কোল্ডকার্ড বিটকয়েন হ্যাক: 1,082 বিটকয়েন অপরিবর্তিত থাকার মধ্যে নতুন তদন্তের পথ খুলেছে
কোল্ডকার্ড বিটকয়েন ওয়ালেট এক্সপ্লয়িটের উপর একটি বড় তদন্ত অসাধারণ মোড় নিয়েছে। ২০২৬ সালের ৩০ জুলাই, প্রথম এবং সবচেয়ে বড় আক্রমণ তরঙ্গের সময়, মাত্র ৪১ মিনিটে প্রায় ১,১৯৬টি ঠিকানা থেকে প্রায় ১,০৮২.৬৫ BTC কেড়ে নেওয়া হয়। আক্রমণকারীকে কখনও একটি ভৌত কোল্ডকার্ড চুরি করতে, একটি কম্পিউটার ইনফেক্ট করতে বা শিকারদের তাদের সিড বাক্যাংশ প্রকাশ করতে বাধ্য করতে হয়নি। বরং, একটি ফার্মওয়্যার ত্রুটি কিছু ওয়ালেট সিড তৈরির জন্য ব্যবহৃত র্যান্ডমনেসকে দুর্বল করেছিল, যার ফলে কিছু প্রাইভেট কী অফলাইনে পুনর্উৎপাদনযোগ্য হয়েছিল।
এখন তদন্তকারীদের কাছে বিটকয়েন ব্লকচেইন নিজেই যা প্রদান করতে পারে না, তা থাকতে পারে: একটি অফ-চেইন ট্রেইল। ব্লক ইঞ্জিনিয়ার ক্লে গ্যারেট বলেছেন যে, প্রাথমিক সুইপের পিছনের অপারেটরটি সোর্স ঠিকানা জিজ্ঞাসা করার সময় একটি পরিচিত ব্লকচেইন-সেবা প্রদানকারীর পেইড অ্যাকাউন্ট ব্যবহার করেছিল। অভ্যন্তরীণ সেবা লগগুলি বলা হয়েছে যে, আক্রমণের কাজপ্রবাহটি অসাধারণভাবে সুনির্দিষ্টভাবে মিলেছে, এবং প্রাসঙ্গিক তথ্যগুলি কর্তৃপক্ষকে পাঠানো হয়েছে। একইসময়ে, সবচেয়ে বড় প্রথম-তরঙ্গ ট্রাঞ্চটি অস্বাভাবিকভাবেই অপরিবর্তিত থাকছে। এই সংমিশ্রণটি ক্রিপ্টো শিল্পের জন্য একটি আকর্ষণীয় প্রশ্ন তুলে ধরে: যদি তদন্তকারীদের চুরি করা বিটকয়েনটি দেখতে পাওয়া যায় এবং এটি কেউ চুরি করেছে তা নিয়েও একটি ইঙ্গিত থাকতে পারে, তবুও টাকা ফিরিয়ে আনা এতটাই কঠিন কেন?
41 মিনিটের কোল্ডকার্ড সুইপে কী ঘটেছিল?
প্রথম প্রধান সুইপটি জুলাই ৩০ তারিখে শুরু হয় এবং মাত্র প্রায় ৪১ মিনিট স্থায়ী হয়। গ্যালাক্সি রিসার্চ ০১:১০ থেকে ০১:৫১ UTC এর মধ্যে ১,০৮২.৬৫ BTC এর সরবরাহ পর্যবেক্ষণ করেন, যা ১,১৯৬টি ঠিকানার মধ্যে বিতরিত হয়। এই লেনদেনগুলি কয়েকটি বিটকয়েন ব্লকে ছড়িয়ে ছিটিয়ে ছিল এবং স্বাভাবিক ব্যবহারকারীদের নিজস্বভাবে তাদের সেভিংস স্থানান্তরিত করার পরিবর্তে অটোমেশনের শক্তিশালী ইঙ্গিত প্রদর্শন করেছিল। আক্রমণকারী ৩০ স্যাটোশি প্রতি ভার্চুয়াল বাইটের একটি নির্দিষ্ট ফি হার ব্যবহার করেছিল, যা সময়টির প্রচলিত ফির চেয়ে অনেক বেশি ছিল, এবং লেনদেনগুলি সাধারণত কোনও স্বাভাবিক পরিবর্তন আউটপুট ছেড়ে যায়নি।
সময়সূচীটি ঘটনাটিকে আরও গুরুত্বপূর্ণ করে তুলেছিল। স্বিপটি প্রায় ৩০ ঘন্টা আগে ঘটেছিল, যখন কয়েনকাইট ব্যবহারকারীদের কোল্ডকার্ড সিড-জেনারেশন দুর্বলতা সম্পর্কে সতর্ক করেছিল। এটি প্রমাণ করে যে প্রথম অপারেটরটি স্বতন্ত্রভাবেই দুর্বলতাটি আবিষ্কার করেছিল বা বিস্তৃত বিটকয়েন সম্প্রদায়ের আগেই এটি ব্যবহারের জন্য পর্যাপ্ত জ্ঞান অর্জন করেছিল। ঠিকানাগুলি বিভিন্ন বিটকয়েন ঠিকানা ফরম্যাটকেও কভার করে, যা একটি সিস্টেমের সাথে সঙ্গতিপূর্ণ, যা একটি সংকীর্ণভাবে সংজ্ঞায়িত ব্যবহারকারীদের গোষ্ঠীকে লক্ষ্যবস্তু না করে, বরং প্রাপ্তিসম্ভাব্য কীগুলি উৎপন্ন করছে এবং একাধিক ওয়ালেট পথসমূহ স্ক্যান করছে।
| ওয়েভ 1 বিস্তারিত | প্রতিবেদিত ডেটা |
| তারিখ | জুলাই ৩০, ২০২৬ |
| আক্রমণের সময়কাল | প্রায় ৪১ মিনিট |
| ঠিকানা খালি করা হয়েছে | ~1,196 |
| বিটকয়েন স্বীকার করে নিয়েছ | 1,082.65 BTC |
| সময়সূচি বনাম জনসাধারণের সতর্কবার্তা | প্রায় ৩০ ঘন্টা আগে |
| ট্রানজেকশন প্যাটার্ন | অত্যন্ত স্বয়ংক্রিয় |
| মূল প্রক্রিয়া | কয়েকটি ঠিকানায় একত্রিত করা হয়েছে |
আক্রমণের গতি গুরুত্বপূর্ণ, কারণ এটি চুরির বিষয়টিকে কীভাবে বুঝতে হবে তা পরিবর্তন করে। এটি সম্ভবত একটি প্রচলিত প্রবেশাধিকার ছিল না, যেখানে একজন হ্যাকার একটি ওয়ালেটের পরে আরেকটি ওয়ালেটে প্রবেশ করেছিল। লেনদেনের প্যাটার্নটি এমন একজন অপারেটরের সাথে বেশি সামঞ্জস্যপূর্ণ, যিনি ইতিমধ্যেই প্রয়োজনীয় প্রাইভেট কীগুলি পুনর্গঠন বা সংগ্রহ করেছিলেন এবং লক্ষ্য সেটটি প্রস্তুত হওয়ার পরে একটি স্বয়ংক্রিয় সুইপিং টুল সক্রিয় করেছিলেন।
অপরিবর্তিত 1,082 BTC কেন গুরুত্বপূর্ণ?
