কোল্ডকার্ড হার্ডওয়্যার ওয়ালেটের ত্রুটির কারণে বিটকয়েনে $130M ক্ষতি

এই সপ্তাহে দুই ধরনের বিটকয়েন ধারক রয়েছে: যারা প্রতিদিন সকালে দাম চেক করে, আর যারা প্রতিদিন সকালে চেক করে যে তাদের কয়েনগুলো এখনও আছে। কারণটি হলো Coldcard — এবং এটি এখনও পর্যন্ত সবচেয়ে অস্বস্তিকর প্রমাণ যে সবচেয়ে সম্মানিত হার্ডওয়্যার ওয়ালেটটি অবশ্যই সবচেয়ে নিরাপদ নয়।

৩১ জুলাই ২০২৬ থেকে, সামঞ্জস্যপূর্ণ গণনা অনুযায়ী, ৫,২০০ এর বেশি ঠিকানা থেকে বিটকয়েন নিষ্কাশনের ফলে ক্ষতি হয়েছে $116 মিলিয়নের বেশি; কিছু গণনা এখন প্রায় $130 মিলিয়ন পর্যন্ত পৌঁছেছে। বিষয়টি ফিশিং লিঙ্কে ক্লিক করা মানুষদের নয়। এরা সবকিছুই ঠিকমতো করেছিল: অফলাইন, কোল্ড স্টোরেজ, সিড স্টিলে স্ট্যাম্পড, কখনও ছবি তোলা হয়নি।

এই নিবন্ধটি তিনটি বিষয় কভার করে: আপনি কোন প্রস্তুতকারকের পণ্য এখনও ভালো অনুভূতি নিয়ে কিনতে পারেন, কেন ট্র্যাক রেকর্ড যেকোনো স্পেসিফিকেশন শীটকে পরাজিত করে, এবং কেন এখনই ঠিক তোমার সেভিংস প্ল্যান বন্ধ রাখার সবচেয়ে ভুল সময়।

কানাডিয়ান কোম্পানি কোইনকাইট দ্বারা তৈরি কোল্ডকার্ড বছরের পর বছর ধরে উন্নত ব্যবহারকারীদের জন্য শুধুমাত্র বিটকয়েন ওয়ালেট হিসেবে কাজ করেছে। মার্চ ২০২১ থেকে চালু ফার্মওয়্যার ভার্সন ৪.০.০-এ, ডিভাইসটি একটি সিড বাক্যাংশ তৈরি করার সময় নিজের নিয়মিত হার্ডওয়্যার র‍্যান্ডমনেস চিপটি বাইপাস করে এবং পরিবর্তে একটি পূর্বানুমানযোগ্য সফটওয়্যার বিকল্প ব্যবহার করেছে। পাঁচ বছর ধরে। ঐ সময়কালে ডিভাইসে সিড তৈরি করা যারা করেছিলেন, তাদের প্রত্যেকেরই এমন একটি অনুক্রম পাওয়া গেছে, যা পুনর্গণনা করা যায় — একটি তালা, যার চাবি এই ত্রুটির কথা জানা যারা, তারা সহজেই কেটে ফেলতে পারে।

বাকি সব কম্পিউট। 31 জুলাইয়ে, প্রায় 594 BTC একটি 25 মিনিটের মধ্যে প্রায় 500টি ওয়ালেট থেকে বেরিয়ে গেল। 2 আগস্টের মধ্যে, ক্ষতি প্রায় 1,367 BTC এ পৌঁছেছে। 3 আগস্টে চতুর্থ স্বিপটি আরও 449 BTC নিয়ে নিল। সিড তৈরির সময় ইনস্টল করা ফার্মওয়্যারের উপর নির্ভর করে, Mk2, Mk3, Mk4, Mk5 এবং Q মডেলগুলির সবগুলিই প্রভাবিত হতে পারে।

ঘটনাগুলির ক্রমই গুরুত্বপূর্ণ: ডিভাইসটি হ্যাক করা হয়নি। আপনার কী তৈরি করার জন্য যে র‍্যান্ডমনেস ব্যবহার করা হয়েছিল, সেটিই হ্যাক করা হয়েছিল। পরবর্তী ফার্মওয়্যার আপডেট একটি ইতিমধ্যে বিদ্যমান সিডকে ঠিক করতে পারে না। প্রভাবিত যেকোনো ব্যক্তিকে নতুন সিড তৈরি করে সবকিছু স্থানান্তর করতে হবে।

