বিনান্স হ্যাক প্রকাশ করেছে ৩টি ‘পুরোপুরি এড়ানো যেত’ ত্রুটি: কোইনএক্স প্রতিষ্ঠাতা

শিল্পের প্রবীণদের মতামত

প্রতিদ্বন্দ্বী এক্সচেঞ্জ কোইনএক্সের প্রতিষ্ঠাতা ক্রিপ্টো ইতিহাসের সর্ববৃহৎ চুরি নিয়ে মন্তব্য করেন, উল্লেখ করে যে বাইন্যান্সের লঙ্ঘন "অন্তত তিনটি গুরুত্বপূর্ণ ভুল" উন্মোচন করেছে যা সম্পূর্ণরূপে এড়ানো যেত। ইয়াং আরও যোগ করেন যে এটি উন্নত প্রযুক্তির অভাবের চেয়ে অপারেশনাল শৃঙ্খলার ব্যর্থতা ছিল।

তার মন্তব্য এসেছে এমন এক সময়ে যখন বাইন্যান্স অক্টোবর ২৯-এ হট ওয়ালেট থেকে প্রায় ৬.৩৪ বিলিয়ন ডলারের সম্পদ চুরি যাওয়ার পর এর প্রভাব মোকাবিলা করছে। এফবিআই এই আক্রমণকে উত্তর কোরিয়ার 'ট্রেডারট্রেইটর' গ্রুপের কাজ বলেছে।

তিনটি ভুল

ইয়াং-এর তালিকাটি নিম্নরূপ:

• কর্ম এবং ব্যক্তিগত কম্পিউটিং পৃথক করা হয়নি: ইয়াং বলেছেন ডেভেলপমেন্ট এবং অপারেশন পরিবেশ "সম্পূর্ণভাবে বিচ্ছিন্ন" ছিল না। তিনি যুক্তি দিয়েছেন যে প্রোডাকশন সিস্টেমে অ্যাক্সেস থাকা কর্মীদের নিবেদিত ডিভাইস ব্যবহার করা উচিত ছিল (সমস্ত কোডিং, চ্যাট এবং ওয়েব ব্রাউজিং একটি পৃথক মেশিনে পরিচালিত হওয়া উচিত ছিল)। এই বিষয়টি সরাসরি সেই বিষয়ের সাথে মেলে যা বাইন্যান্স তাদের সর্বশেষ পোস্ট-মর্টেমে প্রকাশ করেছে।
• একটি কী দিয়ে প্রোডাকশন চালানো যেত: ইয়ান বলেছেন, প্রোডাকশন সার্ভিস চালানোর জন্য একটি একক ক্রেডেনশিয়ালই যথেষ্ট ছিল, যার অর্থ একটি লিকের মাধ্যমে আক্রমণকারীদের পূর্ণ অ্যাক্সেস মিলত। তিনি অ্যামাজন ওয়েব সার্ভিসেস (AWS) সেশন ম্যানেজারের মতো একটি ব্রাউজার-ভিত্তিক সেশন ম্যানেজার এবং হার্ডওয়্যার সিকিউরিটি কী-কে দ্বিতীয় ফ্যাক্টর হিসেবে ব্যবহারের পরামর্শ দিয়েছেন, যাতে একটি একক চুরি হওয়া ক্রেডেনশিয়ালই কোনো লঙ্ঘন হিসেবে গণ্য না হয়।
• মাল্টি-সিগনেচার কেবল কাগজে-কলমে। ইয়াংয়ের তৃতীয় পয়েন্টটি ছিল বাইন্যান্সের মাল্টি-পার্টি কম্পিউটেশন (MPC) সেটআপকে লক্ষ্য করে, একটি পদ্ধতি যা স্বাক্ষর করার ক্ষমতা একাধিক পক্ষের মধ্যে ভাগ করে। তিনি বলেন, স্বাক্ষরকারীরা লেনদেনগুলো যথাযথভাবে যাচাই করত না, তাই একটি নোড compromise করলে একক স্বাক্ষরের মতোই প্রভাব পড়ত। তিনি যুক্তি দিয়েছিলেন, মাল্টি-সিগনেচার তখনই কার্যকর হয় যখন প্রতিটি স্বাক্ষরকারী স্বাধীনভাবে লেনদেন যাচাই করে, উপরের স্তর থেকে আসা অনুরোধের ওপর ভরসা না করে।

