কোল্ডকার্ড আক্রমণকারী বড় ওয়ালেটগুলোকে লক্ষ্য করে ১০ মিনিটে ৩০ মিলিয়ন ডলার চুরি করেছে

আক্রমণকারী সবচেয়ে বেশি ব্যালান্স থাকা কোল্ডকার্ড ওয়ালেটগুলোকে অগ্রাধিকার দিয়েছে

ব্লকচেইন অ্যানালিটিক্স প্রতিষ্ঠান চেইনালাইসিস ৩১ জুলাই প্রকাশ করে যে আক্রমণকারী শুরুতেই উচ্চ-মূল্যের কোল্ডকার্ড হার্ডওয়্যার ওয়ালেটগুলোকে লক্ষ্য করেছিল, ফলে চুরি হওয়া মোট অঙ্ক দ্রুত বেড়েছে। প্রতিষ্ঠানটি দেখতে পায় যে আক্রান্ত ১০টি সবচেয়ে বড় ওয়ালেটের মধ্যে ৩টিতে অন্তত ১০ BTC ছিল, যা বিশ্লেষণের সময় আনুমানিক ৬৩৬,০০০ ডলার মূল্যের।

একজন ভুক্তভোগী প্রায় ১৮ লাখ ডলার হারান, আর অপারেশনের প্রথম ১০ মিনিটে নেওয়া মোট মূল্য ৩ কোটি ডলারের দিকে উঠে যায়। ক্রম (ordering) ইঙ্গিত দেয় যে পদ্ধতিগতভাবে সুইপ শুরু করার আগে আক্রমণকারী উপলব্ধ ওয়ালেটগুলোর জনসংখ্যা (population) পরীক্ষা করে দেখেছিল।

চেইনালাইসিস জানিয়েছে:

“এই প্যাটার্নটি ইঙ্গিত করে যে আক্রমণকারী এগোনোর আগে ভুক্তভোগী ওয়ালেট জনসংখ্যা অধ্যয়ন করেছিল।”

প্রায় ২৫ মিনিট সময়ে আক্রমণকারী ৫০০টি পৃথক ওয়ালেট খালি করে দেয়, ফলে ছোট ব্যালান্সগুলোর দিকে বিস্তৃত হওয়ার আগে চুরি হওয়া মূল্যে তীব্র বৃদ্ধি দেখা যায়। চেইনালাইসিস তাদের Reactor তদন্ত প্ল্যাটফর্ম ব্যবহার করে তহবিলের প্রবাহ, ভুক্তভোগীর ঠিকানা, এবং সবচেয়ে বড় ক্ষতিগুলোর মধ্যে ঘনত্ব (concentration) বিশ্লেষণ করেছে।

ক্রমটি ইঙ্গিত দেয় যে ওয়ালেটগুলো এলোমেলোভাবে প্রসেস করা বা তাদের মূল জেনারেশন অর্ডার অনুসরণ করার বদলে শুরুতেই আয় সর্বোচ্চ করার উদ্দেশ্যে ইচ্ছাকৃত প্রচেষ্টা ছিল। বড় ব্যালান্সকে অগ্রাধিকার দেওয়ায় সতর্কতা, এক্সচেঞ্জ নিয়ন্ত্রণ, বা প্রতিরক্ষামূলক ট্রান্সফার আক্রমণকারীর সবচেয়ে মূল্যবান সুযোগগুলো সীমিত করে দেওয়ার ঝুঁকিও কমেছে।

সুইপ চলাকালে অর্থের বিনিময়ে ব্যবহৃত ব্লকচেইন সার্ভিস অ্যাকাউন্টের সূত্র পাওয়া গেছে

কোল্ডকার্ড ওয়ালেট ড্রেইন নিয়ে Block-এর তদন্ত শুরু হয়, যখন কোম্পানির বিটকয়েন ইঞ্জিনিয়ারিং ও সিকিউরিটি টিম রিপোর্ট পায় যে কোম্পানির Bitkey প্ল্যাটফর্মের বাইরে থাকা ওয়ালেটগুলো খালি করা হচ্ছে। Bitkey ইঞ্জিনিয়ারিং লিড ক্লে গ্যারেট একটি অস্বাভাবিক অনুরোধ-প্যাটার্ন বর্ণনা করেন, যা তদন্তকারীদের একটি সন্দেহভাজন অপারেশনাল ওয়ার্কফ্লো শনাক্ত করতে সাহায্য করে।

তদন্তকারীরা নির্ধারণ করেন যে অপারেটর একটি সুপরিচিত ব্লকচেইন-সার্ভিস প্রোভাইডারের অর্থপ্রদত্ত অ্যাকাউন্ট ব্যবহার করে সোর্স ঠিকানাগুলো কুয়েরি করেছে এবং সংশ্লিষ্ট কার্যক্রম চালিয়েছে। প্রোভাইডারের অভ্যন্তরীণ রেকর্ড নাকি গ্যারেট যে অসাধারণ নির্দিষ্টতা (extraordinary specificity) বলে বর্ণনা করেছেন, তার সঙ্গে মিলে সন্দেহভাজন অনুরোধের সংখ্যা, সময়, এবং ক্রম নিশ্চিত করে।

