটি পূর্ণ পোস্ট-মর্টেম শেয়ার করব। আপডেটের জন্য অনুগ্রহ করে শুধুমাত্র অফিসিয়াল বাইন্যান্স চ্যানেলগুলোর ওপর নির্ভর করুন।

তদন্তকারীরা উত্তরহীন প্রশ্নের মুখোমুখি হওয়ার সময় ক্রিপ্টো বাজারের ধাক্কা লেগেছে

এই সন্দেহজনক ঘটনাটি ইতিমধ্যেই কঠিন একটি ট্রেডিং সেশনের সময় ঘটে।

বিটকয়েন $76,000-এর দিকে নেমে যাওয়ার পর কিছুটা পুনরুদ্ধার হয়, অন্যদিকে ইথেরিয়াম প্রায় 4.6% এবং BNB প্রায় 7.7% হ্রাস পায়। Coinglass-এর তথ্য অনুযায়ী, প্রায় ১.৪ বিলিয়ন ডলারের লিভারেজড পজিশন ২৪ ঘণ্টার মধ্যে লিকুইডেট হয়েছে, প্রধানত বুলিশ বেট। এই ক্ষতির প্রতিটি ডলারই Binance-এর দায়িত্ব নয়। সন্দেহজনক লেনদেন শুরু হওয়ার আগেই বিটকয়েন ইতোমধ্যে চাপে ছিল।

তবুও, শিল্পটি নিজেকে এক সংকটে খুঁজে পেয়েছে। রিপোর্টকৃত প্ল্যাটফর্ম সম্পদের দিক থেকে সবচেয়ে বড় ক্রিপ্টোকারেন্সি এক্সচেঞ্জটি সম্ভাব্য বহু-বিলিয়ন ডলারের একটি লঙ্ঘন তদন্ত করছিল, গ্রাহকরা অস্থায়ীভাবে তহবিল উত্তোলন করতে পারছিলেন না, এবং নিরাপত্তা গবেষকরা এখনও কী ঘটেছিল তা একত্রিত করছিলেন। আক্রমণকারীর পরিচয় সম্পর্কে প্রশ্নগুলোও উত্তরহীন রয়ে গিয়েছিল। কিছু গবেষক উত্তর কোরিয়ার জড়িত থাকার সম্ভাবনা তুলে ধরেছিলেন, তবে কোনো আনুষ্ঠানিক দায়িত্ব আরোপিত হয়নি।

এখন পর্যন্ত তদন্তকারীদের নির্ধারণ করতে হবে কোন ট্রান্সফারগুলো অননুমোদিত ছিল, প্রয়োজনীয় ওয়ালেট পারমিশনগুলো কীভাবে প্রাপ্ত হয়েছিল এবং বাইরের ঠিকানায় এখনও যে সম্পদগুলো ঘোরাফেরা করছে সেগুলো পুনরুদ্ধার করা যাবে কিনা। বাইন্যান্সকে আরেকটি প্রশ্নের উত্তর দিতে হবে: যখন উত্তোলন পুনরায় শুরু হবে, গ্রাহকরা কি দেখবেন যে এক্সচেঞ্জের আশ্বাসগুলো সত্যিই বিশ্বাসযোগ্য ছিল?

এই উত্তরটি বাইন্যান্সের বাইরেও অনেক গুরুত্বপূর্ণ। একটি কোম্পানি ক্ষতিপূরণ করার প্রতিশ্রুতি দিতে পারে, এবং টোকেন ইস্যুকারীরা বিলিয়ন বিলিয়ন ফ্রিজ করতে পারে, কিন্তু এই দুইটি পদক্ষেপই ব্যাখ্যা করে না যে কীভাবে এত পরিমাণ ক্রিপ্টোকারেন্সি প্রথমেই পালিয়ে যেতে পেরেছিল।