ZachXBT $88M কোল্ডকার্ড হ্যাকের উৎস খুঁজে বের করতে অস্বীকার করেছেন

ZachXBT বলেছেন সাহায্য করার “কম বাধ্যবাধকতা” আছে

অনচেইন তদন্তকারী এই প্রভাবশালী ব্যক্তি, যিনি ক্রিপ্টোর কিছু বড় চুরির পেছনের হ্যাকারদের শনাক্ত করার জন্য পরিচিত, X-এ পোস্ট করেছেন যে কোল্ডকার্ড ঘটনার ওপর নজরদারি বা ট্রেস করার কোনো বর্তমান পরিকল্পনা তার নেই। তিনি বলেন, তার সময় এমন ইকোসিস্টেমে কেন্দ্রীভূত যেখানে তার কাজকে মূল্য দেওয়া হয়; তিনি যোগ করেন, বিটকয়েন ম্যাক্সিরা তার তদন্তের দাতা বা সমর্থক নয়, তাই সাহায্য করার ক্ষেত্রে তার বাধ্যবাধকতাও কম।

এই মন্তব্যটি আসে এমন সময়ে যখন কোল্ডকার্ড ভাঙন পঞ্চম দিনে ঢুকেছে এবং মোট ক্ষতির অঙ্কও বাড়তে থাকে। ZachXBT অতীতে বড় কেসগুলোতে প্রো বোনো কাজ করেছেন, এবং তার পোস্ট ইঙ্গিত দেয় যে বিটকয়েন কমিউনিটি তার প্রতি যে সদিচ্ছা দেখিয়েছে এবং বিপত্তির সময় তাকে যে পরিমাণ প্রচেষ্টা দিতে বলা হয়—দুটোর মধ্যে বড় ফারাক রয়েছে।

এ পর্যন্ত কোল্ডকার্ড ভাঙন

এই এক্সপ্লয়েটের উৎস কানাডীয় নির্মাতা Coinkite-এর তৈরি হার্ডওয়্যার ওয়ালেটের একটি ফার্মওয়্যার ত্রুটি। বাগটি কোল্ডকার্ড Mk3 ডিভাইসে প্রভাব ফেলেছে, যেগুলো 4.0.1 থেকে 4.1.9 সংস্করণ চালাচ্ছিল; এতে কিছু ওয়ালেট হার্ডওয়্যারের নির্দিষ্ট চিপের বদলে সফটওয়্যার র‍্যান্ডম-নাম্বার জেনারেটরের মাধ্যমে সিড এনট্রপি তৈরি করত—এটি এমন একটি ত্রুটি, যা কিছু সিডকে অনুমানযোগ্য করে তোলে।

প্রথম ঢেউটি আঘাত হানে ৩০ জুলাই যখন প্রায় ৫৯৪ BTC, যার মূল্য তখন আনুমানিক $38 মিলিয়ন, ৩০ মিনিটেরও কম সময়ে প্রায় ৫০০টি দীর্ঘদিন নিষ্ক্রিয় ঠিকানা থেকে নিষ্কাশিত হয়। Coinkite দুই দিনের মধ্যে প্যাচড ফার্মওয়্যার প্রকাশ করে, কিন্তু ক্ষয়ক্ষতি ছড়াতেই থাকে এবং ২ আগস্টের মধ্যে গ্যালাক্সি রিসার্চ মোট ১,৩৬৭ BTC, মূল্য $88.6 মিলিয়ন, তিনটি পৃথক আক্রমণ ঢেউয়ে ৪,৫৮৫টি ঠিকানা থেকে তোলা হয়েছে বলে ট্র্যাক করে।

চুরির গতি ও নিখুঁততা থেকে জল্পনা তৈরি হয়েছে যে স্বয়ংক্রিয় টুলিং, সম্ভবত AI-সহায়িত, হামলাকারীকে প্রতিটি সুইপের কয়েক মিনিটের মধ্যেই দুর্বল ঠিকানাগুলো শনাক্ত ও নিষ্কাশনে সাহায্য করেছে। চুরির অঙ্ক বাড়তেই থাকে এমনকি চুরি হওয়া তহবিল থেকে এক্সচেঞ্জে জমা দেওয়া লেনদেন বেড়ে যাওয়ার পরও এবং এই কেসের সঙ্গে যুক্ত পুরোনো, আগে নিষ্ক্রিয় BTC আবার নড়াচড়া শুরু করার পরও।