প্রথম ঢলের পর, বেশিরভাগ আয় দ্রুত কয়েকটি গন্তব্য ঠিকানায় একত্রিত হয়। প্রাথমিক তদন্তে চারটি মূলধন হোল্ডিং শনাক্ত করা হয়, যেগুলিতে যথাক্রমে প্রায় ৫৬২ BTC, ৩৯৮ BTC, ৯০ BTC এবং ৩২ BTC রয়েছে। এই প্রথম-ঢলের ব্যালেন্সগুলি পরবর্তী মনিটরিংয়ের সময়ও অপরিবর্তিত থাকে, যদিও পরবর্তী আক্রমণকারীরা অন্যান্য ঢলে চুরি করা অংশগুলি সরিয়ে নিচ্ছিল।
প্রাচীন আর্থিক অপরাধের সাথে পরিচিত মানুষদের জন্য এটি একটি অঅপরিচিত পরিস্থিতি তৈরি করে। বিটকয়েনের পাবলিক ব্লকচেইন চুরি করা কয়েনগুলিকে অত্যন্ত দৃশ্যমান করে তোলে। তদন্তকারীরা একটি ঠিকানা পর্যবেক্ষণ করতে পারে, এর ব্যালেন্স দেখতে পারে এবং একটি নতুন আউটগোয়িং ট্রানজেকশন তাৎক্ষণিকভাবে শনাক্ত করতে পারে। কিন্তু দৃশ্যমানতা নিয়ন্ত্রণ প্রদান করে না। বিটকয়েনের কোনো অ্যাডমিনিস্ট্রেটর নেই যিনি একটি নিশ্চিত ট্রানজেকশন বাতিল করতে পারেন, এবং কোনো ইস্যুয়ারও নেই যিনি প্রযুক্তিগতভাবে BTC ঠিকানা জমা দিয়েছেন, শুধুমাত্র এটি চুরি করা ফান্ডস ধারণ করছে বলে তদন্তকারীদের শনাক্ত করা হয়েছে।
এই কারণে ট্রেস করা যাওয়ার মানে পুনরুদ্ধার করা যাওয়া নয়। ব্লকচেইন সঠিকভাবে চুরি করা বিটকয়েনের একটি বড় অংশ কোথায় অবস্থিত তা দেখাতে পারে, কিন্তু শুধুমাত্র প্রাসঙ্গিক প্রাইভেট কী যার কাছে আছে তিনিই এটি ব্যয় করতে পারেন। তদন্তকারীদের জন্য, সুযোগটি প্রায়শই পরে আসে, যখন আক্রমণকারী প্রতিকৃতি-অজ্ঞাত বিটকয়েনকে ফিয়াট মুদ্রা, অন্য কোনো সম্পদ বা পরিচয় সংগ্রহকারী ব্যবসাগুলির দ্বারা প্রদত্ত সেবায় পরিণত করার চেষ্টা করে।
একটি পেইড ব্লকচেইন অ্যাকাউন্ট সবচেয়ে বড় তদন্ত ব্রেকথ্রু হতে পারে
সবচেয়ে গুরুত্বপূর্ণ তদন্তমূলক উন্নতি একটি নতুন বিটকয়েন লেনদেনের পরিবর্তে ব্লকচেইনের বাইরে ব্যবহৃত অবকাঠামো থেকে এসেছিল। গ্যারেট বলেন, তদন্তকারীরা প্রথম ঢলের স্বিপগুলিতে একটি অস্বাভাবিক প্যাটার্ন লক্ষ্য করেছিলেন এবং সিদ্ধান্তে পৌঁছেছিলেন যে অপারেটরটি সোর্স ঠিকানা জিজ্ঞাসা করতে এবং সংশ্লিষ্ট কার্যকলাপ সম্পাদন করতে একটি পরিচিত ব্লকচেইন-সেবা প্রদানকারীর পেইড অ্যাকাউন্ট ব্যবহার করছিল। যখন প্রদানকারী তাদের নিজস্ব রেকর্ডগুলি পরীক্ষা করল, তখন অনুরোধগুলির সংখ্যা, ক্রম এবং সময়সীমা প্রতিবেদন অনুযায়ী সন্দেহভাজন আক্রমণের কার্যপ্রবাহের সাথে ঘনিষ্ঠভাবে মিলে গেল। ব্লকপরবর্তীতে সংশ্লিষ্ট তথ্যগুলি কর্তৃপক্ষের সাথে শেয়ার করে।
এটি গুরুত্বপূর্ণ কারণ একটি বাণিজ্যিক অ্যাকাউন্ট একটি বিটকয়েন ঠিকানার থেকে খুব ভিন্ন ধরনের প্রমাণ তৈরি করতে পারে। প্রদানকারী কিভাবে কাজ করে তার উপর নির্ভর করে, একটি অ্যাকাউন্ট সম্ভবত বিলিং তথ্য, লগইন রেকর্ড, আইপি ঠিকানা, API ব্যবহারের ইতিহাস বা অন্যান্য মেটাডেটা এর সাথে সংযুক্ত হতে পারে। এই ক্ষেত্রে, এই সমস্ত নির্দিষ্ট রেকর্ডগুলির কোনটিই পাবলিকভাবে যাচাই করা হয়নি, তাই এখনই দাবি করা অতি-শীঘ্রই যে তদন্তকারীদের ইতিমধ্যেই আক্রমণকারীর পরিচয় জানা আছে। যা পাবলিকভাবে প্রতিষ্ঠিত হয়েছে, তা হলো, কেন্দ্রীয় অবকাঠামোর ব্যবহারের ফলে এমন একটি সাবপোনা-যোগ্য ট্রেইল তৈরি হয়েছে যা otherwise on-chain-এর উপস্থিতির সময়েরও অস্তিত্বহীন হত।
