হ্যাকাররা ক্রিপ্টো ব্যবহারকারীদের লক্ষ্য করে ট্রেজর, বিটবক্সের ইমেইল হাইজ্যাক করেছে

৯ ও ১০ সেপ্টেম্বর ঘটে যাওয়া ঘটনাটি একক কোনো কোম্পানির মধ্যেই সীমাবদ্ধ নয় বলে মনে হচ্ছে। Bitbox বলেছে একাধিক বিটকয়েন কোম্পানি লক্ষ্যবস্তু হয়েছে এবং আক্রান্ত ব্যবসাগুলো একই নিউজলেটার প্রোভাইডার শেয়ার করে বলে মনে হয়েছে, আর Cointracking তাদের তৃতীয় পক্ষের ইমেইল প্রোভাইডার হিসেবে Brevo-কে চিহ্নিত করেছে।

ভুয়া নিরাপত্তা সতর্কবার্তা নিয়ে Trezor সতর্ক সংকেত বাজাল

Trezor গ্রাহকদের জানিয়েছে যে “Critical Security Alert: STM32 Entropy Vulnerability” শিরোনামের একটি ইমেইল হার্ডওয়্যার ওয়ালেট নির্মাতার কাছ থেকে আসেনি এবং প্রাপকদের কোনো লিংকে ক্লিক না করতে সতর্ক করেছে। কোম্পানিটি জানায় তাদের তৃতীয় পক্ষের ইমেইল প্রোভাইডার ভেঙে ফেলা হয়েছে।

আক্রমণটিতে বিশেষভাবে কুটিল একটি মোড় ছিল: Trezor বলেছে হ্যাকাররা তাদের বৈধ ডোমেইনে প্রবেশাধিকার পেয়েছিল। এতে ফিশিং শনাক্ত করা অনেক বেশি কঠিন হয়ে যায়, কারণ প্রেরক যাচাই করতে অভ্যস্ত ব্যবহারকারীরা পরিচিত অবকাঠামো দেখে বার্তাটিকে নিরাপদ ধরে নিতে পারেন। Trezor জানায় ক্ষতিকর ডোমেইনটি নামিয়ে দেওয়া হয়েছে এবং একটি তদন্ত চলছে।

Bitbox বৃহত্তর আক্রমণের ইঙ্গিত পেল

অন্যদিকে, এটি কেবল Trezor-এর সমস্যা ছিল না। Bitbox জানায় তাদের প্রাথমিক তদন্ত ইঙ্গিত করেছে যে সাবস্ক্রাইবারদের কাছে একটি ফিশিং বার্তা পৌঁছানোর পর তাদের নিউজলেটার প্রোভাইডার সম্ভবত আপসকৃত হয়েছে। আরও গুরুত্বপূর্ণভাবে, কোম্পানিটি বলেছে আরও কয়েকটি বিটকয়েন ব্যবসা লক্ষ্যবস্তু ছিল এবং তারা একই প্রোভাইডার ব্যবহার করছে বলে মনে হয়েছে।

Bitbox তাদের নিজস্ব ফিশিং সতর্কবার্তা পাঠানো, প্রোভাইডারের সঙ্গে যোগাযোগ করা এবং ক্ষতিকর ডোমেইন রিপোর্ট করার মাধ্যমে প্রতিক্রিয়া জানায়। কোম্পানিটি বিবৃতি দেওয়ার সময় বেশিরভাগ ফিশিং লিংক ইতিমধ্যেই নামিয়ে দেওয়া হয়েছিল, যদিও তাদের তদন্ত চলমান ছিল।

Cointracking তাদের আপসকৃত প্রোভাইডার হিসেবে Brevo-কে নামিয়েছে

Cointracking, একটি ক্রিপ্টোকারেন্সি পোর্টফোলিও ট্র্যাকার ও ট্যাক্স প্ল্যাটফর্ম, ঘটনাটিতে জড়িত তৃতীয় পক্ষের ইমেইল সেবা প্রোভাইডার হিসেবে Brevo-কে চিহ্নিত করে ধাঁধার আরেকটি অংশ সামনে এনেছে।

তাদের গ্রাহকরা “Data Breach Notice: Please refresh API Keys as soon as possible.” শিরোনামের একটি ভুয়া বার্তা পেয়েছিল। Cointracking জোর দিয়ে বলেছে বার্তাটি ফিশিং, গ্রাহকদের লিংকে ক্লিক না করতে বলেছে এবং জানিয়েছে তারা ভাঙচুরের ঘটনা তদন্ত করছে।

