২০২৬ সালের ৩০ অক্টোবর ভোররাতে আধুনিক ডিজিটাল বিশ্বের ইতিহাসে সবচেয়ে বড় সাইবার ডাকাতির সাক্ষী হয় পৃথিবী। ঘড়ির কাঁটায় তখন বাংলাদেশ সময় ঠিক রাত ২:০০ টা। বিশ্বের বিভিন্ন দেশে তখনও ২৯ অক্টোবরের রাত। মাত্র ২০ মিনিটের ঝোড়ো তাণ্ডবে বিশ্বের সর্ববৃহৎ ক্রিপ্টোকারেন্সি এক্সচেঞ্জ বাইন্যান্সের (Binance) হট ওয়ালেট থেকে ১০টি ভিন্ন ব্লকচেইনে প্রায় ৬.৩৬ বিলিয়ন মার্কিন ডলার (বাংলাদেশি মুদ্রায় যার পরিমাণ প্রায় ৭৬ হাজার ৩২০ কোটি টাকা) হ্যাক করে সরিয়ে নেওয়া হয়।[১]

বাইন্যান্সের মতো প্রযুক্তিগত দানব, যার দৈনিক লেনদেনের ভলিউম কোটি কোটি ডলার এবং ২০২৫ সাল নাগাদ যাদের নেট রিজার্ভের পরিমাণ ছিল প্রায় ১৬৩ বিলিয়ন ডলার, তাদের সর্বোচ্চ সুরক্ষাবলয় কীভাবে মাত্র কয়েক মিনিটে গুঁড়িয়ে গেল? হ্যাকাররা কীভাবে ১০টি আলাদা ক্রিপ্টো নেটওয়ার্কে একই সাথে আক্রমণ চালাল? এই টাকা কারা নিল এবং চুরি হওয়া অর্থের শেষ পরিণতি কী? ব্লকচেইন অ্যানালিটিক্স ফার্ম টিআরএম ল্যাবস (TRM Labs), এলিপটিক (Elliptic) এবং মার্কিন গোয়েন্দা সংস্থা এফবিআইয়ের (FBI) আনুষ্ঠানিক তদন্ত প্রতিবেদনের ভিত্তিতে জেনে নিন এই ঐতিহাসিক মেগা হ্যাকের প্রতিটি রোমহর্ষক অধ্যায়।[৫]

কোল্ড বনাম হট ওয়ালেট: হ্যাকারদের ক্যাশ কাউন্টার টার্গেট

পুরো ঘটনার গভীরতা বুঝতে হলে ক্রিপ্টো এক্সচেঞ্জের ওয়ালেট ব্যবস্থাপনা কীভাবে কাজ করে তা বোঝা জরুরি। এক্সচেঞ্জগুলো মূলত দুই ধরনের ওয়ালেটে তহবিল সংরক্ষণ করে:

  • কোল্ড ওয়ালেট (Cold Wallet): এটি ইন্টারনেট থেকে সম্পূর্ণ বিচ্ছিন্ন একটি অফলাইন স্টোরেজ। ঠিক যেমন একটি সুরক্ষিত ব্যাংকের মাটির নিচের লোহার ভল্ট। গ্রাহকদের জমা রাখা প্রায় ৯০ থেকে ৯৫ শতাংশ সম্পদ এখানে সম্পূর্ণ সুরক্ষিত থাকে। এখান থেকে টাকা সরাতে শারীরিক অনুমোদন ও একাধিক নিরাপত্তার চাবি প্রয়োজন হয়, ফলে এটি অত্যন্ত ধীরগতির কিন্তু শতভাগ নিরাপদ।
  • হট ওয়ালেট (Hot Wallet): এটি ইন্টারনেটের সাথে সরাসরি সার্বক্ষণিক সংযুক্ত থাকে। প্রতিদিন হাজার হাজার গ্রাহক যখন প্ল্যাটফর্ম থেকে দ্রুত টাকা তুলতে (Withdraw) চান, তখন হট ওয়ালেট থেকে সেকেন্ডের মধ্যে পেমেন্ট প্রসেস হয়। এটি মূলত একটি ব্যস্ত দোকানের ক্যাশ কাউন্টারের ড্রয়ারের মতো, যেখানে তাৎক্ষণিক লেনদেনের জন্য পর্যাপ্ত টাকা রাখা থাকে।

সাইবার অপরাধীরা সবসময় সেই ক্যাশ কাউন্টারের ড্রয়ার বা হট ওয়ালেটকেই টার্গেট করে। কারণ এটি ইন্টারনেটে লাইভ থাকে। ৩০ অক্টোবরের হামলায় হ্যাকাররা আঘাত হেনেছিল বাইন্যান্সের এই বহুল ব্যবহৃত হট ওয়ালেট নেটওয়ার্কে।