আমরা এখানে সময়সূচী এবং প্রযুক্তিগত বিশ্লেষণ বিস্তারিতভাবে কভার করেছি: 594 BTC গেছে 25 মিনিটে — কোল্ডকার্ড ফ্লো ব্যাখ্যা এবং চতুর্থ সুইপ।

বাজারের প্রতিটি হার্ডওয়্যার ওয়ালেট একই শব্দগুলি প্রচার করে — সিকিউর এলিমেন্ট, ওপেন সোর্স, এয়ার গ্যাপ, পিআইএন, ফ্রেজফেস। এই বৈশিষ্ট্যগুলি তুলনামূলক এবং প্রায় প্রতিটি বিক্রেতা এগুলি তালিকাভুক্ত করে। যা স্পেকশীটে ছাপানো যায় না, তা হলো কোনো কিছু ভুল হলে একটি প্রস্তুতকারক বছরের পর বছর কীভাবে আচরণ করেছে।

এই সপ্তাহের পরে যে মাপকাঠি গুরুত্বপূর্ণ, সেই ভিত্তিতে বাজারটি এমন দেখাচ্ছে:

Coinkite (Coldcard)

উত্তম প্রায়োগিক প্রতিষ্ঠা, শুধুমাত্র বিটকয়েন, একটি খুব শক্তিশালী সম্প্রদায়। এবং পাঁচ বছর ধরে অলক্ষ্যে থাকা একটি কী-জেনারেশন ত্রুটি — এটি হল সবচেয়ে খারাপ ধরনের ব্যর্থতা, কারণ এটি পিছনের দিকে ঠিক করা যায় না। কোম্পানিটি সংশোধিত ফার্মওয়্যার এবং নতুনভাবে জেনারেট করা ওয়ালেটে ফান্ডস স্থানান্তরের নির্দেশনা দিয়েছে। নতুন ক্রেতাদের জন্য, বর্তমানে যুক্তিসঙ্গত অবস্থান হল স্বাধীন পোস্ট-মর্টেম সম্পন্ন হওয়ার জন্য অপেক্ষা করা।

লেজার

ফ্রান্সের বাজার নেতা সবচেয়ে দীর্ঘ ঘটনা তালিকা রাখে — যার একটি গুরুত্বপূর্ণ শর্ত আছে যা প্রায় সবসময় আলোচনায় হারিয়ে যায়: এই ঘটনাগুলির মধ্যে কোনোটিই হার্ডওয়্যারের নিজস্ব অখণ্ডতাকে ভাঙেনি। রেকর্ড:

• জুলাই ২০২০: একটি ই-কমার্স ডেটা ব্রিচ যা এক মিলিয়নের বেশি গ্রাহকের রেকর্ড প্রকাশ করেছিল — আজও এটি ফিশিং চিঠি এবং কাল্পনিক "প্রতিস্থাপন ডিভাইস"এর জন্য কাঁচা উপাদান হিসেবে ব্যবহৃত হচ্ছে।
• মে ২০২৩: লেজার রিকভার বিবাদ। সিডকে এনক্রিপ্টেড শার্ডে বিভক্ত করার ক্ষমতা অনেক ক্রেতাদের মনে হয়েছিল যে তারা যা কিনেছেন তার বিপরীত।
• ডিসেম্বর 2023: কানেক্ট কিট এক্সপ্লয়িট। একজন পূর্বের কর্মচারীর ফিশড npm অ্যাকাউন্টের মাধ্যমে দুষ্টু কোড dapp-এ ইনজেক্ট করা হয়েছিল; প্রায় $484,000 টাকা তুলে নেওয়া হয়েছিল—dapp ব্যবহারকারীদের থেকে, ওয়ালেট ধারকদের থেকে নয়।
• জানুয়ারি 2026: গ্রাহক ডেটা আবার, এবার ই-কমার্স পার্টনার Global-e-এর মাধ্যমে।

একজন লেজার ব্যবহারকারী ফার্মওয়্যার দোষের কারণে তাদের অর্থ হারানোর ঝুঁকিতে নেই। তারা একটি খুব ভালভাবে পরিকল্পিত ফিশিং অভিযানে পড়ার ঝুঁকিতে আছে, কারণ তাদের ডেলিভারি ঠিকানা ২০২০ থেকেই প্রচলিত হয়ে আসছে।