এই পার্থক্যটি অত্যন্ত গুরুত্বপূর্ণ। আক্রমণকারী “একটি ডিজিটাল ট্রেইল রেখে গেছে” এমন প্রতিবেদনগুলিকে এই অর্থে ব্যাখ্যা করা উচিত নয় যে FBI বা অন্য কোনো সংস্থা ঔপচারিকভাবে কোনো সন্দেহভাজনকে চিহ্নিত বা গ্রেপ্তার করেছে। সুরক্ষিত উপসংহারটি হলো, তদন্তকারীদের এখন Wave 1-এর পিছনের অপারেটর সম্পর্কে অসাধারণভাবে শক্তিশালী একটি ইঙ্গিত থাকতে পারে। অপারেশনাল-সিকিউরিটির দৃষ্টিকোণ থেকে, আক্রমণকারী প্রতিনিধিত্বমূলক বিটকয়েন ঠিকানার পিছনে লুকিয়েছিলেন, যখন একটি সাধারণ পেইড সার্ভিসের মাধ্যমে আরও চিহ্নিতকরণযোগ্য তথ্য প্রকাশ করেছিলেন।
কীভাবে একটি কোল্ড ওয়ালেট কখনও স্পর্শ না করে হ্যাক করা হল?
কোল্ডকার্ড ঘটনাটি বিটকয়েনের ক্রিপ্টোগ্রাফির ব্যর্থতা ছিল না। এটি বিটকয়েন ক্রিপ্টোগ্রাফি যে রহস্যগুলি সুরক্ষিত করে তার কিছু রহস্য তৈরির জন্য ব্যবহৃত প্রক্রিয়ার ব্যর্থতা ছিল। একটি হার্ডওয়্যার ওয়ালেট সাধারণত উচ্চ-গুণমানের এনট্রপি—অপ্রতুল র্যান্ডম তথ্য—পাওয়ার সাথে শুরু হয়, যা তারপর একটি সিড তৈরির জন্য ব্যবহৃত হয়। সেই সিড প্রাইভেট কীগুলি তৈরি করে, এবং সেই প্রাইভেট কীগুলি বিটকয়েন ঠিকানা তৈরি করে। যদি প্রাথমিক র্যান্ডমনেস শক্তিশালী হয়, তবে ফলাফলের ঠিকানা পর্যবেক্ষণ করেও একজন আক্রমণকারীর পক্ষে পিছনের দিকে কাজ করে প্রাইভেট কীগুলি আবিষ্কার করা সম্ভব হয় না।
সমস্যাটি সিড জেনারেশন দিয়ে শুরু হয়েছিল
কোইনকাইটের প্রায়োগিক পরবর্তী বিশ্লেষণে দেখা গেছে যে ২০২১ সালে কোল্ডকার্ড লিবসেস্প২৫৬ক১ এবং সংশ্লিষ্ট মাইক্রোপাইথন উপাদানগুলি একীভূত করার সময় যে পরিবর্তনগুলি করা হয়েছিল, সেগুলিই সমস্যার কারণ। একটি জটিল বাগের ধারাবাহিকতার কারণে নির্দিষ্ট ফার্মওয়্যার সংস্করণগুলিতে উদ্দিষ্ট হার্ডওয়্যার র্যান্ডম-নম্বর জেনারেটরটি র্যান্ডমনেস যোগায়নে ব্যর্থ হয়। প্রভাবিত পরিস্থিতিতে, প্রক্রিয়াটি একটি সফটওয়্যার ফলব্যাকের উপর অত্যধিকভাবে নির্ভরশীল হয়ে পড়ে। কোইনকাইট বলেছে, পরবর্তী কোল্ডকার্ড প্রজন্মগুলিতে অন্যান্য এনট্রপি উৎসগুলি যোগ করা হয়েছিল, যা সমস্যার গুরুত্বকে কমিয়েছিল, কিন্তু তারা প্রভাবিত ফার্মওয়্যারে উদ্দিষ্ট 128-বিট নিরাপত্তা লক্ষ্যটি পুনরুদ্ধার করেনি।
ব্যাবহারিক পরিণতি হল যে, একটি সীড যা তার মালিকের জন্য সম্পূর্ণ সাধারণ দেখাচ্ছিল, তা আশা করা থেকে অনেক ছোট একটি অনুসন্ধান স্থানের ভিতরে বিদ্যমান থাকতে পারে। সুরক্ষা গবেষকদের উপসংহার হল যে, একজন আক্রমণকারী যদি ডিভাইস-নির্দিষ্ট তথ্য, টাইমিং স্টেট এবং পূর্ববর্তী র্যান্ডম-নাম্বার-জেনারেটর কলগুলির মতো চলকগুলিকে যথেষ্টভাবে সীমাবদ্ধ করতে পারে, তবে সে অফলাইনে সম্ভাব্য সীড স্ট্রিমগুলি তৈরি করতে পারে। এটি আক্রমণের অর্থনীতিকে অসাধারণভাবে পরিবর্তন করে: একজন আক্রমণকারীকে সঠিকভাবে তৈরি করা বিটকয়েন সীডকে ব্রুট-ফোর্স করার প্রায় অসম্ভব কাজের পরিবর্তে, সে একটি সীমিত সেটের সম্ভাব্য সীডগুলির অনুসন্ধান করতে পারে।
পূর্বনির্ধারিত বীজগুলি সরাসরি ব্যবহারযোগ্য চাবিতে পরিচালিত করতে পারে
একবার প্রার্থী বীজ তৈরি হয়ে গেলে, আক্রমণকারী তাদের সংশ্লিষ্ট বিটকয়েন ঠিকানা নির্ণয় করতে পারে এবং এগুলিকে পাবলিক ব্লকচেইন ডেটার সাথে তুলনা করতে পারে। যদি কোনো প্রার্থী এমন একটি ঠিকানা উৎপন্ন করে যাতে বাস্তব BTC থাকে, তাহলে আক্রমণকারী সফলভাবে সেই কয়েনগুলি ব্যয় করার জন্য প্রয়োজনীয় প্রাইভেট কীটি পুনর্গঠন করেছে। কোনো ফিশিং ইমেইল, ম্যালওয়্যার ইমপ্ল্যান্ট বা Coldcard-এর ভৌত অ্যাক্সেসের প্রয়োজন হয় না।