ডেটা রিটেনশন প্রতিক্রিয়াকে আরও বাড়ায়

কোম্পানিটি তার স্টোর ও নিউজলেটার রেকর্ড থেকে পৌঁছাতে পারা প্রতিটি গ্রাহক ইমেইল ঠিকানায়, কিছু ক্ষেত্রে ২০১৯ সাল পর্যন্ত পুরোনো, বাগ সম্পর্কে সতর্ক করতে ইমেইল পাঠিয়েছে—এ কারণে Coinkite-এর পরবর্তী পরিস্থিতি সামলানো নিজেই একটি বিতর্কে পরিণত হয়েছে।

এটি CEO Rodolfo Novak-এর আগের দাবির সঙ্গে সাংঘর্ষিক, যেখানে তিনি বলেছিলেন Coinkite ক্রয়ের ৯০ দিন পর গ্রাহকের ডেটা মুছে দেয় এবং বেনামী ক্রয়ের বিকল্প দেয়। পরে Coinkite স্বীকার করে যে তারা ক্রয়-সংক্রান্ত ইমেইল ঠিকানাগুলো অনির্দিষ্টকাল ধরে রাখে এবং সেই ডেটার জন্য তাদের কোনো ডিলিশন নীতি নেই—এই প্রকাশনা হ্যাকের বাইরে নিজেই আরেক দফা সমালোচনার ঢেউ তোলে।

Novak কোম্পানির সামগ্রিক নিরাপত্তা রেকর্ডের পক্ষে সাফাই গেয়ে বলেছেন, প্রতিযোগীরা নিয়মিতভাবেই ভাঙনের মুখে পড়ে এবং Coinkite বিষয়টিকে অত্যন্ত গুরুত্বের সঙ্গে দেখে। তবুও, এই ঘটনাটি স্ব-হেফাজতের (self-custody) ওপর আস্থাকে ইতোমধ্যেই ক্ষয় করতে শুরু করেছে এবং আরও সতর্ক বিনিয়োগকারীদের নিজেদের কী ম্যানেজ করার বদলে এক্সচেঞ্জ-ট্রেডেড ফান্ডের দিকে ঠেলে দিতে পারে।

এই কাহিনি চুরির বাইরেও অনচেইন নাটকে ছড়িয়ে পড়েছে। হ্যাকারকে লক্ষ্য করে একটি ধৃষ্ট বিটকয়েন মানি লন্ডারিং প্রস্তাব সরাসরি বিটকয়েনের ব্লকচেইনে পোস্ট করা হয়েছিল, যা কেসটিকে সামাজিক যোগাযোগমাধ্যম ও অনচেইন ডেটার মাধ্যমে রিয়েল-টাইমে চলতে থাকা এক প্রকাশ্য প্রদর্শনীতে পরিণত করেছে।

ZachXBT-এর মতো বড় নামগুলো পিছিয়ে যাওয়ায়, চুরি হওয়া ১,৩৬৭ BTC ট্রেস করার বোঝা এখন আরও বেশি করে গ্যালাক্সি রিসার্চের মতো প্রতিষ্ঠানের ওপর পড়ছে, যারা হামলাকারীর ওয়ালেট কার্যকলাপ বদলানোর সঙ্গে সঙ্গে ঢেউ-ওয়ারি আপডেট প্রকাশ করছে। রিপোর্টে উঠে এসেছে যে কোল্ডকার্ড Mk3 ডিভাইসকে প্রভাবিত করা এই এনট্রপি বাগটি মার্চ ২০২১-এর একটি ফার্মওয়্যার বিল্ড থেকে বিদ্যমান, অর্থাৎ চার বছরেরও বেশি সময়ে ওই সংস্করণে তৈরি যেকোনো ওয়ালেট সিড মালিকরা প্যাচড ফার্মওয়্যারে নতুন সিডে রোটেট না করা পর্যন্ত উন্মুক্ত থাকতে পারে।