ট্যাঙ্গেম

বিপরীত ডিজাইন, এবং আজকের দৃষ্টিকোণ থেকে সবচেয়ে আকর্ষণীয় একটি। ট্যাঙ্গেম একটি স্ক্রিন এবং কেবলযুক্ত ডিভাইসের পরিবর্তে কার্ড ব্যবহার করে। কীটি কমন ক্রিটেরিয়া EAL6+ সার্টিফাইড সিকিউর এলিমেন্টের ভিতরে জেনারেট হয় এবং কার্ড থেকে কখনও বাইরে যায় না। কোনো ব্যাটারি নেই, কোনো ডিভাইস-ভিত্তিক ফার্মওয়্যার আপডেট নেই, কোনো USB পোর্ট নেই — এবং তাই একটি অনেক ছোট আক্রমণের পৃষ্ঠতল। ব্যাকআপ একটি কাগজের টুকরো নয়, বরং দুই বা তিনটি জোড়াকৃত কার্ডের সেট।

ট্র্যাক রেকর্ড: কুডেলস্কি সিকিউরিটি (2018), রিসকিউর (2023) এবং কিউর৫৩ (2026) দ্বারা স্বাধীন অডিট, যার মধ্যে কোনোটিই ভালনারেবিলিটি খুঁজে পায়নি। এক মিলিয়নেরও বেশি কার্ড বিতরণের মধ্যে, কোনো সিস্টেমেটিক কমপ্রোমাইজ জানা যায়নি। এটি একটি গ্যারান্টি নয়—কিন্তু এটি ঠিক সেই ধরনের বoring, চেকযোগ্য ইতিহাস যা এই সপ্তাহের মতো একটি সপ্তাহের পরে যেকোনো ফিচারের চেয়ে বেশি মূল্যবান।

ঘোষণা: ক্রিপ্টোটিকার এখানে উল্লিখিত কিছু প্রদানকারীর সাথে পার্টনার প্রোগ্রাম চালায়। উপরের মূল্যায়নটি বাণিজ্যিক সম্পর্কের পরিবর্তে পাবলিকলি ডকুমেন্টেড ঘটনার রেকর্ডের উপর ভিত্তি করে করা হয়েছে। আমাদের দৃষ্টিভঙ্গি যেখানে সেই সম্পর্ক থেকে বিচ্যুত হয় — যেমন কোল্ডকার্ড এবং লেজারের ক্ষেত্রে — আমরা তা উল্লেখ করি।

মূল্য, সমর্থিত কয়েন এবং রেটিংসসহ পূর্ণাঙ্গ তুলনা আমাদের হার্ডওয়্যার ওয়ালেট তুলনা-এ রয়েছে।

নিয়ম 1: স্পেসিফিকেশনের উপর নয়, ইতিহাসের উপর কেনা

ওয়ালেট অর্ডার করার আগে, প্রস্তুতকারকের নাম এবং "incident", "breach" বা "vulnerability" সার্চ করুন। আপনি শূন্য ফলাফল খুঁজছেন না—প্রতিটি গুরুত্বপূর্ণ ভেন্ডরেরই কিছু না কিছু আছে। আপনি প্রতিক্রিয়াটি দেখছেন: প্রকাশ করার জন্য কত দ্রুত প্রতিক্রিয়া জানানো হয়েছিল? এটি সম্পূর্ণ ছিল কি? একটি স্বতন্ত্র অডিট প্রকাশিত হয়েছিল কি? নিজের ব্যর্থতাগুলি পাবলিকলি বিশ্লেষণ করা প্রস্তুতকারকটি সেই প্রস্তুতকারকের চেয়ে নিরাপদ, যার রেকর্ড শুধুমাত্রখালি দেখায়।

