ZachXBT বলেছে অ্যাপল অ্যাপ স্টোরের ভুয়া লেজার অ্যাপ এক সপ্তাহে ৫০+ ভুক্তভোগীর কাছ থেকে ৯.৫ মিলিয়ন ডলার চুরি করেছে

মূল বিষয়গুলো:

• ZachXBT অ্যাপলের অ্যাপ স্টোরের একটি ভুয়া Ledger Live অ্যাপ থেকে ৯.৫ মিলিয়ন ডলার চুরির সঙ্গে কথিত ১৫০টির বেশি Kucoin ডিপোজিট ঠিকানার যোগসূত্র দেখিয়েছেন।
• সংগীতশিল্পী G. Love প্রায় ৬ BTC হারিয়েছেন; ৭–১৩ এপ্রিলের মধ্যে ৩ জন বৃহত্তম ভুক্তভোগী প্রত্যেকে সাত অঙ্কের ক্ষতির সম্মুখীন হন।
• অ্যাপল শেষ পর্যন্ত অ্যাপ স্টোর থেকে ভুয়া অ্যাপ্লিকেশনটি সরিয়ে দেয়।

ZachXBT-এর অনুসন্ধানে: অ্যাপল সরানোর আগে ভুয়া Ledger Live iOS অ্যাপ ৯.৫ মিলিয়ন ডলার খালি করেছে

ZachXBT মঙ্গলবার, ১৪ এপ্রিল X-এ তার অনুসন্ধান পোস্ট করেন, যেখানে তিনি দেখান কীভাবে ভুয়া অ্যাপটি ৭ থেকে ১৩ এপ্রিলের মধ্যে Bitcoin, EVM, Tron, Solana এবং Ripple নেটওয়ার্ক জুড়ে ৫০ জনেরও বেশি ব্যবহারকারীকে ভুক্তভোগী করেছে। তার পোস্টের আগের দিনই অ্যাপল অ্যাপটি সরিয়ে দেয়।

তিনজন বৃহত্তম ভুক্তভোগী প্রত্যেকে সাত অঙ্কের অংক হারিয়েছেন। একজন ব্যবহারকারী ৯ এপ্রিল USDT-এ ৩.২৩ মিলিয়ন ডলার হারান। দ্বিতীয় ভুক্তভোগী ১১ এপ্রিল USDC-এ ২.০৭৯ মিলিয়ন ডলার হারান। তৃতীয়জন ৮ এপ্রিল ১.৯৫ মিলিয়ন ডলারের ক্রিপ্টো হারান, যার মধ্যে ছিল ২০.৬৪ BTC, ২১১ stETH এবং ৭০ ETH।

প্রতারিতদের মধ্যে আরেকজন ছিলেন সংগীতশিল্পী Garrett Dutton, যিনি পেশাগতভাবে G. Love নামে পরিচিত, যিনি ভুয়া অ্যাপটির কারণে প্রায় ৬ BTC হারিয়েছেন। ZachXBT চুরি হওয়া তহবিল সরাতে ব্যবহৃত কেন্দ্রীভূত মিক্সিং সার্ভিস হিসেবে AudiA6-কে শনাক্ত করেন।

তিনি AudiA6-কে এমন একটি সেবা হিসেবে বর্ণনা করেন যা অবৈধ অর্থ প্রক্রিয়াকরণে উচ্চ ফি নেয়, এবং অভিযোগ করেন যে চুরি হওয়া অর্থ ওই সেবার সঙ্গে যুক্ত Kucoin ডিপোজিট ঠিকানাগুলোর মাধ্যমে গেছে। তদন্তকারী আরও দাবি করেন যে Ledger-সম্পর্কিত চুরির কয়েক দিন আগে একটি পৃথক হুমকি-সৃষ্টিকারী Bitcoin Depot ঘটনা থেকে ৩.৫ মিলিয়ন ডলার ২৫টিরও বেশি Kucoin ডিপোজিট ঠিকানার মাধ্যমে মানিলন্ডারিং করেছে।

X-এ, Kucoin-এর অফিসিয়াল X অ্যাকাউন্ট একটি এলোমেলো A & B ভোট পোস্ট দেওয়ার পর, ZachXBT তার অভিযোগগুলো দিয়ে জবাব দেওয়ার সিদ্ধান্ত নেন। “C) গত সপ্তাহে ১৫০টির বেশি Kucoin ডিপোজিট ঠিকানার মাধ্যমে ভুয়া Ledger অ্যাপের সঙ্গে সম্পর্কিত ৯.৫M+ ডলার একটি হুমকি-সৃষ্টিকারীকে মানিলন্ডারিং করতে Kucoin কেন অনুমতি দিল—এটা কি কমিউনিটিকে ব্যাখ্যা করতে চান?” ZachXBT জিজ্ঞেস করেন। অনচেইন তদন্তকারী আরও যোগ করেন:

“এর কয়েক দিন আগেই আরেকটি হুমকি-সৃষ্টিকারী Bitcoin Depot ঘটনার ৩.৫M+ ডলার ২৫টির বেশি Kucoin ডিপোজিট ঠিকানার মাধ্যমে মানিলন্ডারিং করেছে। আপনি KYC অপব্যবহার করে তাৎক্ষণিক এক্সচেঞ্জ এবং AudiA6-এর মতো সত্তাগুলোকে—যা অবৈধ কর্মকাণ্ডকারীদের জন্য একটি কেন্দ্রীভূত মিক্সার—মুক্তভাবে কাজ করার সুযোগ দিয়েছেন। Kucoin-এর ব্যবসার পেছনে নিয়ন্ত্রকদের আবারও লাগা উচিত।”

বিতর্কে Kucoin-এর অফিসিয়াল X অ্যাকাউন্ট প্রতিক্রিয়া জানিয়ে বিষয়টি খতিয়ে দেখতে একটি UID এবং টিকিট নম্বর চাইলে, ZachXBT উত্তর দেন একটি নবজাতকের আইডি ডকুমেন্টের ছবি দিয়ে—ইঙ্গিত করে যে এক্সচেঞ্জটির ‘নো-ইওর-কাস্টমার’ (KYC) যাচাই প্রক্রিয়া অপর্যাপ্ত।

প্রকাশনার সময় পর্যন্ত Kucoin ওই নির্দিষ্ট অভিযোগগুলোর বিষয়ে প্রকাশ্যে কোনো জবাব দেয়নি। UID এবং টিকিট নম্বর চাওয়া জবাবটি সম্ভবত কোনো কাস্টমার সার্ভিস এজেন্টের কাছ থেকে এসেছে।

ZachXBT বলেন, প্রতারণামূলক অ্যাপটি হোস্ট করার কারণে Apple-এর বিরুদ্ধে ক্লাস অ্যাকশন মামলার ভিত্তি তৈরি হতে পারে। ZachXBT প্রকাশিত চুরির ঠিকানাগুলো একাধিক ব্লকচেইন জুড়ে বিস্তৃত—যেমন Bitcoin, Ethereum, Tron, Solana এবং Ripple—এবং প্রতিটি ভুক্তভোগীর সঙ্গে যুক্ত নির্দিষ্ট ওয়ালেট শনাক্ত করে।

অ্যাপলের অ্যাপ স্টোরে ভুয়া Ledger Live অ্যাপটির উপস্থিতি আরও বিস্তৃত প্রশ্ন তোলে—দুর্বৃত্ত সফটওয়্যার কীভাবে অ্যাপলের রিভিউ প্রক্রিয়া পার হয়ে যায় এবং অপসারণের আগে কতদিন তা চালু থাকতে পারে।

Bitcoin.com News-এর সঙ্গে শেয়ার করা একটি নোটে, Ledger-এর CTO Charles Guillemet জোর দিয়ে বলেন, তার প্রতিষ্ঠান কখনও সিড ফ্রেজ চাইবে না। “Ledger কখনই আপনার ২৪টি শব্দ চাইবে না। যদি কেউ, বা কোনো অ্যাপ, আপনার ২৪টি শব্দ চায়, ধরে নিন কোথাও সমস্যা আছে,” Guillemet ব্যাখ্যা করেন।

“Ledger ধারাবাহিকভাবে কমিউনিটিকে এ বিষয়ে মনে করিয়ে দেয়। আপনার চারপাশের সফটওয়্যার পরিবেশকে আপনি বিশ্বাস করতে পারেন না—না আপনার ব্রাউজার, না আপনার অ্যাপ স্টোর, না আপনার ডেস্কটপ। সুযোগ যেখানে থাকে, আক্রমণকারীরা সেখানেই কাজ করে, আর এর মধ্যে অফিসিয়াল ডিস্ট্রিবিউশন প্ল্যাটফর্মও অন্তর্ভুক্ত। একমাত্র কার্যকর সুরক্ষা হলো আপনার প্রাইভেট কী একটি নিরাপদ স্ক্রিনসহ নির্দিষ্ট হার্ডওয়্যার ডিভাইসে রাখা—যেমন একটি Ledger signer—এবং কখনও কোনো অ্যাপ বা ওয়েবসাইটে আপনার সিড ফ্রেজ প্রবেশ না করানো। আপনার ২৪টি শব্দই আপনার ওয়ালেট,” হার্ডওয়্যার ওয়ালেট প্রতিষ্ঠানের CTO যোগ করেন।