সুতরাং আক্রমণের প্রবাহকে সংক্ষেপে বলা যায় দুর্বল এনট্রপি → প্রার্থী বীজ → প্রাপ্ত ঠিকানা → ব্লকচেইন ব্যালেন্স চেক → মিলে যাওয়া ব্যক্তিগত চাবি → বৈধ বিটকয়েন লেনদেন। চূড়ান্ত লেনদেনটি বিটকয়েন নেটওয়ার্কের দৃষ্টিকোণ থেকে ক্রিপ্টোগ্রাফিকভাবে বৈধ, কারণ এটি একটি বৈধ স্বাক্ষর বহন করে। বিটকয়েন নিজেই কোনওভাবেই জানতে পারে না যে সেই স্বাক্ষরটি উৎপাদনকারী ব্যক্তি সেই ব্যক্তিগত চাবি প্রাপ্তির পরিবর্তে একটি ফার্মওয়্যার দুর্বলতার মাধ্যমে পেয়েছে।
এটাই কারণ যে শুধুমাত্র এয়ার-গ্যাপিং চুরি রোধ করতে পারেনি। একটি ব্যক্তিগত চাবি অফলাইনে রাখা এটিকে অনেক ধরনের নিষ্কাশন থেকে সুরক্ষিত রাখে। এটি ইতিমধ্যে তৈরি হয়ে গেলে একটি পূর্বানুমানযোগ্য চাবিকে অপ্রত্যাশিত করতে পারে না।
একটি দুর্বলতা কেন একাধিক আক্রমণ তরঙ্গে পরিণত হল?
প্রথম ওয়েভ শুধুমাত্র শুরু ছিল। একটি দ্বিতীয় এবং তৃতীয় ওয়েভ এসেছিল, যা অতিরিক্ত ব্যালেন্সকে লক্ষ্য করেছিল এবং পরিবর্তিত লেনদেন কাঠামো ব্যবহার করেছিল। 2 আগস্টের মধ্যে, গবেষকদের প্রথম তিনটি ওয়েভ থেকে 4,585 ঠিকানা থেকে প্রায় 1,367 BTC চুরির সনাক্তকরণ করা হয়েছিল। পরবর্তীতে সম্ভাব্য চতুর্থ ওয়েভটি অনুমানিত ক্ষতি 5,200-এরও বেশি ঠিকানা থেকে 1,816 BTC-এর দিকে নিয়ে যায়।
পরিবর্তনশীল প্যাটার্নগুলি এটি ইঙ্গিত করেছিল যে কোল্ডকার্ড ঘটনাটি এখন অবশ্যই একজন অপারেটরের কাজ নয়। গ্যালাক্সি রিসার্চ অনুমান করেছিল যে 7 আগস্ট পর্যন্ত কমপক্ষে 15টি পৃথক আক্রমণকারী স্বাধীনভাবে এই দুর্বলতা ব্যবহার করছিল। যখন এই ত্রুটি সম্পর্কে তথ্য সাধারণ জনগণের মধ্যে প্রবেশ করল, তখন প্রযুক্তিগতভাবে সক্ষম অপারেটররা দুর্বল সিড-জেনারেশন প্রক্রিয়াটি অধ্যয়ন করতে পারত, নিজেদের নিজস্ব অনুসন্ধানের টুলস তৈরি করতে পারত এবং মালিকদের BTC স্থানান্তর করার আগেই বাকি থাকা ফান্ডযুক্ত ওয়ালেটগুলি সংগ্রহ করার জন্য প্রতিযোগিতা করতে পারত।
| আক্রমণ পর্যায় | প্রধান বৈশিষ্ট্য | এটি কেন গুরুত্বপূর্ণ |
| ওয়েভ 1 | প্রায় 41 মিনিটে 1,082.65 BTC | সবচেয়ে বড়, অত্যন্ত সমন্বিত স্বীপ |
| ওয়েভস ২–৩ | বিভিন্ন সংগ্রহ প্যাটার্ন | কৌশল বা অপারেটর পরিবর্তনের প্রস্তাব দিন |
| পরবর্তী আক্রমণ | পাবলিক ভালনারেবিলিটি তথ্য উপলব্ধ | আরও সুযোগবাদী দুর্বলতা ব্যবহার সম্ভব হয়েছে |
| আগস্ট ৭ এর মধ্যে | অন্তত 15 সন্দেহভাজন আক্রমণকারী | দ্বিতীয় ব্যক্তি হিসেবে “কোল্ডকার্ড হ্যাকার” বলা সম্ভবত অত্যধিক সরলীকরণ |
| আগস্ট ১৪ এর মধ্যে | কমপক্ষে 1,778 BTC চুরি হয়েছে বলে নিশ্চিত করা হয়েছে | মোট প্রভাব ওয়েভ 1 এর চেয়ে অনেক বেশি |
এই পার্থক্যটি সংবাদমাধ্যম এবং আইন প্রয়োগ উভয়ের জন্যই গুরুত্বপূর্ণ। যদিও তদন্তকারীরা চূড়ান্তভাবে পেইড ব্লকচেইন-সেবা অ্যাকাউন্টের সাথে সম্পর্কিত অপারেটরকে চিহ্নিত করতে পারে, তবুও এটি অবশ্যই সম্পূর্ণ Coldcard চুরি অভিযানটি সমাধান করবে না। আগস্ট 14-এর মধ্যে, Galaxy-এর মতে, কমপক্ষে 1,778 BTC চুরি করা হয়েছিল, যার প্রায় 1,531 BTC এখনও আক্রমণকারী-নিয়ন্ত্রিত ঠিকানায় অপরিবর্তিত অবস্থায় রয়েছে, যখন প্রায় 246 BTC সরিয়ে নেওয়া হয়েছে, যার বেশিরভাগই CoinJoin লেনদেনের মধ্যে চলে গিয়েছে।
তদন্তকারীদের কি কখনও চুরি করা বিটকয়েন ফিরিয়ে আনতে পারবেন?