নিয়ম 2: একটিমাত্র র‍্যান্ডমনেস সোর্সের উপর কখনও নির্ভর করবেন না

কোল্ডকার্ড ফাঁকটি ছিল একটি র‍্যান্ডমনেস ফাঁক। যদি আপনি এনট্রপি সম্পূর্ণরূপে ডিভাইসের উপর ছেড়ে দিতে না চান, তবে দুটি শক্তিশালী পথ রয়েছে: ডাইস রোলের মাধ্যমে একটি সিড তৈরি করুন (যা কিছু ডিভাইস দ্বারা সমর্থিত), অথবা দুটি ভিন্ন প্রস্তুতকারকের ডিভাইস ব্যবহার করে একটি মাল্টিসিগ সেটআপ চালু করুন। দুটি ব্র্যান্ডের মধ্যে 2-অফ-3 মাল্টিসিগে, একটি ভেন্ডর-ব্যাপী ফার্মওয়্যার ত্রুটি একটি সম্পূর্ণ ক্ষতি হয়ে উঠেছে এবং একটি অসুবিধায় পরিণত হয়েছে।

নিয়ম 3: আশা করার পরিবর্তে আপনার হোল্ডিংস সক্রিয়ভাবে চেক করুন

কোল্ড স্টোরেজ আপনাকে বছরের পর বছর দূরে সরিয়ে রাখে। ত্রৈমাসিক অ্যাপয়েন্টমেন্ট নির্ধারণ করুন: একটি ব্লক এক্সপ্লোরারের মাধ্যমে ব্যালেন্স চেক করুন (পাবলিক ঠিকানা যথেষ্ট — কখনও আপনার সিড কোথাও প্রবেশ করাবেন না), ভেন্ডরের ফার্মওয়্যার চেঞ্জলগ পড়ুন, আপনার ব্যাকআপ লোকেশন যাচাই করুন। বছরে চারবার, প্রতিবার পনেরো মিনিট।

৫ আগস্ট, ২০২৬-এ বিটকয়েন প্রায় $৬৪,১০০ এ ট্রেড হচ্ছে। খবরের প্রবাহ নিষ্ঠুর: একটি হার্ডওয়্যার ওয়ালেট দুর্ঘটনা, জুলাইয়ে দুটি পার্প DEX শূন্য হয়ে গেল, প্রথম মার্কিন স্পট ETF এর দরজা বন্ধ হয়ে গেল। সাধারণ প্রতিক্রিয়া হলো সেভিংস পরিয়োজনা বন্ধ করে দেওয়া — "যতক্ষণ না এটা শান্ত হয়ে যায়"।

এটাই ঠিক সেই পদক্ষেপ যা বছরের পর বছর আপনার গড় প্রবেশ মূল্যকে ক্ষতি করে। একটি সেভিংস প্ল্যান একটি মার্কেট ইনস্ট্রুমেন্ট নয়; এটি আপনার নিজের মুডের বিরুদ্ধে একটি ইনস্ট্রুমেন্ট। এর সম্পূর্ণ মূল্য সেই মাসগুলিতেই তৈরি হয় যখন আপনি এটিকে বন্ধ করতে চান। ২০২২ সালে যারা বিরতি নিয়েছিলেন, তারা চক্রের সবচেয়ে সস্তা অংশটি মিস করেছিলেন এবং ২০২৪ সালের গ্রীষ্মে অনেক বেশি দামে পুনরায় শুরু করেছিলেন।

আমাদের সেভিংস প্ল্যানের জন্য পছন্দ: Coinbase — কিন্তু সেভিংস-প্ল্যান বাটনের মাধ্যমে নয়

Coinbase এখন ইউরোপীয় বিনিয়োগকারীদের জন্য স্পষ্ট পছন্দ। জুন ২০২৬ থেকে এর ইউরোপীয় ব্যবসা লুক্সেমবার্গে অবস্থিত একটি MiCA লাইসেন্সের অধীনে চলছে, যা আগের জাতীয় অনুমতিগুলি—যার মধ্যে জার্মান অনুমতিও অন্তর্ভুক্ত—কে একটি ছাদের নিচে একত্রিত করেছে। ১ জুলাই ২০২৬-এ শেষ হওয়া MiCA সংক্রান্ত সংক্রমণ পিরিয়ডের পর, এটিই একটি এক্সচেঞ্জকে ইউরোপীয় বাজারে অবস্থান করতে দেয় বা বাজার থেকে চলে যেতে বাধ্য করে। SEPA রেলপথ, স্থানীয়-ভাষা সমর্থন এবং সাধারণ টুলগুলির দ্বারা পড়ার যোগ্য ট্যাক্স এক্সপোর্ট যোগ করুন।

এবং এখন সরবরাহকারীদের নিজেদের পছন্দনীয় নয় এমন অংশ: সুবিধাজনক পুনরাবৃত্তি ক্রয় বোতামটি হল Coinbase-এ ক্রয়ের সবচেয়ে ব্যয়বহুল উপায়।

