সিকিউরিটি ফার্ম ব্লকএইড বলেছে, এআই এবং ওয়ালেট আক্রমণ দ্রুততর হওয়ার সঙ্গে সঙ্গে ২১২টি অনচেইন এক্সপ্লয়েটে ১.১ বিলিয়ন ডলার চুরি হয়েছে

উত্তর কোরিয়ান হ্যাকাররা চুরি করা তহবিলে $600M-এর যোগান দেয়

২০২৬ সালের প্রথমার্ধ অনচেইন নিরাপত্তা হুমকির ক্ষেত্রে রেকর্ডভাঙা সবচেয়ে সক্রিয় সময় হিসেবে চিহ্নিত হয়; নিরাপত্তা প্রতিষ্ঠান Blockaid জানিয়েছে, ২০২৫ সালের পুরো বছরের তুলনায় উচ্চ-থ্রেশহোল্ড এক্সপ্লয়েট ৩.৪ গুণ বেড়েছে। Blockaid-এর H1 2026 Onchain Security Report অনুযায়ী, মোট ডলার ক্ষতি দাঁড়িয়েছে $1.1 বিলিয়নে, তবে একক বহু-বিলিয়ন-ডলারের ‘মেগা-হেইস্ট’ না থাকায় এটি ২০২৫ সালের প্রথমার্ধের তুলনায় কম।

তবে আক্রমণের পরিমাণ এবং প্রযুক্তিগত জটিলতা নাটকীয়ভাবে বেড়েছে। গবেষণার তথ্য অনুযায়ী, ছয় মাসে হামলাকারীরা ২১২টি যাচাইকৃত এক্সপ্লয়েট চালায়, যার সর্বোচ্চ দেখা যায় জুনে—মোট ৫৭টি পৃথক ঘটনার মাধ্যমে। মাত্র চারটি বড় ঘটনা মোট চুরি হওয়া তহবিলের $707 মিলিয়ন, অর্থাৎ ৬৪%, এর জন্য দায়ী ছিল। Blockaid জানায়, Lazarus Group-এর সঙ্গে সংশ্লিষ্ট উত্তর কোরিয়ার “Trader Traitor” হ্যাকিং ক্লাস্টার মোট ক্ষতির আনুমানিক $609 মিলিয়নের জন্য দায়ী।

আর্থিক ক্ষতির বড় অংশই উত্তর কোরিয়ার রাষ্ট্র-সমর্থিত হুমকি সৃষ্টিকারী অভিনেতাদের পরিচালিত কয়েকটি উচ্চ-প্রোফাইল নিরাপত্তা লঙ্ঘনে কেন্দ্রীভূত ছিল। এই সময়ের দুটি বৃহত্তম এক্সপ্লয়েট—রিস্টেকিং প্রোটোকল KelpDAO ($292 মিলিয়ন) এবং Solana পারপেচুয়াল DEX Drift Protocol ($285 মিলিয়ন)—উভয়ই Trader Traitor-এর সঙ্গে সম্পৃক্ত বলে উল্লেখ করা হয়েছে।

স্মার্ট কন্ট্রাক্ট বাগের ওপর নির্ভর না করে, এই হামলাগুলো মানবিক ও অপারেশনাল ভেক্টরকে লক্ষ্য করেছে। Drift ভাঙনে, কয়েক সপ্তাহের লক্ষ্যভিত্তিক সোশ্যাল ইঞ্জিনিয়ারিং হামলাকারীদের অ্যাডমিনিস্ট্রেটিভ multisig নিয়ন্ত্রণ দেয়, ফলে ১২ মিনিটেরও কম সময়ে $285 মিলিয়ন চুরি হয়। KelpDAO এক্সপ্লয়েটে, হামলাকারীরা LayerZero-এর এক ডেভেলপারের বিরুদ্ধে সোশ্যাল ইঞ্জিনিয়ারিং ব্যবহার করে RPC অবকাঠামোতে বিষ প্রয়োগ করে এবং ক্রস-চেইন ব্রিজ অ্যাটেস্টেশন জাল করে।

এদিকে, প্রতিবেদনে ২০২৬ সালের প্রথমার্ধে উদ্ভূত তিনটি বড় নিরাপত্তা সীমারেখা তুলে ধরা হয়েছে—যেগুলো ঐতিহাসিকভাবে মানক অডিট স্কোপের বাইরে ছিল: EIP-7702 ওয়ালেট ডেলিগেশন আক্রমণ, AI প্রম্পট ইনজেকশন, এবং অফ-চেইন ব্রিজ অবকাঠামো। AI দুর্বলতা থেকে সৃষ্ট হুমকি তুলে ধরতে, প্রতিবেদনে মে মাসের একটি ঘটনার কথা উল্লেখ করা হয়, যেখানে একজন আক্রমণকারী “prompt injection ব্যবহার করে Bankr-এর AI এজেন্টকে একটি অননুমোদিত লেনদেন অনুমোদন করতে প্ররোচিত করে, $216K নিয়ে যায়।”

আক্রমণ ভেক্টর অনুযায়ী পুনরুদ্ধারের হার ছিল স্পষ্টভাবে বিভক্ত। কী কমপ্রোমাইজ থেকে উদ্ভূত চুরি হওয়া তহবিল প্রায় সঙ্গে সঙ্গেই মিক্সার বা ক্রস-চেইন ব্রিজে অদৃশ্য হয়ে যায়। বিপরীতে, প্রোটোকল বাগের ক্ষেত্রে কখনও কখনও দ্রুত হোয়াইট-হ্যাট সমন্বয় বা কন্ট্রাক্ট পজের মাধ্যমে আংশিক বা পূর্ণ পুনরুদ্ধার সম্ভব হয়েছে।

আগাম দিকে তাকিয়ে, Blockaid সতর্ক করছে যে Web3 ইকোসিস্টেমগুলোকে বছরের দ্বিতীয়ার্ধে অব্যাহত চাপের জন্য প্রস্তুত থাকতে হবে। উদ্বেগের মূল ক্ষেত্রগুলোর মধ্যে রয়েছে নিষেধাজ্ঞাপ্রাপ্ত রাষ্ট্রীয় অভিনেতাদের দ্বারা চলমান সোশ্যাল ইঞ্জিনিয়ারিং ক্যাম্পেইন, EIP-7702 ওয়ালেট ডেলিগেশন ফিচারকে কেন্দ্র করে স্কেলিং এক্সপ্লয়েট, এবং বিকেন্দ্রীভূত ফাইন্যান্সে গ্রহণযোগ্যতা বাড়ার সঙ্গে সঙ্গে স্বায়ত্তশাসিত AI ট্রেডিং এজেন্টগুলোর বিরুদ্ধে প্রম্পট-ইনজেকশন আক্রমণের দ্রুত বৃদ্ধি।