৩৬ ঘণ্টার নিখুঁত সামরিক ছক: টর্নেডো ক্যাশ ও রিহার্সাল

ব্লকচেইন প্রযুক্তির একটি অদ্ভুত বৈশিষ্ট্য হলো, এখানে কোনো লেনদেনের ইতিহাস মুছে ফেলা যায় না। প্রতিটি ট্রানজেকশনের স্থায়ী ডিজিটাল ফুটপ্রিন্ট থেকে যায়। আর ঠিক এই কারণেই TRM Labs-এর মতো আন্তর্জাতিক ব্লকচেইন গোয়েন্দা প্রতিষ্ঠানগুলো পেছনের প্রতিটি ধাপ চুলচেরা বিশ্লেষণ করে বের করেছে হ্যাকারদের প্রস্তুতি।

গোয়েন্দা তথ্য অনুযায়ী, এই আক্রমণ কোনো তাৎক্ষণিক বা দুর্বল মুহূর্তের বিচ্ছিন্ন ঘটনা ছিল না। এটি ছিল অত্যন্ত নিখুঁত, পরিকল্পিত ও সামরিক ধাঁচের একটি সাইবার অপারেশন। চুরির মূল ঘটনার অন্তত ৩৬ ঘণ্টা আগে থেকেই আক্রমণের মঞ্চ প্রস্তুত করা হয়:

  • ২৮ অক্টোবর: হ্যাকারের একটি অজ্ঞাত অপারেটর ওয়ালেটে ক্রিপ্টো মিক্সার প্ল্যাটফর্ম 'টর্নেডো ক্যাশ' (Tornado Cash) থেকে তিনটি ক্ষুদ্র ট্রানজেকশনে ফান্ড আসে। এই মিক্সারের কাজ হলো টাকার আসল উৎস ধোঁয়াশা করে গোপন রাখা। এই অর্থ মূলত আক্রমণের বিভিন্ন গ্যাস ফি ও ট্রানজেকশন খরচ মেটানোর জন্য জোগাড় করা হয়।
  • ২৯ অক্টোবর: হ্যাকাররা তাদের তৈরি বিপজ্জনক ম্যালিসিয়াস কোড দুটি পরীক্ষামূলক ওয়ালেটে ডেপ্লয় করে টেস্ট চালায়। পরবর্তীতে সেদিনই তৃতীয় আরেকটি ওয়ালেটে চূড়ান্ত ড্রেস রিহার্সাল বা মহড়া অনুষ্ঠিত হয়। মহড়া শেষে টেস্ট ফান্ড আবার নিজেদের ঠিকানায় ফিরিয়ে আনা হয়।
  • ৩০ অক্টোবর রাত ২:০৫ মিনিট (বাংলাদেশ সময়): সফল মহড়ার ঠিক চার ঘণ্টা পর সেই একই ধ্বংসাত্মক কোড সক্রিয় করা হয় বাইন্যান্সের সরাসরি প্রোডাকশন হট ওয়ালেটে। আর ততক্ষণে হ্যাকারদের হাতে চলে এসেছে প্রতিটি নেটওয়ার্কে লেনদেন অনুমোদনের বৈধ ক্রিপ্টোগ্রাফিক চাবি বা সাইনিং পারমিশন।

ডাকাতির টাইমলাইন: মাত্র ২০ মিনিটে খালি ১০টি ব্লকচেইন

বাংলাদেশ সময় যখন ভোররাত ২:০৫ মিনিট, তখন বেশিরভাগ মানুষ গভীর ঘুমে আচ্ছন্ন। সেই শান্ত রাতের আঁধারে শুরু হয় তাণ্ডব:

  • রাত ২:০৫ থেকে ২:০৯ মিনিট (XRP Ledger): বাইন্যান্সের পাঁচটি ভিন্ন ওয়ালেট থেকে একযোগে ২৩ কোটি ৩৪ লাখ ৬০ হাজার (২৩৩.৪৬ মিলিয়ন) XRP সোজা হ্যাকারের একটিমাত্র নতুন অ্যাকাউন্টে ট্রান্সফার হয়ে যায়। প্রতিটি ওয়ালেটে অ্যাকাউন্ট চালু রাখার জন্য ন্যূনতম প্রয়োজনীয় ব্যালেন্স ছাড়া আর কোনো কয়েন অবশিষ্ট রাখা হয়নি। যার আনুমানিক মূল্য ছিল প্রায় ২৯৬ মিলিয়ন ডলার।
  • রাত ২:২০ মিনিট (Bitcoin Network): হ্যাকাররা আক্রমণ চালায় বিটকয়েন হট ওয়ালেটে। চোখের পলকে ১৮,২৭০টি আসল বিটকয়েন (BTC) সরিয়ে নেওয়া হয়, যার তাৎক্ষণিক বাজারমূল্য ছিল ১.৪৭ বিলিয়ন ডলারেরও বেশি। ধরা পড়ার ঝুঁকি কমাতে হ্যাকার তাৎক্ষণিকভাবে 'পিল-চেইন' (Peel Chain) নামক জটিল কৌশল ব্যবহার করে একই ব্লকের ভেতরে এই বিপুল বিটকয়েনকে ১০০০ বিটিসি ও ১০০ বিটিসি করে ক্ষুদ্র ক্ষুদ্র অংশে বিভক্ত করতে থাকে।
  • রাত ২:২২ মিনিট (Tron Network): মাত্র দুই মিনিটের ব্যবধানে বাইন্যান্সের ট্রন হট ওয়ালেট থেকে ৬১২.৭ মিলিয়ন ইউএসডিটি (USDT) এবং ৪৬৪ মিলিয়ন টিআরএক্স (TRX) হ্যাকারের কব্জায় চলে যায়। যার মোট মূল্য প্রায় ৬২৮ মিলিয়ন ডলার।
  • রাত ২:২৩ মিনিট (Ethereum Network - প্রধান আঘাত): এটি ছিল পুরো অপারেশনের সবচেয়ে ভয়াবহ অংশ। মাত্র ৩ মিনিট ২৪ সেকেন্ডের একটি সিঙ্গেল অপারেশনে বাইন্যান্সের মূল ইথেরিয়াম হট ওয়ালেটের সম্পূর্ণ দখল নিয়ে নেওয়া হয়। ওয়ালেট থেকে সরিয়ে নেওয়া হয় ১ লাখ ৬৭ হাজার ৪৬৪টি ইথার (ETH) এবং আরও ৬৩টি ভিন্ন টোকেন, যার মধ্যে ছিল ১৬১.৫ মিলিয়ন ইউএসডিটি।
  • সুইপ সাইকেল (Sweep Cycle): এত বড় চুরির পরও হ্যাকার শান্ত হয়নি। পুরো হট ওয়ালেটের নিয়ন্ত্রণ তার হাতে থাকায় যখনই কোনো সাধারণ ব্যবহারকারী সেই ওয়ালেটে নতুন ডিপোজিট বা টাকা জমা করছিলেন, হ্যাকারের বট স্বয়ংক্রিয়ভাবে তা ঝাড়ু দিয়ে সরিয়ে নিচ্ছিল। রাত ২:৪১, ২:৫৯, ৩:০০, ৩:৪৪, ৪:৩৯ এবং ভোর ৫:৫৬ মিনিটেও এই সুইপ চলতে থাকে।
  • ভোরবেলা: পরবর্তী ধাপে অ্যাভালাঞ্চ (Avalanche), আরবিট্রাম (Arbitrum), সোলানা (Solana), অপটিমিজম (Optimism), বেস (Base) এবং পলিগন (Polygon) নেটওয়ার্কের ওয়ালেটগুলো থেকেও অবশিষ্ট ফান্ড নিঃশেষ করে দেওয়া হয়।

কোন ব্লকচেইন থেকে কত ডলার চুরি হলো?

টিআরএম ল্যাবসের হিসাব অনুযায়ী প্রতিটি ট্রানজেকশনের মুহূর্তের বাজারদর অনুসারে মোট চুরির পরিমাণ দাঁড়ায় প্রায় ৬.৩৬ বিলিয়ন মার্কিন ডলার। নিচে ব্লকচেইনভিত্তিক চুরির বিশদ বিবরণ তুলে ধরা হলো:

ব্লকচেইন নেটওয়ার্ক চুরি হওয়া প্রধান টোকেন ও ক্রিপ্টো আনুমানিক মূল্য (মার্কিন ডলারে) মোট চুরির শতকরা হার
ইথেরিয়াম (Ethereum) ~২,০০,০০০ ETH, ১.৮৭B USDT, ৮২০M USDC, ৯০M RLUSD সহ ১৮৫ প্রকারের টোকেন $৩.৭৯ বিলিয়ন (৩৭৯ কোটি ডলার) প্রায় ৬০%
বিটকয়েন (Bitcoin) ১৮,২৭০টি BTC $১.৪৭ বিলিয়ন (১৪৭ কোটি ডলার) প্রায় ২৩%
ট্রন (Tron) ৬১২.৭M USDT ও ৫০M+ TRX $৬২৮ মিলিয়ন (৬২.৮ কোটি ডলার) প্রায় ১০%
এক্সআরপি (XRP Ledger) ২৩ কোটি ৩৪ লাখ ৬০ হাজার XRP $২৯৬ মিলিয়ন (২৯.৬ কোটি ডলার) প্রায় ৪.৬%
সোলানা (Solana) ~১,৫০,০০০ SOL $৯৬ মিলিয়ন (৯.৬ কোটি ডলার) প্রায় ১.৫%
অন্যান্য (Arbitrum, Base, Optimism, Avalanche, Polygon) ইথার, স্টেবলকয়েন ও স্থানীয় গ্যাস টোকেন $৭৭ মিলিয়ন (৭.৭ কোটি ডলার) প্রায় ১%
সর্বমোট (Total) ১০টি ব্লকচেইন জুড়ে বিপুল বৈচিত্র্যময় সম্পদ ~$৬.৩৬ বিলিয়ন (৭৬,৩২০ কোটি টাকা) ১০০%