প্রতি মাসে €200 খরচ করলে প্রতি বছর প্রায় €60 খরচ হয় — আপনার পোর্টফোলিওতে একই ফলাফলের জন্য। উভয়কে একত্রিত করে তৈরি করা কাজের প্রবাহ: আপনার Coinbase অ্যাকাউন্টে একটি স্থায়ী SEPA ট্রান্সফার, প্রতি মাসে Coinbase Advanced-এ একটি অর্ডারের সীমা দিতে দুই মিনিট, তারপর আপনার নিজস্ব ওয়ালেটে উত্তোলন। একটি সেভিংস প্ল্যানের সুবিধা কেবলমাত্র কিনার বোতামে নয়, বরং স্থায়ী অর্ডারে বিদ্যমান।

প্রদানকারীদের পাশাপাশি রাখতে — ফি, ন্যূনতম কিস্তি, বাস্তবায়ন কম্পাঙ্ক, উত্তোলন খরচ — দেখুন আমাদের বিটকয়েন কেনার গাইড। এবং MiCA-এর পরে ইউরোপে নিয়ন্ত্রিতভাবে কাজ করা এক্সচেঞ্জগুলির জন্য: নিয়ন্ত্রিত ক্রিপ্টো এক্সচেঞ্জগুলির তুলনা।

1. এক্সপোজার স্থাপন করুন। মার্চ 2021-এর পর ডিভাইসে জেনারেট করা সিড ব্যবহার করে একটি কোল্ডকার্ড ব্যবহার করছেন? তাহলে সংশোধিত ফার্মওয়্যারে বা অন্য একটি প্রস্তুতকারকের ডিভাইসে একটি নতুন ওয়ালেট তৈরি করুন এবং অবিলম্বে সবকিছু স্থানান্তর করুন। টেস্ট ট্রানজেকশনের জন্য অপেক্ষা করবেন না—দোষটি প্রকাশিত, এবং ঠিকানাগুলিও প্রকাশিত।
2. ঘটনার ইতিহাস এবং প্রতিক্রিয়ার আচরণের ভিত্তিতে উৎপাদনকারীকে বাছুন, ফিচার লিস্টের ভিত্তিতে নয়।
3. ব্যাকআপকে একটি সেট হিসাবে ভাবুন। দুটি স্থান, ভিন্ন ভিন্ন ভবন। কার্ড ওয়ালেটের ক্ষেত্রে: দ্বিতীয় কার্ডটি একই ড্রয়ারে থাকবে না।
4. সেভিংস প্ল্যান সেটআপ করুন — স্থায়ী SEPA অর্ডার এবং একটি মাসিক অর্ডারের সীমা, যে পরিমাণ ছয় মাসের খারাপ সময়ে ক্ষতি করবে না।
5. ব্যালেন্স চেক এবং ফার্মওয়্যার চেঞ্জলগের জন্য ক্যালেন্ডারে ত্রৈমাসিক মনে করিয়ে দিন।

কোল্ডকার্ড ঘটনাটি প্রমাণ করেনি যে সেল্ফ-কাস্টডি ভুল। এটি প্রমাণ করেছে যে সেল্ফ-কাস্টডির অর্থ একটি প্রস্তুতকারক বেছে নেওয়া — এবং এই বাছাইটি সম্প্রদায়ের প্রতিষ্ঠা নয়, বরং নথিভুক্ত ইতিহাসের উপর ভিত্তি করে করতে হবে। এই সপ্তাহে দুটি কাজ করুন এবং আপনি শুরুর চেয়ে ভালোভাবে শেষ করবেন: কাস্টডি ভেন্ডরকে তাদের প্রতিষ্ঠার ভিত্তিতে পরিবর্তন করুন বা নিশ্চিত করুন, এবং হেডলাইনগুলির মধ্যেও সেভিংস প্ল্যানটি চালিয়ে যান। এই ক্রমে।

৫ আগস্ট, ২০২৬ পর্যন্ত। এই নিবন্ধটি বিনিয়োগের পরামর্শ নয়। মূল্য এবং ফি মডেল পরিবর্তন হয় — প্রতিটি ক্রয়ের আগে প্রদানকারীর সাথে বর্তমান শর্তাবলী যাচাই করুন।