পুনরুদ্ধার সম্ভব, কিন্তু টাকা কোথায় আছে তা জানা স্বয়ংক্রিয়ভাবে এটিকে ফিরিয়ে আনার কোনো প্রক্রিয়া তৈরি করে না। সবচেয়ে স্পষ্ট পথ হলো তদন্তকারীদের একজন আক্রমণকারীকে চিহ্নিত করে চুরি করা BTC-এর জন্য দায়িত্বপ্রাপ্ত প্রাইভেট কীগুলির আইনগত নিয়ন্ত্রণ অর্জন করা। অন্য একটি সম্ভাবনা উঠে আসে যদি কয়েনগুলি চূড়ান্তভাবে একটি নিয়ন্ত্রিত এক্সচেঞ্জ বা অন্যান্য কেন্দ্রীয় সেবা দ্বারা প্রবেশ করে, যা আইনগত আদেশের প্রতিক্রিয়ায় সংশ্লিষ্ট গ্রাহকের অ্যাকাউন্টকে ফ্রিজ করতে সক্ষম।
অতএব, আক্রমণকারীর সবচেয়ে বড় ব্যালেন্সগুলি অপরিবর্তিত রাখার জন্য একটি শক্তিশালী কারণ থাকতে পারে। প্রচুর পরিমাণে পর্যবেক্ষিত BTC সরানো নতুন ফরেনসিক প্রমাণ তৈরি করে। ট্রানজেকশনগুলি ঠিকানার ক্লাস্টারগুলির মধ্যে সম্পর্ক প্রকাশ করতে পারে, যখন একটি এক্সচেঞ্জ, OTC ডেস্ক বা অন্য কেন্দ্রীয় সেবা ব্যবহার করা হয়, তখন অ্যাকাউন্টের তথ্য বা অনুসরণযোগ্যতা চেক প্রবেশ করতে পারে। এমনকি মিক্সিং কৌশলগুলিও পথটি অনুসরণ করা কঠিন হওয়ার আগে দৃশ্যমান ট্রানজেকশনগুলি তৈরি করে। Bitquery-এর 독립ীয় বিশ্লেষণটি পাওয়া গেছে যে, এটি ট্রেস করা Coldcard-সংশ্লিষ্ট BTC-এর অধিকাংশই স্থিরই ছিল, যদিও কমপক্ষে একটি ছোট্ট হোল্ডিং পরবর্তীতে CoinJoin-এ প্রবেশ করেছিল।
এটি একটি অসাধারণ অসমতা তৈরি করে: দুর্বল সীডগুলি পুনর্গঠন করার পরে বিটকয়েন চুরি করা প্রযুক্তিগতভাবে সহজ হতে পারে, কিন্তু পাবলিকলি ট্র্যাক করা বিটিসির কয়েক দশক মিলিয়ন ডলার নিরাপদে মুদ্রায়িত করা একটি ভিন্ন চ্যালেঞ্জ। যতদিন প্রথম-পর্যায়ের ঠিকানাগুলি নিশ্চল থাকবে, যতদিন তদন্তকারীরা অফ-চেইন লিডগুলি বিকাশ করছেন, আক্রমণকারীর জন্য এমন সম্পদ রাখা বা এটি সরানোর মধ্যে বেছে নেওয়ার পছন্দ বাড়তে থাকে, যা অতিরিক্ত তথ্যের প্রকাশের সম্ভাবনা রাখে।
কোল্ডকার্ড হ্যাকটি হার্ডওয়্যার ওয়ালেট নিরাপত্তার জন্য কী অর্থ বহন করে
কোল্ডকার্ড ঘটনাটি সেল্ফ-কাস্টডির একটি সরলীকৃত ধারণাকে চ্যালেঞ্জ করে। “আপনার কী নয়, আপনার কয়েনও নয়” বিটকয়েনের নিয়ন্ত্রণ তৃতীয় পক্ষকে হস্তান্তর করার বিষয়ে একটি গুরুত্বপূর্ণ সতর্কবাণী হয়ে থাকে, কিন্তু একটি প্রাইভেট কী মালিকানা করা সমস্ত কাস্টডি ঝুঁকি দূর করে না। এটি সেই ঝুঁকির অধিকাংশই মালিকের উপর নির্ভরশীল হার্ডওয়্যার, ফার্মওয়্যার, সফটওয়্যার লাইব্রেরি এবং কী-জেনারেশন প্রক্রিয়াগুলিতে স্থানান্তরিত করে। গ্যালাক্সি এই পাঠটিকে একইভাবে সারসংক্ষেপ করেছে: একটি তৃতীয়-পক্ষের কাস্টডিয়ানকে সরিয়ে ফেলা কাস্টডি ঝুঁকি দূর করে না; এটি সেই ঝুঁকির অবস্থানকে পরিবর্তন করে।
“আপনার কী” শুধুমাত্র সুরক্ষা মডেলের একটি অংশ
একটি হার্ডওয়্যার ওয়ালেটকে ধরে নেওয়ার একটি শৃঙ্খল হিসাবে দেখা যায়। ডিভাইসের হার্ডওয়্যার যেমন করার জন্য ডিজাইন করা হয়েছে তেমনভাবে কাজ করতে হবে। ফার্মওয়্যারটি সুরক্ষিত উপাদানগুলিকে সঠিকভাবে কল করতে হবে। র্যান্ডম-নাম্বার-জেনারেশন সিস্টেমটি যথেষ্ট এনট্রপি প্রদান করতে হবে। লাইব্রেরিগুলি ক্রিপ্টোগ্রাফিক ফাংশনগুলি সঠিকভাবে বাস্তবায়ন করতে হবে। শুধুমাত্র তখনই সুরক্ষিত অফলাইন সংরক্ষণ এবং লেনদেন সইয়ের মাধ্যমে ব্যবহারকারীদের প্রত্যাশিত সুরক্ষা প্রদান করা যাবে। যদি সিড-জেনারেশন পর্যায়টি ব্যর্থ হয়, তবে পরবর্তী পর্যায়গুলিতে উত্তম সুরক্ষা তৈরির সময় অনুপস্থিত এনট্রপিরা restore করতে পারবেনা।