ইথেরিয়ামের EIP-7702 ও নন্স (Nonce) বাইপাস কৌশল

এই আক্রমণের সবচেয়ে বিস্ময়কর ও জটিল অংশটি ছিল কারিগরি কৌশল। বিশেষ করে ইথেরিয়াম নেটওয়ার্কে ব্যবহৃত নতুন আর্কিটেকচার। ২০২৫ সালের মে মাসে ইথেরিয়ামের বিখ্যাত 'পেত্রা' (Petra) আপগ্রেডে একটি আধুনিক ফিচার যুক্ত করা হয়, যার নাম EIP-7702।

সহজ কথায় EIP-7702 কী? এটি এমন একটি ব্যবস্থা যেখানে যেকোনো সাধারণ ব্যক্তি বা ওয়ালেট মালিক একটি সাইন করা ডিজিটাল পারমিশন স্লিপ দিয়ে বলতে পারেন যে, এখন থেকে আমার অ্যাকাউন্টের পক্ষে এই নির্দিষ্ট স্মার্ট কন্ট্রাক্ট কোডটি কাজ করবে। ফিচারটি তৈরি করা হয়েছিল মানুষের সুবিধার্থে, যাতে গ্যাস ফি স্পনসরশিপ বা এক ক্লিকে একাধিক কাজ করা যায়। কিন্তু হ্যাকাররা এই প্রযুক্তিকেই তৈরি করে তাদের প্রাণঘাতী অস্ত্র হিসেবে।

হ্যাকার একটি বিষাক্ত সুইপার কন্ট্রাক্ট তৈরি করে, যার একমাত্র নিয়ম ছিল হ্যাকারের নির্দেশ পেলেই ওয়ালেটের সব সম্পদ নির্দিষ্ট একটি ভল্টে পাঠিয়ে দেওয়া। কিন্তু সেখানে একটি বড় কারিগরি বাধা ছিল, ইথেরিয়ামে প্রতিটি ওয়ালেটের ট্রানজেকশনে একটি ধারাবাহিক ক্রমিক সংখ্যা বা নন্স (Nonce) থাকে। পারমিশন স্লিপটি তখনই কার্যকর হয় যখন বর্তমান ট্রানজেকশনের সাথে নন্সের নম্বর হুবহু মিলে যায়।

বাইন্যান্সের হট ওয়ালেটে প্রতি সেকেন্ডে শত শত গ্রাহকের উইথড্রয়াল প্রসেস হচ্ছিল, ফলে নন্স প্রতি মুহূর্তে চোখের পলকে পরিবর্তন হচ্ছিল। হ্যাকার এখানে এক অভাবনীয় দানবীয় ট্রিক খাটায়। মনে করুন, আপনি ব্যাংকে ৫০টি ধারাবাহিক চেক লিখে পাঠালেন, আপনি জানেন না কোন নম্বরের সময় ব্যাংকের কাউন্টারে ক্যাশিয়ার প্রস্তুত থাকবে; কিন্তু ৫০টির মধ্যে যেকোনো একটি নম্বরে ক্যাশিয়ার মিলবেই! হ্যাকার একযোগে ৫০টি প্রি-সাইনড পারমিশন স্লিপ ফায়ার করে। নন্সের একটি ট্রানজেকশন সফলভাবে মিলে যায় এবং বাইন্যান্সের ইথেরিয়াম হট ওয়ালেট সম্পূর্ণভাবে হ্যাকারের পুতুল কোডের অধীনস্থ হয়ে পড়ে।

কিন্তু প্রশ্ন হলো, বিটকয়েন বা ট্রনের মতো ভিন্ন ভিন্ন ব্লকচেইনে তো EIP-7702 ছিল না! সেখানে কীভাবে ভ্যালিড সিগনেচার পেল?

টিআরএম ল্যাবস ও বাইন্যান্সের নিজস্ব তদন্ত জানাচ্ছে যে, হ্যাকার আসলে বাইন্যান্সের অভ্যন্তরীণ হট ওয়ালেট সাইনিং ইনফ্রাস্ট্রাকচার (Signing Infrastructure) কোনোভাবে হ্যাক করতে সক্ষম হয়েছিল। বাইন্যান্সের প্রাথমিক পর্যবেক্ষণ অনুসারে, তাদের একজন সিনিয়র ডেভেলপারের ব্যক্তিগত ল্যাপটপ কমপ্রোমাইজড হওয়ার মাধ্যমে এই অনুপ্রবেশের সূত্রপাত ঘটে। আর সেই সাইনিং সার্ভিসের নিয়ন্ত্রণ পেতেই হ্যাকার যেকোনো ব্লকচেইনের বৈধ চাবি ব্যবহার করে নিজের ইচ্ছামতো কোটি কোটি ডলার উইথড্র করে নিতে পেরেছিল।