“এই ইমেইলে থাকা কোনো লিংকে ক্লিক করবেন না। আমরা বর্তমানে ঘটনাটি তদন্ত করছি এবং যত দ্রুত সম্ভব আরও তথ্য পাওয়া গেলে জানাব,” Cointracking লিখেছে।

ক্রিপ্টো প্রতিষ্ঠানগুলো আবারও গ্রাহক নিরাপত্তা হুমকির আরেক দফার মুখোমুখি

এই সময়টা হার্ডওয়্যার ওয়ালেট ব্যবহারকারীদের জন্য সত্যিই কষ্টকর। Safepal এবং Trezor আলাদাভাবে আগস্টে গ্রাহক-তথ্য ফাঁসের শিকার হয়েছিল, যদিও কোনো ঘটনাতেই সিড ফ্রেজ, প্রাইভেট কী বা ওয়ালেটের তহবিল আপসকৃত হয়নি।

SafePal জানায় একটি অথরাইজেশন ত্রুটির কারণে প্রায় ৩৯,৭৯৮ জন গ্রাহকের তথ্য উন্মুক্ত হয়েছে, আর Trezor-এর Shipmonk-সম্পর্কিত ফাঁস শেষ পর্যন্ত আনুমানিক ৮১,০০০টি অর্ডারকে প্রভাবিত করেছে। নাম, ঠিকানা, ফোন নম্বর এবং অন্যান্য গ্রাহক তথ্য—ওয়ালেটগুলো নিরাপদ থাকলেও—আক্রমণকারীদের আরও বিশ্বাসযোগ্য ফিশিং প্রচেষ্টার উপকরণ দিতে পারে।

নিরাপত্তার দৌড় আরও গতি পাচ্ছে

কৃত্রিম বুদ্ধিমত্তা সফটওয়্যার দুর্বলতা খুঁজে বের করাকে আরও সস্তা ও দ্রুত করে তোলায় সামগ্রিক হুমকিটিও বদলে যাচ্ছে। মে মাসে, টেলর হর্নবি Claude Opus 4.8 ব্যবহার করে চার বছর পুরোনো একটি Zcash Orchard ত্রুটি উন্মোচন করেন, আর পরে Anthropic এজেন্টরা প্রায় $550 মিলিয়ন সমপরিমাণ সিমুলেটেড ক্ষতির প্রতিনিধিত্বকারী শত শত ঐতিহাসিক বিকেন্দ্রীভূত ফাইন্যান্স (DeFi) এক্সপ্লয়েট পুনরুত্পাদন করে।

আগস্টে, স্বেচ্ছাসেবী Bitcoin Red Team ৩৯০টি প্রকল্প স্ক্যান করে প্রায় ৩০ ঘণ্টায় ৪,৯৬২টি ফাইন্ডিং জমা দেয়, যার মধ্যে ৮৫টি ‘ক্রিটিক্যাল’ হিসেবে শ্রেণিবদ্ধ ছিল। গবেষক ও আক্রমণকারীরা ক্রমেই একই শক্তিশালী টুলে প্রবেশাধিকার পাচ্ছে, ফলে ক্রিপ্টো কোম্পানিগুলোকে এমন এক সূক্ষ্ম দড়ির ওপর হাঁটতে হচ্ছে যেখানে নির্ণায়ক প্রশ্নটা হয়তো কেবল এটিই: কে আগে দুর্বলতাটা খুঁজে পায়।

Trezor, Bitbox এবং Cointracking-এর গ্রাহকদের জন্য তাৎক্ষণিক অগ্রাধিকার আরও সহজ: কোম্পানিগুলো কী ঘটেছে তা তদন্ত করার সময় শনাক্ত ফিশিং ইমেইল ও সেগুলোর লিংক এড়িয়ে চলুন। এরপর কী হবে তা নির্ভর করবে শেয়ার করা ইমেইল অবকাঠামো কীভাবে আপসকৃত হয়েছে, আক্রমণ কতটা বিস্তৃতভাবে ছড়িয়েছে, এবং আরও কোনো ক্রিপ্টোকারেন্সি কোম্পানি অনুরূপ ঘটনার কথা প্রকাশ করে কি না।