এর অর্থ এই নয় যে হার্ডওয়্যার ওয়ালেট বা সেলফ-কাস্টডি মৌলিকভাবে অনিরাপদ। এর অর্থ হল ব্যবহারকারী এবং ওয়ালেট নির্মাতাদের এই বিষয়গুলির বাইরেও চিন্তা করতে হতে পারে যে ডিভাইসটি এয়ার-গ্যাপড কিনা বা এর সোর্স কোডটি পাবলিক কিনা। কোল্ডকার্ডের পরে, এনট্রপি পথের স্বতন্ত্র পর্যালোচনা, পুনরুৎপাদনযোগ্য বিল্ড, একাধিক র্যান্ডমনেস সোর্স, নিরাপদ আপগ্রেড পদ্ধতি এবং কমপ্রোমাইজড সিডগুলি পুনরায় তৈরির জন্য স্পষ্ট পদ্ধতি হার্ডওয়্যার-ওয়ালেট নিরাপত্তা আলোচনার আরও উল্লেখযোগ্য অংশ হয়ে উঠতে পারে।
ঘটনাটি এমনকি একটি অসাধারণ বাজার প্রতিক্রিয়াও তৈরি করেছে। কয়েনডেস্ক রিপোর্ট করেছে যে সংকটের সময় কিছু বিটকয়েন ধারক তাদের অর্থ এক্সচেঞ্জের দিকে সরিয়ে নিয়েছিল—যা FTX-এর মতো ব্যর্থতার পরে যা হয়েছিল তার বিপরীত। এটি নিশ্চিত করে না যে কেন্দ্রীয় সঞ্চয় অন্তর্নিহিতভাবে আরও নিরাপদ, কিন্তু এটি দেখায় যে একটি কী-জেনারেশন ব্যর্থতা কতটা গভীরভাবে অনলাইন সঞ্চয় ঝুঁকি দূর করার জন্য বিশেষভাবে ডিজাইন করা একটি পণ্য শ্রেণীর বিশ্বাসকে ক্ষুণ্ণ করতে পারে।
কোল্ডকার্ড ব্যবহারকারীদের এখন কী করা উচিত?
কোইনকাইটের নিরাপত্তা নির্দেশিকার সবচেয়ে গুরুত্বপূর্ণ বিষয় হল ফার্মওয়্যার আপডেট করলে যে সিডটি অপর্যাপ্ত এনট্রপি দিয়ে ইতিমধ্যে তৈরি করা হয়েছিল, তা ঠিক হয়ে যায় না। যাদের সিডগুলি প্রভাবিত ফার্মওয়্যারে যথেষ্ট অতিরিক্ত র্যান্ডমনেস ছাড়াই তৈরি করা হয়েছিল, তাদের প্রথমে আপগ্রেড করতে, সংশোধিত ফার্মওয়্যারে সম্পূর্ণ নতুন সিড তৈরি করতে এবং তাদের বিটকয়েনগুলি সেই নতুন সিড থেকে উৎপন্ন ঠিকানাগুলিতে স্থানান্তরিত করতে বলা হয়েছে। কোইনকাইট বিশেষভাবে অবশিষ্ট ব্যালেন্সটি মাইগ্রেট করার আগে একটি ছোট পরীক্ষামূলক লেনদেন পাঠানোর পরামর্শ দেয়।
Mk3 ডিভাইসের জন্য, কোইনকাইট বলেছে যে ফার্মওয়্যার 4.0.1 বা তার পরের সংস্করণে তৈরি করা সিডগুলি, যেগুলিতে কমপক্ষে 50টি স্বতন্ত্র, ব্যক্তিগত ডাইস রোল নেই, তাদের ঝুঁকিপূর্ণ হিসাবে বিবেচনা করা উচিত। প্রভাবিত Mk4, Mk5 এবং Q ফার্মওয়্যারের জন্য, কোম্পানিটি প্রতিস্থাপনমূলক সিড তৈরির আগে সংশোধিত রিলিজে আপগ্রেড করার সুপারিশ করে। কমপক্ষে 50টি ন্যায্য, স্বতন্ত্র এবং ব্যক্তিগত ডাইস রোল দিয়ে তৈরি করা সিডগুলিকে কোইনকাইটের নির্দেশনা অনুযায়ী ভিন্নভাবে বিবেচনা করা হয়, কারণ এই রোলগুলি একটি স্বতন্ত্র এনট্রপি সোর্স প্রবর্তন করে।
অন্য কোনো কোল্ডকার্ড, লেজার, ট্রেজর বা সফটওয়্যার ওয়ালেটে পুরনো সিড বাক্যাংশ আমদানি করলে মৌলিক সমস্যার সমাধান হবে না। দুর্বলতাটি ভৌত ডিভাইসের পরিবর্তে সিডের সাথে চলে যায়। ব্যবহারকারীদের অনলাইন “দুর্বলতা চেকার” ওয়েবসাইটগুলিতে সিড বাক্যাংশ প্রবেশ করানোও এড়ানো উচিত; একটি অবিশ্বস্ত অনলাইন সেবার সাথে সিড প্রকাশ করলে একটি সম্পূর্ণ নতুন নিরাপত্তা ঝুঁকি তৈরি হবে।
কোল্ডকার্ড তদন্তের পরে কী ঘটবে?