গ্যারেট বলেছেন:

“প্রোভাইডারটি এমন অনুরোধের জবাবে তাদের মানক সেবা দিচ্ছিল, যা তাদের বৃহত্তর উদ্দেশ্য প্রকাশ করত না।”

Block কোনো প্রমাণ পায়নি যে নাম প্রকাশ না করা ওই প্রোভাইডার ইচ্ছাকৃতভাবে সন্দেহভাজন চুরিতে অংশ নিয়েছে বা অপারেটরকে তা সম্পন্ন করতে সচেতনভাবে সহায়তা করেছে। কোম্পানিটি প্রোভাইডারের সঙ্গে সরাসরি যোগাযোগ করেছে এবং তদন্ত ব্যাহত করতে পারে—এমন তথ্য প্রকাশ সীমিত রেখে প্রাসঙ্গিক তথ্য উপযুক্ত কর্তৃপক্ষের সঙ্গে ভাগাভাগি শুরু করেছে।

Coinkite-এর পরামর্শে আক্রান্ত কোল্ডকার্ড ফার্মওয়্যার শনাক্ত করা হয়েছে

তদন্তকারীরা চুরি হওয়া তহবিলের গতিপথ অনুসরণ করতে থাকায়, Coinkite মূল দুর্বলতায় কোন কোন ডিভাইস আক্রান্ত হয়েছিল তা পুনরায় উল্লেখ করে। কোম্পানির Coldcard Mk3 সিকিউরিটি অ্যাডভাইসরি এমন ডিভাইসকে অন্তর্ভুক্ত করেছে যেগুলো ফার্মওয়্যার ভার্সন ৪.০.১ থেকে ৫.০.৩-এ সিড জেনারেট করেছিল। প্রাথমিক ফলাফল দেখায় যে Mk4, Q, এবং Mk5 মডেলগুলো প্রভাবিত হয়নি; অন্যদিকে রিপোর্টে দেখা যায় আনুমানিক ৫৯৪ BTC (মূল্য প্রায় ৩ কোটি ৮০ লাখ ডলার) প্রায় ২৫ মিনিটের মধ্যে সুইপ হওয়া প্রায় ৫০০টি নিষ্ক্রিয় (dormant) ওয়ালেটের সঙ্গে সম্পর্কিত।

অনেক আক্রান্ত ঠিকানা বহু বছর নিষ্ক্রিয় ছিল এবং সাধারণত ০.১৫ BTC থেকে ০.২৬ BTC পর্যন্ত ব্যালান্স ধরে রাখত। Coinkite সুপারিশ করেছে—প্রভাবমুক্ত ডিভাইসে একটি প্রতিস্থাপন সিড তৈরি করা, ছোট একটি টেস্ট ট্রান্সঅ্যাকশন পাঠানো, হার্ডওয়্যার স্ক্রিনে রিসিভিং ঠিকানাটি নিশ্চিত করা, এবং মাইগ্রেশন সফল না হওয়া পর্যন্ত আগের ব্যাকআপ রেখে দেওয়া।

ফার্মওয়্যার আপডেটের পরও ঝুঁকিপূর্ণ সিড উন্মুক্ত থাকে

যেসব কোল্ডকার্ড মালিক ঝুঁকিপূর্ণ ফার্মওয়্যার ব্যবহার করে সিড জেনারেট করেছেন, তারা এমন ঝুঁকির মুখে রয়েছেন যা শুধুমাত্র সর্বশেষ হটফিক্স ইনস্টল করলেই সমাধান হয় না। চেইনালাইসিস আক্রান্ত ব্যবহারকারীদের পরামর্শ দিয়েছে—প্যাচড হার্ডওয়্যারে সম্পূর্ণ নতুন একটি সিড তৈরি করতে, তারপর আক্রান্ত ওয়ালেটগুলো থেকে তাদের বিটকয়েন স্থানান্তর করতে।

প্রতিষ্ঠানটি অতিরিক্ত সুরক্ষার জন্য শক্তিশালী BIP-39 পাসফ্রেজ ব্যবহার করারও সুপারিশ করেছে। চেইনালাইসিস শোষণকারীর ওয়ালেট, একটি কনসোলিডেশন ঠিকানা, এবং ঝুঁকিপূর্ণ প্রাইভেট কী থেকে উৎপন্ন বলে সন্দেহ করা ঠিকানাগুলোর বিরুদ্ধে সম্ভাব্য চলমান আক্রমণের রিপোর্ট পর্যবেক্ষণ চালিয়ে যাচ্ছে। Block জানিয়েছে, তদন্তে হস্তক্ষেপের ঝুঁকি আর না থাকলে তারা অতিরিক্ত অনুসন্ধান প্রকাশ করবে।