একজন আক্রমণকারী দুইটি ক্রিপ্টো প্রকল্পে হামলা চালিয়ে ২০ লাখ ডলার নিয়ে পালিয়েছে

এক আক্রমণকারী, দুই ক্রিপ্টো প্রকল্প, আর $2 মিলিয়ন উধাও

শনিবার রাত থেকে রবিবারের মধ্যে, সঠিক ক্রিপ্টোগ্রাফিক কী হাতে থাকা কেউ দুইটি ক্রিপ্টো প্রকল্পে প্রায় একসঙ্গে আঘাত হানতে সক্ষম হয়—যা দেখতে আলাদা আলাদা এক্সপ্লয়েট মনে হলেও শেষ পর্যন্ত এক অদ্ভুত $2 মিলিয়নের ডাকাতিতে পরিণত হয়। Fetch.ai-এর দিক থেকে, ৮,৭২১,৫৩০ FET—মূল্য প্রায় $1.55 মিলিয়ন—একটি টোকেন কনভার্টার থেকে উধাও হয়ে যায়। অন্যদিকে, আক্রমণকারী শুধু কোথাও পড়ে থাকা আগে থেকেই থাকা কয়েন চুরি করেনি।

তারা প্রায় ৪০৮.৫ মিলিয়ন নতুন NTX তৈরি করেছে, যার মূল্য তখনকার হিসাবে আনুমানিক $452,000 থেকে $463,000। এই মিন্টিং NTX-এর মোট সরবরাহের প্রায় ৪২% ছিল। Peckshield, Blockaid এবং Fetch.ai শেষ পর্যন্ত এই কার্যক্রমকে একই ওয়ালেট ক্লাস্টারের সঙ্গে যুক্ত করেছে।

একটি সিগনেচারই FET ভল্ট খুলে দিয়েছিল

সর্বশেষ FET চুরি এমন কোনো ঘটনা ছিল না যেখানে কেউ কোনো চালাক গণিতগত ত্রুটি খুঁজে বের করে স্মার্ট কনট্র্যাক্টে আঘাত করেছে। Fetch.ai-এর TokenConversionManagerV3 কনট্র্যাক্ট তার conversionIn() ফাংশনের মাধ্যমে একটি বৈধ conversion-authorizer সিগনেচার গ্রহণ করেছিল। সমস্যা ছিল—এই সিগনেচারটাই মূলত গেটকিপার। conversionOut() এর বিপরীতে, এই ফাংশন checkLimits(amount) মডিফায়ার চালায়নি, আর অনচেইনেও যাচাই করেনি যে সংশ্লিষ্ট টোকেনগুলো অন্য কোথাও লক বা বার্ন করা হয়েছে কি না।

একবার সাইনিং কী কমপ্রোমাইজড হয়ে গেলে, আক্রমণকারী নিজের ঠিকানার দিকে নির্দেশ করে নতুন একটি বৈধ মেসেজ তৈরি করতে পারত। এক ট্রানজ্যাকশনের পরই, কনভার্টারের অবশিষ্ট FET ইনভেন্টরি শেষ হয়ে যায়। Fetch.ai-এর প্রাথমিক পর্যালোচনায় কমপ্রোমাইজড ক্রেডেনশিয়ালকে SingularityNET-এর ক্রস-চেইন ব্রিজে ব্যবহৃত একটি ব্যাকএন্ড সাইনিং কী-এর সঙ্গে যুক্ত করা হয়েছে। আলাদা একটি NTX মিন্টিং কী-ও কমপ্রোমাইজড হয়েছিল, এবং Fetch.ai বলেছে উভয় আক্রমণের পথ একই মিনিটে শুরু হয়।

এই টাইমিংটাই গল্পকে আরও অদ্ভুত করে তোলে। এগুলো কেবল দুইটি প্রকল্পের একসাথে খারাপ উইকএন্ড কাটানো ছিল না। একই অপারেটর সংযুক্ত ইনফ্রাস্ট্রাকচারের জুড়ে ট্রানজ্যাকশন অনুমোদনের ক্ষমতাসম্পন্ন ক্রেডেনশিয়াল অর্জন করেছে বলে মনে হয়, তারপর প্রায় একই সময়ে সেগুলো ব্যবহার করেছে।

পাতলা বাতাস থেকে ৪০৮.৫ মিলিয়ন টোকেন হাজির

NTX দিকটি টোকেনটির নিজের জন্য অনেক বেশি ধ্বংসাত্মক ছিল। সীমিত কোনো ওয়ালেট খালি করার বদলে, আক্রমণকারী নতুন কয়েন তৈরি করার ক্ষমতা পেয়ে যায়। প্রায় ৪০৮.৫ মিলিয়ন NTX হঠাৎ সমীকরণে ঢুকে পড়ে—যা মোট সরবরাহের প্রায় ৪২%।

অন্যভাবে বললে, সরবরাহে আগে থেকেই থাকা প্রতি ১০টি NTX-এর বিপরীতে, আক্রমণকারী হঠাৎ করে প্রায় আরও ৪টির সমান তৈরি করে ফেলেছিল।

