লিকুইড হ্যাকাররা ৩,৪০০ বিটিসি ফেরত দিয়েছে, নেটওয়ার্ক স্থগিতই থাকায় ৪৭ মিলিয়ন ডলার রেখে দিয়েছে

এই ফেরত দেওয়া ঘটনাটি রবিবার, ৬ সেপ্টেম্বর শুরু হওয়া একটি ঘটনার ক্ষেত্রে উল্লেখযোগ্য মোড় নির্দেশ করে; তখন প্রায় 4,000 BTC (তৎকালীন মূল্য প্রায় $320 মিলিয়ন) L-BTC-কে সমর্থনকারী লিকুইড ফেডারেশন ওয়ালেট থেকে বেরিয়ে যায়। এটি রিজার্ভের প্রায় 95% ছিল, ফলে পেছনে মাত্র প্রায় 197 BTC থেকে যায়।

3,400 BTC ফিরে এসেছে, কিন্তু 598.5 BTC থেকে গেছে

ব্লকস্ট্রিম সংশ্লিষ্টদের জানায় যে তাদের ব্রিজ নোডগুলো প্যাচ করা হয়েছে এবং তহবিল “ফেরত দেওয়ার জন্য নিরাপদ,” এরপর তারা ফেডারেশন ঠিকানায় 3,400 BTC পাঠিয়ে একটি লেনদেন ব্রডকাস্ট করে। সংশ্লিষ্টদের ঠিকানায় 598.49955894 BTC রয়ে গেছে, এবং অনচেইন বার্তাগুলোতে ওই প্রায় 15% অবশিষ্টাংশকে কোনো সম্মত বাউন্টি হিসেবে চিহ্নিত করা হয়নি।

মজার বিষয় হলো, এটি ক্লাসিক অর্থে হ্যাকারদের প্রাইভেট কী চুরি করে একটি ওয়ালেট খালি করে দেওয়ার ঘটনা ছিল না। লিকুইড জানায় কোনো ফেডারেশন কী কমপ্রোমাইজ হয়নি, আর Sideswap বলেছে তাদের সিস্টেম ভাঙা হয়নি। বরং সমস্যাটি লিকুইড নোডগুলোতে ব্যবহৃত Bitcoin Core ফর্ক Elements-এ গিয়ে ঠেকেছে।

Elements-এর বাগ অনব্যাকড L-BTC-এর দরজা খুলে দিয়েছে

স্বাধীন টেকনিক্যাল রিকনস্ট্রাকশনগুলো একটি রেঞ্জ-প্রুফ ভেরিফিকেশন ক্যাশ বাগের দিকে ইঙ্গিত করে, যা নাকি সংশ্লিষ্টদের এমন L-BTC তৈরি করতে দিয়েছিল যার পেছনে সাধারণত যে বিটকয়েন ব্যাকিং থাকার কথা, তা ছিল না। সহজ ভাষায়, সিস্টেম এমন বিটকয়েন-সদৃশ টোকেন গ্রহণ করেছিল যা আদৌ অস্তিত্বে থাকার কথা নয়, এবং পরে সেই টোকেনগুলো লিকুইডের রিজার্ভ থেকে বাস্তব বিটকয়েনের সাথে এক্সচেঞ্জ করা হয়।

সংশ্লিষ্টরা প্রথমে 2.5 BTC-এর একটি ড্রাই রান করে, এরপর প্রায় 4,000 L-BTC 14:05 UTC-এ Sideswap-এর পেগ-আউট সার্ভিসে পৌঁছায়। Sideswap অনুরোধটি স্বাভাবিকভাবেই প্রসেস করে, L-BTC বার্ন করে পেমেন্ট রিকোয়েস্ট করে, এবং লিকুইডের ফেডারেশন 14:28 UTC-এ গন্তব্যে 3,996 BTC পাঠায়।