নেপথ্যে উত্তর কোরিয়ার 'ট্রেডার ট্রেইটর' (TraderTraitor)

ঘটনার পরপরই বিশ্বজুড়ে কোটি কোটি বিনিয়োগকারী হতচকিত হয়ে পড়েন। এত বিশাল অঙ্কের সুসমন্বিত আক্রমণ কোনো সাধারণ কিশোর হ্যাকার বা ছোট গ্যাংয়ের পক্ষে অসম্ভব।

ব্লকচেইন গোয়েন্দা প্রতিষ্ঠান টিআরএম ল্যাবস, এলিপটিক এবং চেইনালাইসিস গভীর তদন্ত শেষে নিশ্চিত করে যে, এই অপারেশনের নেপথ্যে রয়েছে উত্তর কোরিয়ার রাষ্ট্র-সমর্থিত ভয়ানক হ্যাকিং ইউনিট, যাদেরকে বিশ্ব চেনে ট্রেডার ট্রেইটর (TraderTraitor বা Lazarus Group) নামে। পরবর্তীতে ৩১ অক্টোবর শনিবার মার্কিন গোয়েন্দা সংস্থা এফবিআই (FBI) আনুষ্ঠানিকভাবে এক প্রেস ব্রিফিংয়ে এই তথ্যের সত্যতা নিশ্চিত করে।[২]

গোয়েন্দারা তিনটি সুস্পষ্ট লক্ষণের ভিত্তিতে এই গ্রুপটিকে শনাক্ত করেছেন:

  • টর্নেডো ক্যাশ থেকে আগেভাগে গ্যাস ফির অর্থ সংগ্রহ ও দীর্ঘমেয়াদি পূর্বপ্রস্তুতি।
  • একযোগে সংগৃহীত প্রি-অথরাইজড ক্রিপ্টোগ্রাফিক সিগনেচারের ব্যবহার।
  • ২০২৫ সালের ফেব্রুয়ারিতে বাইবিট (Bybit) এক্সচেঞ্জ থেকে ১.৫ বিলিয়ন ডলার চুরি এবং ২০২৬ সালের এপ্রিলে কেল ডিএ (Kell DA) হ্যাকের সাথে আক্রমণের ম্যালওয়্যার ও ক্যাশআউট প্যাটার্নের হুবহু মিল।

জাতিসংঘের বিশেষজ্ঞ প্যানেল এবং মার্কিন অর্থ মন্ত্রণালয়ের বিভিন্ন রিপোর্টে দীর্ঘদিন ধরেই উল্লেখ করা হয়েছে যে, আন্তর্জাতিক অর্থনৈতিক নিষেধাজ্ঞা এড়াতে উত্তর কোরিয়া তাদের রাষ্ট্রীয় অর্থনীতি টিকিয়ে রাখতে এবং ব্যালিস্টিক ক্ষেপণাস্ত্র ও পরমাণু অস্ত্র কর্মসূচির তহবিল জোগাড় করতে আন্তর্জাতিক ক্রিপ্টো প্ল্যাটফর্মগুলোতে এই ধরনের সুপরিকল্পিত সাইবার ডাকাতি পরিচালনা করে।

৩ বিলিয়ন ডলার ফ্রিজ ও হ্যাকারের পালানোর রাস্তা

চুরির ঘটনা শনাক্ত হওয়ার সাথে সাথেই ক্রিপ্টো ইতিহাসের সবচেয়ে রোমাঞ্চকর প্রতিযোগিতা শুরু হয়। বিটকয়েন বা ইথেরিয়ামের মতো সম্পূর্ণ ডিসেন্ট্রালাইজড ক্রিপ্টো ব্লকচেইন কেউ ফ্রিজ বা বন্ধ করতে না পারলেও সেন্ট্রালাইজড স্টেবলকয়েন কোম্পানিগুলোর (যেমন Tether, Circle) হাতে নির্দিষ্ট ব্ল্যাকলিস্ট করা ওয়ালেটের ফান্ড লক করে দেওয়ার ক্ষমতা থাকে।

আইনশৃঙ্খলা রক্ষাকারী বাহিনী ও এক্সচেঞ্জগুলোর যৌথ অনুরোধে স্টেবলকয়েন কোম্পানিগুলো অভাবনীয় দ্রুততায় পদক্ষেপ নেয়:

  • রাত ৩:০১ মিনিট: চুরির মাত্র ৩৭ মিনিটের মাথায় বিশ্বের শীর্ষ স্টেবলকয়েন কোম্পানি টিথার (Tether) হ্যাকারের প্রধান রিসিভিং ওয়ালেটে থাকা ৯৭১ মিলিয়ন ইউএসডিটি (USDT) ফ্রিজ বা বাজেয়াপ্ত করে দেয়।
  • রাত ৩:০৪ মিনিট: ইউএসডিসির নিয়ন্ত্রক কোম্পানি সার্কেল (Circle) পুলিশ প্রশাসনের সাথে সমন্বয় করে মুহূর্তের মধ্যে ৮২৩ মিলিয়ন ইউএসডিসি (USDC) লক করে দেয়।
  • রাত ৪:০১ মিনিট: রিপল (Ripple) কর্তৃপক্ষ তাদের নতুন স্টেবলকয়েনের ৪০৫ মিলিয়ন আরএলইউএসডি (RLUSD) ফ্রিজ করে।
  • রাত ৪:১০ মিনিট: ওয়ার্ল্ড লিবার্টি ফাইন্যান্সিয়াল (World Liberty Financial) ফ্রিজ করে ২৭৮ মিলিয়ন ইউএসডি১ (USD1)।
  • সকাল ৬:০৮ মিনিট: আরবিট্রাম সিকিউরিটি কাউন্সিল জরুরি ক্ষমতা প্রয়োগ করে হ্যাকারের ওয়ালেট থেকে ৮,৪২৬টি ইথার ও ৭৪৬ মিলিয়ন এআরবি (ARB) টোকেন ফোর্সড রিকভারি করে সরিয়ে নেয়।

সব মিলিয়ে বিভিন্ন কোম্পানি ও নেটওয়ার্কের তাৎক্ষণিক হস্তক্ষেপে প্রায় ২.৭ থেকে ৩ বিলিয়ন ডলার অনলাইনে ফ্রিজ করে হ্যাকারের নাগালের বাইরে নেওয়া সম্ভব হয়।[৩]

কিন্তু উত্তর কোরিয়ার হ্যাকাররাও বোকা ছিল না। তারা ভালো করেই জানত যে স্টেবলকয়েন দ্রুত ফ্রিজ হয়ে যাবে। তাই ফ্রিজ হওয়ার আগেই হ্যাকাররা অত্যন্ত কম দামে যা পেরেছে বিক্রি করে দিয়েছে। তারা পেশাদার মার্কেট মেকারদের কাছে ১০ শতাংশের বেশি ছাড় বা ডিসকাউন্টে প্রায় ৩২৫ মিলিয়ন ইউএসডিটি বিক্রি করে ১ লাখ ২২ হাজার ৩০০টি খাঁটি ইথার (ETH) কিনে নেয়। এছাড়া ডিসেন্ট্রালাইজড লেন্ডিং প্রোটোকল 'Aave' এবং ট্রনের 'JustLend'-এ শত শত মিলিয়ন ডলার ডিপোজিট রেখে তার বিপরীতে হাজার হাজার ইথার ধার করে বের করে নেয়।

টিআরএম ল্যাবসের তথ্য অনুসারে, এত ফ্রিজের পরও হ্যাকারের নিজস্ব নিয়ন্ত্রণে বর্তমানে ৪ লাখ ২০ হাজারের বেশি ইথার (ETH) এবং ১৮,২৭০টি পূর্ণাঙ্গ বিটকয়েন (BTC) বিদ্যমান রয়েছে। যার বর্তমান বাজারমূল্য প্রায় ২.৪ বিলিয়ন ডলার, যা কোনো কোম্পানি বা সরকার একক আদেশে চাইলেও ব্লকচেইন থেকে ফ্রিজ করতে পারবে না।

গ্রাহকদের টাকা কি নিরাপদ? বাইন্যান্সের ক্ষতিপূরণ

এই ঘটনার পর বিশ্বজুড়ে ক্রিপ্টো বাজারে প্রবল আতঙ্ক ছড়িয়ে পড়ে এবং বিটকয়েনের দাম তাৎক্ষণিকভাবে প্রায় ৪ থেকে ৫ শতাংশ কমে গিয়ে ৮০ হাজার ডলারের নিচে নেমে আসে। সাধারণ মানুষের মনে একটাই আতঙ্ক ভর করেছিল যে, আমাদের জমানো টাকাও কি হারিয়ে গেল?

পরিস্থিতি সামাল দিতে বাইন্যান্সের বর্তমান সিইও রিচার্ড তেং (Richard Teng) এবং প্রতিষ্ঠাতা চ্যাংপেং ঝাও (CZ) প্রকাশ্যে এসে গ্রাহকদের আশ্বস্ত করেন:

  1. গ্রাহকের ব্যক্তিগত তহবিল অক্ষত: বাইন্যান্সের পক্ষ থেকে জানানো হয়, আক্রমণটি হয়েছিল সম্পূর্ণভাবে বাইন্যান্সের নিজস্ব অপারেটিং হট ওয়ালেটে। সাধারণ গ্রাহকদের সম্পদের মূল অংশ অফলাইন কোল্ড ওয়ালেটে ছিল, যা স্পর্শ করা সম্ভব হয়নি।
  2. নিজস্ব খরচে ক্ষতিপূরণ: কোনো গ্রাহকের অ্যাকাউন্টের ক্ষতি যাতে না হয়, সেজন্য বাইন্যান্স তাদের নিজস্ব রিজার্ভ ও কোম্পানি ব্যালেন্স থেকে ৯০ থেকে ৯৫ শতাংশ ক্ষতিগ্রস্ত অ্যাসেট তৎক্ষণাৎ রিপ্লেস বা কিনে নিয়েছে।
  3. SAFU ফান্ডের ব্যবহার: বাইন্যান্সের নিজস্ব জরুরি বিমা তহবিল SAFU (Secure Asset Fund for Users)-এর প্রায় ৫০ শতাংশ অর্থ এই ক্ষতিপূরণে কাজে লাগানো হয়েছে।[৪] পরবর্তীতে কোম্পানি নিজেদের মুনাফা থেকে আরও ১ বিলিয়ন ডলার দিয়ে এই তহবিল পুনঃপূরণের অঙ্গীকার করেছে।
  4. পর্যায়ক্রমে উইথড্রয়াল চালু: সাময়িক সময়ের জন্য সব উইথড্রয়াল স্থগিত রেখে নতুন নিরাপত্তা পরিকাঠামো বসানোর পর রবিবার ১ নভেম্বর থেকে ধাপে ধাপে বিটকয়েন, ইথার ও স্টেবলকয়েন উইথড্রয়াল চালু করা হয়। প্রথম কয়েক ঘণ্টাতেই বাইন্যান্স থেকে বিনিয়োগকারীরা প্রায় ৩.৫ বিলিয়ন ডলার নিরাপদে তুলে নেন।

এই ডাকাতি থেকে ক্রিপ্টো ব্যবহারকারীদের ৫টি শিক্ষা

বাইন্যান্স বিশ্বের অন্যতম ধনী প্রতিষ্ঠান হওয়ায় তারা হয়তো ৬০০ কোটি ডলারের ধাক্কা নিজেদের পকেট থেকে সামলে নিতে পেরেছে। কিন্তু কোনো মাঝারি বা ছোট ক্রিপ্টো এক্সচেঞ্জে যদি এমন আক্রমণ হতো, তবে সেই এক্সচেঞ্জ চিরতরে বন্ধ হয়ে যেত এবং সাধারণ গ্রাহকেরা এক পয়সাও ফেরত পেতেন না (যেমনটি অতীতে এফটিএক্স বা মাউন্ট গক্সের ক্ষেত্রে হয়েছিল)।

এই মেগা হ্যাক থেকে সাধারণ প্রযুক্তি ও ক্রিপ্টো ব্যবহারকারীদের জন্য কয়েকটি অত্যন্ত মূল্যবান শিক্ষা রয়েছে:

  • "Not Your Keys, Not Your Coins": দীর্ঘদিন সংরক্ষণ করার উদ্দেশ্যে কেনা ক্রিপ্টো কখনোই কোনো সেন্ট্রালাইজড এক্সচেঞ্জে (হট ওয়ালেট) ফেলে রাখা উচিত নয়। বড় অঙ্কের ক্রিপ্টো সবসময় নিজস্ব হার্ডওয়্যার ওয়ালেট বা কোল্ড স্টোরেজে রাখা সবচেয়ে নিরাপদ।
  • হ্যাক-পরবর্তী ফিশিং প্রতারণা থেকে সাবধান: যেকোনো বড় হ্যাকের পর স্ক্যামাররা বাইন্যান্সের ভেক ধরে গ্রাহকদের ইমেইল বা হোয়াটসঅ্যাপে ভুয়া ক্ষতিপূরণ বা রিফান্ড লিংক পাঠায়। সেখানে ভুলেও ক্লিক করা যাবে না। সবসময় শুধু অফিশিয়াল অ্যাপ বা ওয়েবসাইটে লগইন করবেন।
  • মাল্টি-ফ্যাক্টর অথেনটিকেশন (2FA): অ্যাকাউন্টের সুরক্ষায় সাধারণ এসএমএস কোডের বদলে সবসময় Google Authenticator বা হার্ডওয়্যার সিকিউরিটি কি (যেমন YubiKey) ব্যবহার করা উচিত।
  • স্টেবলকয়েন ডিসেন্ট্রালাইজড নয়: এই ঘটনা প্রমাণ করেছে যে USDT, USDC বা RLUSD-এর মতো স্টেবলকয়েন পুরোপুরি সেন্ট্রালাইজড কোম্পানি দ্বারা নিয়ন্ত্রিত। তারা যেকোনো মুহূর্তে যেকোনো ওয়ালেটের লেনদেন এক সেকেন্ডে পুরোপুরি জব্দ করে দিতে পারে।
  • মানবীয় ভুলের সুযোগ: আধুনিক হ্যাকাররা শুধু জটিল কোড ভাঙার পেছনে সময় নষ্ট করে না; তারা খোঁজে একজন কর্মীর অসাবধান ল্যাপটপ, দুর্বল পাসওয়ার্ড বা অভ্যন্তরীণ অনুমোদন ব্যবস্থার ফাঁকফোকর। প্রযুক্তি যত শক্তিশালীই হোক না কেন, সামান্যতম অসতর্কতাই ডেকে আনতে পারে মহাবিপর্যয়।

সাধারণ প্রশ্নোত্তর (FAQ)

১. বাইন্যান্স হ্যাকের ঘটনায় কি সাধারণ ব্যবহারকারীদের কোনো ব্যালেন্স খোয়া গেছে?