সবচেয়ে গুরুত্বপূর্ণ ট্রিগার হল প্রধান প্রথম-তরঙ্গ ঠিকানা থেকে চলাচল। একটি উল্লেখযোগ্য বেরিয়ে যাওয়ার লেনদেন তাৎক্ষণিকভাবে আক্রমণকারীর ধোঁকাবাজি কৌশল সম্পর্কে তদন্তকারীদের নতুন তথ্য প্রদান করবে এবং অপারেটর কি CoinJoin, কেন্দ্রীয় সেবা, ক্রস-চেইন ইনফ্রাস্ট্রাকচার বা অন্য কোনও পথ ব্যবহার করতে চাইছেন তা প্রকাশ করতে পারে। পরবর্তী-তরঙ্গের আক্রমণকারীরা ইতিমধ্যেই প্রমাণ করেছেন যে কিছু চুরি করা BTC চলাচল করতে পারে, তাই সবচেয়ে বড় হোল্ডিংগুলির অবিরত অক্রিয়তা এখন আরও বেশি উল্লেখযোগ্য।
দ্বিতীয় ট্রিগার হল ঔপচারিক আইন প্রয়োগের কার্যক্রম। পাবলিক রিপোর্টিং বর্তমানে একটি পেইড ব্লকচেইন-সার্ভিসেস অ্যাকাউন্টের সাথে সংযুক্ত একটি তদন্তমূলক নেতৃত্বের অস্তিত্বকে সমর্থন করে; এটি একটি দাবির সমর্থন করে না যে ওয়েভ 1 অপারেটরকে ঔপচারিকভাবে চিহ্নিত, অভিযুক্ত বা গ্রেফতার করা হয়েছে। সুবপোনা, অভিযোগ, সম্পত্তি জব্তি বা একজন সন্দেহভাজনের ঔপচারিক নিশ্চিতকরণ তাই প্রদানকারীর লগের উপর ভিত্তি করে বর্তমান অনুমানের চেয়ে অনেক বড় একটি বিকাশ হবে।
শেষ পর্যন্ত, মনোযোগ ক্রমাগত কোইনকাইটের দায় এবং হার্ডওয়্যার-ওয়ালেট প্রস্তুতকারকদের ব্যাপক প্রতিক্রিয়ার দিকে সরে যাবে। কোল্ডকার্ডের ব্যর্থতার প্রযুক্তিগত কারণটি ধীরে ধীরে স্পষ্ট হয়ে উঠছে। যা এখনও অনিশ্চিত, তা হলো এটি কে প্রথম আবিষ্কার করেছিল এবং এটি কীভাবে ব্যবহার করা হয়েছিল, চুরি করা বিটকয়েনের কতটা অংশ চূড়ান্তভাবে ফিরিয়ে আনা যাবে, এবং এই ঘটনাটি ওয়ালেট এনট্রপি এবং সীড-জেনারেশন সিস্টেমের অডিটের জন্য নতুন মানদণ্ডের দিকে পরিচালিত করবে কি না।
সিদ্ধান্ত
কোল্ডকার্ড হ্যাকটি একটি হার্ডওয়্যার ওয়ালেট নিরাপত্তা ঘটনা থেকে জটিল বিটকয়েন ফরেনসিক তদন্তে পরিণত হয়েছে। প্রথম ঢলে মাত্র ৪১ মিনিটে প্রায় ১,১৯৬টি ঠিকানা থেকে ১,০৮২.৬৫ BTC সরিয়ে নেওয়া হয়, তবুও এই অর্থের সবচেয়ে বড় অংশটি দৃশ্যমান এবং প্রায় অখণ্ড অবস্থায় রয়েছে। একইসাথে, আক্রমণকারী একটি পেইড ব্লকচেইন-সেবা অ্যাকাউন্ট ব্যবহার করার কারণে একটি গুরুত্বপূর্ণ অপারেশনাল ভুল করতে পারেন, যা তদন্তকারীদের বিটকয়েন ঠিকানা ছাড়াও অফ-চেইন ট্রেইল প্রদান করতে পারে।
তবুও, এই দুটি উন্নয়নই পুনরুদ্ধারের নিশ্চয়তা দেয় না। একটি অপরিবর্তিত বিটকয়েন ব্যালেন্স নেটওয়ার্ক দ্বারা জমা করা যায় না, এবং একটি তদন্তের ইঙ্গিত একটি শনাক্ত বা গ্রেপ্তারকৃত অপরাধীর সমান নয়। এই মামলাটি বরং ক্রিপ্টো সুরক্ষার দুটি ভিন্ন দিক দেখায়: আক্রমণকারীদের তাদের নিজস্ব কার্যকলাপের অজ্ঞাততা রক্ষা করতে হবে, যেমন ব্যবহারকারীদের তাদের চাবি রক্ষা করতে হয়।
আরও ব্যাপকভাবে, কোল্ডকার্ড দেখিয়ে দেয় যে সেল্ফ-কাস্টডি নিরাপত্তা শুরু হয় প্রাইভেট কীটি অফলাইনে সংরক্ষণ করার আগে। যদি সেই কী তৈরির জন্য ব্যবহৃত র্যান্ডমনেস দুর্বল হয়, তবে এমনকি একটি অপরিবর্তিত কোল্ড ওয়ালেটও ভাঙা যেতে পারে। এখনও, ব্লকচেইনটি তদন্তকারীদের কাছে চুরি করা বিটকয়েনগুলির অধিকাংশ কোথায় আছে তা দেখায়। কঠিন প্রশ্নটি হলো যে, ব্লকচেইনের বাইরের প্রমাণগুলি কি প্রকাশ করতে পারে যে কে এটি নিয়ন্ত্রণ করছে।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবল�
কোল্ডকার্ড ঘটনায় বিটকয়েন নিজেকে হ্যাক করা হয়েছিল কি?