পাতলা লেনদেন হওয়া একটি টোকেনের জন্য এটা নির্মম সমস্যা। NTX-এর এক্সচেঞ্জ রেট ঘটনার আগে প্রায় $0.0013-এর কাছে ছিল। বাজারের ডেটায় দেখা যায় এটি ৭০% এর বেশি পড়ে $0.000328 লো ছুঁয়েছে, আর পরে তারল্য খারাপ হতে থাকায় আরও কম দামে প্রিন্ট হয়েছে। কিছু ট্র্যাকার ৯৬% থেকে ৯৯% পর্যন্ত পতন রেকর্ড করেছে, যদিও বাজার এতটাই পাতলা ছিল যে ভেন্যুভেদে সঠিক দাম তীব্রভাবে ভিন্ন হয়েছে।

FET সম্পূর্ণ ভিন্ন ধরনের ধাক্কা খেয়েছে। আক্রমণকারী কনভার্টার থেকে বিদ্যমান ইনভেন্টরি চুরি করেছিল বলে এর সার্কুলেটিং সাপ্লাই হঠাৎ ফুলে যায়নি। বিভিন্ন ফিডে FET প্রায় ৫% থেকে ৮% কমে—ব্যথাদায়ক, কিন্তু NTX-এর ধসের ধারেকাছেও নয়।

লুট দ্রুত ETH হয়ে গেল

আক্রমণকারী চুরি করা সম্পদগুলো স্রেফ ফেলে রাখেনি। PeckShield ওয়ালেট ক্লাস্টারটিকে ট্র্যাক করে দেখেছে—তারা প্রাপ্তি ৫৪৬.৩৬ ETH-এ সোয়াপ করেছে, যার মূল্য তখন প্রায় $1.44 মিলিয়ন। Fetch.ai-এর পরবর্তী স্ন্যাপশটে দেখা গেছে একটি ওয়ালেটে প্রায় ৫৪৭.৮৯ ETH-এর পাশাপাশি আনুমানিক ২৩০ মিলিয়ন NTX এখনও পড়ে আছে।

অবশিষ্ট NTX গুরুত্বপূর্ণ, কারণ Fetch.ai তাদের প্রাথমিক বিশ্লেষণ প্রকাশ করার সময় নতুন মিন্ট হওয়া সরবরাহের একটি বড় অংশ নাকি বিক্রি হয়নি। ফলে বাজারকে মোকাবিলা করতে হয়েছে শুধু ইতিমধ্যে ডাম্প হওয়া কয়েন নয়, বরং পাতলা অর্ডার বুকের ওপর ঝুলে থাকা সম্ভাব্য আরও শত শত মিলিয়ন কয়েনের চাপও।

Fetch.ai বলেছে ট্রেজারি ফান্ড, এক্সচেঞ্জ ওয়ালেট, এবং স্ব-কাস্টডিতে বা এক্সচেঞ্জে রাখা ব্যবহারকারীদের কয়েন প্রভাবিত হয়নি। টিম কাজ শুরু করে SingularityNET-এর সঙ্গে মিলে প্রভাবিত ওয়ালেট এবং কনট্র্যাক্টগুলো নিষ্ক্রিয় করতে, পাশাপাশি ব্যবহারকারীদের সতর্ক করে যে অযাচিত বার্তা উপেক্ষা করতে এবং অফিসিয়াল চ্যানেলের ওপর নির্ভর করতে।

সবচেয়ে বড় অনুত্তরিত প্রশ্ন—কীভাবে কী-গুলো বেরিয়ে গেল

তদন্তকারীরা আক্রমণের কার্যপ্রণালি এর উৎসের তুলনায় অনেক ভালোভাবে ব্যাখ্যা করেছেন। SlowMist ব্যাখ্যা করেছে কীভাবে FET কনভার্টার কমপ্রোমাইজড সিগনেচার গ্রহণ করেছিল, আর Fetch.ai শনাক্ত করেছে সংশ্লিষ্ট SingularityNET ব্রিজ সাইনার এবং NTX মিন্টিং কী। কিন্তু কেউই জনসমক্ষে প্রতিষ্ঠা করতে পারেনি—প্রথমে কীভাবে ওই ক্রেডেনশিয়ালগুলো কমপ্রোমাইজড হলো।

এখনও কোনো নিশ্চিত জনসম্মুখ উত্তর নেই—ফিশিং, সার্ভার ইনট্রুশন, লিক হওয়া ব্যাকআপ, বা অন্য কিছু আক্রমণকারীর হাতে কী পৌঁছে দিয়েছে কি না। এছাড়াও সদ্য মিন্ট হওয়া শত শত মিলিয়ন NTX এখনও হিসাবের বাইরে আছে, সঙ্গে প্রশ্ন—এক্সচেঞ্জগুলো কি লেবেল করা ফান্ড ফ্রিজ করতে পারবে, বা অতিরিক্ত সরবরাহ কোনোভাবে নিষ্ক্রিয় করা সম্ভব কি না।

ব্লকচেইন ঠিক সেটাই করেছে, যা বৈধ সিগনেচারগুলো তাকে করতে বলেছিল। সম্ভবত পুরো ঘটনার সবচেয়ে অদ্ভুত অংশ এটিই। FET বাঁকল। NTX ভেঙে পড়ল।