না, সাধারণ ব্যবহারকারীদের জমানো অর্থের কোনো ক্ষতি হয়নি। কারণ গ্রাহকদের ৯৫% কয়েন ইন্টারনেট-বিচ্ছিন্ন অফলাইন কোল্ড ওয়ালেটে ছিল। এছাড়া ক্ষতিগ্রস্ত ৫-১০% হট ওয়ালেটের ক্ষতি বাইন্যান্স তাদের নিজস্ব SAFU ফান্ড ও কোম্পানি রিজার্ভ থেকে সম্পূর্ণ পূরণ করে দিয়েছে।

২. হ্যাকাররা কেন স্টেবলকয়েনগুলো কম দামে বিক্রি করে দ্রুত ইথার ও বিটকয়েন কিনেছিল?

USDT এবং USDC-এর মতো স্টেবলকয়েন সেন্ট্রালাইজড কোম্পানি দ্বারা নিয়ন্ত্রিত হওয়ায় যেকোনো সময় এগুলো ফ্রিজ করা সম্ভব। হ্যাকাররা জানত যে কয়েক মিনিটের মধ্যে তাদের ওয়ালেট ফ্রিজ হয়ে যাবে। তাই ১০% লোকসানে বিক্রি করে তারা খাঁটি ইথেরিয়াম ও বিটকয়েন কিনে নিয়েছিল, কারণ কোনো কোম্পানি চাইলেও একক সিদ্ধান্তে সরাসরি ব্লকচেইনের বিটকয়েন বা ইথার ফ্রিজ করতে পারে না।

৩. ক্রিপ্টো চুরির ক্ষেত্রে ‘পিল-চেইন’ (Peel Chain) কৌশল কী?

পিল-চেইন হলো এমন একটি মানি লন্ডারিং কৌশল যেখানে একটি বড় পরিমাণের ক্রিপ্টো (যেমন ১৮,২৭০ বিটিসি) থেকে একটি নির্দিষ্ট ব্লকের ভেতর বারবার ছোট ছোট অংশ (যেমন ১০০০ বা ১০০ বিটিসি) বিভিন্ন নতুন ঠিকানায় পাঠানো হয় এবং বাকি অংশ ফেরত আসে। এর ফলে তদন্তকারী অ্যালগরিদমের পক্ষে মূল অর্থের গতিপথ ট্র্যাক করা অত্যন্ত জটিল হয়ে পড়ে।

৪. এই হ্যাকের পর সাধারণ ক্রিপ্টো বিনিয়োগকারীদের প্রধান সতর্কতা কী হওয়া উচিত?

প্রধান সতর্কতা হলো হ্যাক-পরবর্তী ফিশিং ইমেইল ও ভুয়া সাপোর্ট লিংকে ক্লিক না করা। এছাড়া ভবিষ্যতে কোনো সেন্ট্রালাইজড এক্সচেঞ্জে দীর্ঘমেয়াদে বড় অঙ্কের কয়েন না রেখে লেজার (Ledger) বা ট্রেজরের (Trezor) মতো নিজস্ব হার্ডওয়্যার কোল্ড ওয়ালেটে ব্যাকআপ রাখা।

তথ্যসূত্র

  1. ↑ "The Binance Exploit: A $6.36B Multi-Chain Attack by North Korea's TraderTraitor", TRM Labs Cyber Threat Intelligence Team (৩০ অক্টোবর ২০২৬)। অফিসিয়াল তদন্ত রিপোর্ট
  2. ↑ "FBI Attribution Statement on the Multi-Billion Dollar Cryptocurrency Theft from Binance and Attribution to TraderTraitor", Federal Bureau of Investigation (FBI) Press Office (৩১ অক্টোবর ২০২৬)। প্রেস রিলিজ ব্রিফিং
  3. ↑ "Analysis of the $6.3B Binance Exploit and EIP-7702 Account Sweeping Mechanics", Elliptic Connect Research & Incident Forensics (১ নভেম্বর ২০২৬)। ফরেনসিক বিশ্লেষণ
  4. ↑ "Security Incident Update & Hot Wallet Exploit Post-Mortem: User Assets Are SAFU", Binance Official Announcements & Security Center (৩১ অক্টোবর ২০২৬)। বাইন্যান্স অফিশিয়াল স্টেটমেন্ট
  5. ↑ "2026 Binance Hack , Timeline, Attack Vectors, and Multi-Chain Asset Recovery", Wikipedia, The Free Encyclopedia (নভেম্বর ২০২৬)। উইকিপিডিয়া নিবন্ধ