এই পার্থক্যটির ওপর অনেক কিছু নির্ভর করে। বৈধ উইথড্রয়াল রিকোয়েস্ট উপস্থাপিত হলে লিকুইডের ফেডারেশন সাইনাররা ডিজাইন অনুযায়ীই আচরণ করেছে। ব্যর্থতা ঘটেছিল আরও আগে, যখন অনব্যাকড L-BTC সিস্টেমে ঢুকে পড়ে—অর্থাৎ ঘটনাটির কেন্দ্রবিন্দু ছিল কাস্টডি কী কমপ্রোমাইজ হওয়া নয়, বরং ইস্যুয়েন্স।

ব্লকস্ট্রিম এবং সংশ্লিষ্টরা বিটকয়েনের ওপর আলোচনা করে

এরপর যা হয়েছে তা স্বাভাবিক সিকিউরিটি ডিসক্লোজারের মতো ছিল না। সংশ্লিষ্টরা Bitcoin OP_RETURN বার্তার মাধ্যমে প্রকাশ্যে যোগাযোগ করে, প্রথমে ঘোষণা দেয়, “we are whitehats. contact us on chain.” ব্লকস্ট্রিম শেষ পর্যন্ত PGP-সাইনড বার্তা দিয়ে জবাব দেয়, এবং সংশ্লিষ্টরা বলে নেটওয়ার্ক প্যাচ হওয়ার পর তারা তহবিল ফেরত দেবে।

এর পাশাপাশি, হোয়াইট-হ্যাট পরিচয়টি নিয়েও বিতর্ক রয়েছে। Ledger CTO চার্লস গিয়েমে ‘আগে নিয়ে পরে আলোচনা’ পদ্ধতিটিকে প্রশ্নবিদ্ধ করেন, যদিও পরে তিনি স্বীকার করেন সংশ্লিষ্টরা অনভিজ্ঞ গবেষকও হতে পারে। লিকুইড নিজেই সতর্কভাবে তাদের “কথিত হোয়াইট-হ্যাট হ্যাকার” বলে উল্লেখ করেছে।

পরবর্তী পরীক্ষার মুখে অপারেটররা, লিকুইড স্থবিরই আছে

3,400 BTC ফেরত রিজার্ভ-সমস্যার ওপর থেকে অনেক চাপ কমালেও লিকুইড এখনও পুরোপুরি বিপদমুক্ত নয়। নেটওয়ার্ক স্থগিতই রয়েছে, ব্রিজ নোডগুলো নিষ্ক্রিয় এবং কেন্দ্রীভূত এক্সচেঞ্জগুলোতে L-BTC ডিপোজিট ও উইথড্রয়াল বন্ধ আছে। USDT, Depix এবং রিয়েল-ওয়ার্ল্ড অ্যাসেটস (RWA)-সহ লিকুইড-ইস্যুড অন্যান্য অ্যাসেট স্পর্শ করা হয়নি।

অন্যদিকে, বিটকয়েনের মেইন নেটওয়ার্ক অপ্রভাবিত ছিল, এবং Aqua-এর মতো লিকুইড ওয়ালেটগুলো কেবল তাদের লিকুইড ফাংশনালিটির ক্ষেত্রে ব্যাহত হয়েছে। প্রায় 598.5 BTC এখনও সংশ্লিষ্টদের নিয়ন্ত্রণে রয়েছে, এবং ওই তহবিলগুলো শেষ পর্যন্ত ফেরত আসবে কি না—এমন কোনো প্রকাশিত সমঝোতা নেই।

অপারেটররা আবার প্রমাণ করতে পারলে যে বৈধ L-BTC পুনরায় 1:1 অনুপাতে ব্যাকড, নেটওয়ার্কজুড়ে প্যাচড Elements রিলিজ বিতরণ করতে পারলে, এবং ব্রিজ পুনরায় খোলা নিরাপদ কি না তা সিদ্ধান্ত নিতে পারলে রিস্টার্ট সম্ভব হতে পারে। এসব ধাপ সম্পূর্ণ না হওয়া পর্যন্ত, লিকুইডের অন্যতম বড় টেকনিক্যাল সংকটের ধুলো এখনও পুরোপুরি বসেনি।