বিনান্সের ঘটনা বর্ণনা

বিনান্সের নিজস্ব অ্যাকাউন্ট ইয়াং-এর সমালোচনার সারসংক্ষেপকে সমর্থন করে, কারণ সহ-সিইও রিচার্ড টেং সিএনবিসি-কে বলেছেন যে ভুয়া সাক্ষাৎকারের পর আক্রমণকারীরা "আমাদের অভ্যন্তরীণ এআই টুলগুলোতে তীব্রভাবে প্রবেশ করেছে" এবং "আমাদের ওয়ালেট লেনদেন অনুমোদনকারী সিস্টেমে" প্রবেশাধিকার অর্জন করেছে। Bitcoin.com News-এর প্রতিবেদনে বলা হয়েছে, পোস্ট-মর্টেমে এই লঙ্ঘনকে একটি ভুয়া চাকরির সাক্ষাৎকার এবং আপস করা কৃত্রিম বুদ্ধিমত্তা (AI) টুলসের সঙ্গে যুক্ত করা হয়েছে।

এক্সচেঞ্জটি তখন থেকেই প্রভাবিত ওয়ালেট সিস্টেম পুনর্গঠন করেছে, ডিভাইসগুলো প্রতিস্থাপন করেছে, সনদ বাতিল করেছে এবং ওয়ালেট-সেবা ঝুঁকি নিয়ন্ত্রণ শক্তিশালী করেছে। টেং ফক্স বিজনেসকে আরও জানিয়েছেন যে "কোম্পানি সম্পূর্ণ দায়ভার বহন করে," এবং উল্লেখ করেছেন যে প্রভাবিত সম্পদের ৯৮% পুনরুদ্ধার করা হয়েছে।

ইয়াং একমাত্র ব্যক্তি নন যিনি এই হ্যাককে ঝুঁকি-ব্যবস্থাপনার ব্যর্থতা হিসেবে দেখিয়েছেন। জিরো নলেজ গ্রুপের প্রতিষ্ঠাতা অস্টিন ক্যাম্পবেল ক্রিপ্টো মিডিয়াকে বলেছেন, "ক্রিপ্টো কখনোই প্রযুক্তি খাতের বাইরে নিরাপত্তার জন্য নিজেকে গড়ে তোলে নি," এবং পরবর্তীতে বিলিয়ন-ডলারের স্থানান্তর ২৪ ঘণ্টার জন্য স্থগিত করার আহ্বান জানিয়েছেন।

একজন সমালোচক যিনি নিজেও এতে অংশীদার

ইয়াংয়ের সমালোচনার পেছনে একটি অস্বাভাবিক প্রেক্ষাপট রয়েছে, কারণ সেপ্টেম্বরে তিনি ঘোষণা করেছিলেন যে Coinex একটি সুশৃঙ্খল শাটডাউন শুরু করবে, যেখানে তহবিল উত্তোলন ২২ ডিসেম্বর, ২০২৬ পর্যন্ত খোলা থাকবে। তিনি তখন বলেছিলেন যে একটি এক্সচেঞ্জ পরিচালনার নিরাপত্তা এবং সম্মতি ঝুঁকি নিয়ন্ত্রণ করা আরও কঠিন হয়ে পড়েছে, এবং যোগ করেছিলেন যে "সীমিত আয়ের জন্য অসীম ঝুঁকি নেওয়া আর যৌক্তিক পছন্দ নয়।"

অন্য কথায়, বাইন্যান্সের ব্যর্থতা বিশ্লেষণকারী প্রতিষ্ঠাতা সিদ্ধান্ত নিয়েছেন যে একই ঝুঁকি তার নিজের প্রতিষ্ঠানে বহন করার কোনো মূল্য নেই।

অবশেষে, উল্লেখ্য যে ইয়াংয়ের কোনো সমাধানই অদ্ভুত নয়; অর্থাৎ, ডিভাইস পৃথকীকরণ, হার্ডওয়্যার কী এবং স্বাধীন স্বাক্ষরকারী যাচাইকরণ—এসব যেকোনো বড় প্রতিষ্ঠানের জন্যই সাধারণ পরামর্শ। বিনান্সের মতো সম্পদশালী একটি প্রতিষ্ঠান যদি এসব ফাঁকফোকরে পরাজিত হয়, সেটাই তার পোস্টটিকে আরও তীব্র করে তোলে।

যাই হোক না কেন, বিলটি যথেষ্টই ভারী হয়েছে; এক বিশ্লেষণে অনুমান করা হয়েছে যে জরিমানা ও হ্যাকের কারণে বাইন্যান্স হয়তো পাঁচ বছরের মুনাফার প্রায় অর্ধেকই হারিয়েছে। হ্যাকাররা চুরি করা তহবিল ১২,০০০টি ওয়ালেটে ছড়িয়ে দেওয়ায়, অন্যান্য এক্সচেঞ্জগুলোও হয়তো ইয়্যাং যেই প্রশ্নটি করেছেন, সেই একই প্রশ্নের মুখোমুখি হবে: তাদের মৌলিক ব্যবস্থাগুলো কি সত্যিই সঠিকভাবে আছে?