না। বিটকয়েনের ক্রিপ্টোগ্রাফি এবং সমঝোতা ভাঙা হয়নি। ভেলনারেবিলিটির সাথে জড়িত ছিল কিছু কোল্ডকার্ড ফার্মওয়্যার সংস্করণ দ্বারা ওয়ালেট সীড তৈরির জন্য ব্যবহৃত র্যান্ডমনেস।
ব্যবহারকারীরা কি তাদের সিড ভাঙ্গার ঝুঁকিপূর্ণ কিনা তা পরীক্ষা করতে পারে?
একটি সিড নিরাপদ কিনা তা প্রমাণ করার জন্য কোনো নিরাপদ পাবলিক ব্লকচেইন টেস্ট নেই। ব্যবহারকারীদের অনলাইন চেকারে সিড প্রবেশ করানোর পরিবর্তে তাদের কোল্ডকার্ড মডেল, ফার্মওয়্যার ইতিহাস এবং কোইনকাইটের মিগ্রেশন গাইডলাইনের উপর নির্ভর করা উচিত।
কি বিপি-39 পাসফ্রেজ প্রভাবিত সীডকে সুরক্ষিত করে?
একটি শক্তিশালী এবং অনন্য পাসফ্রেজ উল্লেখযোগ্য পরিমাণে অতিরিক্ত এনট্রপি যোগ করতে পারে, তবে প্রভাবিত ব্যবহারকারীদের এই ধারণা করা উচিত নয় যে পাসফ্রেজটি চিরকালের জন্য ঝুঁকি সম্পূর্ণরূপে দূর করে দেয়; তাদের এখনও উৎপাদনকারীর বর্তমান নিরাপত্তা নির্দেশিকা অনুসরণ করা উচিত।
অন্যান্য হার্ডওয়্যার ওয়ালেটগুলি একই বাগ দ্বারা প্রভাবিত হয়?
প্রকাশিত ত্রুটিটি কোল্ডকার্ডের প্রভাবিত ফার্মওয়্যার এবং সীড-জেনারেশন বাস্তবায়নের সাথে সীমাবদ্ধ। এটি নিশ্চিত করে না যে লেজার, ট্রেজর বা অন্যান্য হার্ডওয়্যার-ওয়ালেট পণ্যগুলিতে একই ভালনারেবিলিটি রয়েছে।
বিটকয়েন মাইনাররা চুরি করা বিটকয়েন ফ্রিজ কেন করতে পারে না?
মাইনাররা বিটকয়েনের সমঝোতা নিয়ম অনুযায়ী লেনদেনগুলি যাচাই করে। যদি একটি লেনদেনে সঠিক প্রাইভেট কী থেকে একটি বৈধ স্বাক্ষর থাকে, তবে মাইনারদের কাছে কয়েনগুলি চুরি হয়েছে বলে শনাক্ত করার কারণে এটিকে জমা রাখার জন্য কোনো অন্তর্নির্মিত মেকানিজম নেই।
🔥 কুকয়েন একটি অস্থির বাজারে একটি স্থিতিশীল বিকল্প প্রদান করে
যদি আপনি বাজারের প্রায়শই উঠানামা নিয়ে চিন্তিত হন এবং প্যাসিভলি আয় করার জন্য একটি স্থিতিশীল বিকল্প খুঁজছেন, তাহলে KuCoin হল আসলে আসতে হবে এমন জায়গা:
Simple Earn: যেকোনো সময় টোকেন জমা দিন এবং উত্তোলন করুন, স্থিতিশীল রিটার্ন অর্জন করুন।
KuCoin উপার্জন: পেশাদার সম্পদ ব্যবস্থাপনার সাহায্যে স্থিতিশীল লাভ অর্জন করুন।
হোল্ড টু আর্ন: ফান্ডিং, ট্রেডিং, মার্জিন, ফিউচার্স, মাইনিং এবং ইউনিফাইড অ্যাকাউন্টে সম্পদ ধরে রেখে পুরস্কার অর্জন করুন।
স্টেকিং: অন-চেইন সম্পদের আয়ের সম্ভাবনা উন্মোচন করুন।
উন্নত বিনিয়োগ: উন্নত বিনিয়োগ বিভিন্ন স্ট্রাকচার্ড পণ্য প্রদান করে যা যেকোনো বাজারে আপনার টাকা বাড়াতে সাহায্য করে।
শার্ক ফিন: মূলধন সুরক্ষিত এবং নিশ্চিত লাভ
দ্বৈত বিনিয়োগ: কম দামে কিনুন এবং বেশি দামে বিক্রি করুন, পরিষ্কার রিটার্ন গণনাসহ।
স্নোবল: উচ্চ আয়, মূল্য সুরক্ষাসহ।
ডিসকাউন্টে ক্রয়: ডিসকাউন্ট মূল্যে ক্রিপ্টো কিনুন।
KCS লয়্যাল্টি: ≥ 1 KCS স্টেক করে এক্সক্লুসিভ সুবিধা উপভোগ করুন।
KuCoin সম্পদ: ভবিষ্যতের মূল্য আবিষ্কার করুন এবং আপনার বুদ্ধিমানের বিনিয়োগের যাত্রা শুরু করুন।
KCS সুবিধা: প্ল্যাটফর্মের সুবিধাগুলি অ্যাক্সেস করতে KCS ধারণ করুন এবং স্টেক করুন।
KCS স্টেকিং 2.0: আয় অর্জনের জন্য KCS-এর অন-চেইন গভর্ন্যান্সে অংশগ্রহণ করুন।
ডিসক্লেমার: এই কন্টেন্ট শুধুমাত্র তথ্যমূলক উদ্দেশ্যে প্রস্তুত করা হয়েছে এবং এটি বিনিয়োগ পরামর্শ হিসেবে বিবেচিত হবে না। ক্রিপ্টোকারেন্সি বিনিয়োগের ঝুঁকি রয়েছে। অনুগ্রহ করে নিজের গবেষণা করুন (DYOR)।
ডিসক্লেইমার: আপনার সুবিধার্থে এই পৃষ্ঠাটি AI প্রযুক্তি ব্যবহার করে অনুবাদ করা হয়েছে। সবচেয়ে সঠিক তথ্যের জন্য, মূল ইংরেজি সংস্করণটি দেখুন।