২০২৬ সালের সবচেয়ে বড় ক্রিপ্টো চুরিতে কেলপডিএও থেকে ২৯০ মিলিয়ন ডলার হাতিয়ে নিল উত্তর কোরিয়ার হ্যাকাররা

বছরের সবচেয়ে বড় ক্রিপ্টো চুরি

২০২৬ সালের ১৮ এপ্রিল, হ্যাকাররা ইথেরিয়াম নেটওয়ার্কভিত্তিক বিকেন্দ্রীভূত অর্থায়ন প্রোটোকল কেলপডিএও থেকে প্রায় ২৯০ মিলিয়ন ডলারের ক্রিপ্টোকারেন্সি চুরি করে। এটি এ বছরের সবচেয়ে বড় ডিজিটাল সম্পদ চুরির ঘটনা। আন্তঃব্লকচেইন অবকাঠামো সরবরাহকারী লেয়ারজিরো ল্যাবস, যারা এই হামলার প্রভাবের মধ্যে পড়েছে, প্রাথমিক প্রযুক্তিগত আলামতের ভিত্তিতে হামলার জন্য উত্তর কোরিয়ার লাজারাস গ্রুপের বিশেষায়িত ইউনিট ট্রেডারট্রেইটারকে দায়ী করেছে। তাদের মতে, আলামতগুলো অত্যন্ত জটিল রাষ্ট্র-সমর্থিত অভিযানের দিকে ইঙ্গিত করে। একই হুমকিদাতা গোষ্ঠী কয়েক সপ্তাহ আগে ড্রিফট প্রোটোকল থেকে ২৮৫ মিলিয়ন ডলার হাতিয়ে নিয়েছে বলে অভিযোগ রয়েছে। এতে শুধু এপ্রিলে উত্তর কোরিয়ার হ্যাকারদের চুরি করা অর্থের পরিমাণ দাঁড়িয়েছে ৫৭৫ মিলিয়ন ডলারেরও বেশি।

হামলার লক্ষ্য ছিল rsETH, কেলপডিএও-ইস্যু করা একটি লিকুইড রিস্টেকিং টোকেন। এটি স্টেক করা ইথেরিয়ামের প্রতিনিধিত্ব করে, যা অন্য বিকেন্দ্রীভূত অ্যাপ্লিকেশনেও ব্যবহার করা যায় এবং একই সঙ্গে মুনাফা অর্জন করে। আন্তঃব্লকচেইন যাচাইকরণ প্রক্রিয়ার দুর্বলতা কাজে লাগিয়ে চোরেরা ১১৬,৫০০টি rsETH টোকেন হাতিয়ে নেয়, যার মূল্য প্রায় ২৯৩ মিলিয়ন ডলার। পরে তারা অর্থের কিছু অংশ টর্নেডো ক্যাশের মাধ্যমে পাচার করে। এটি লেনদেনের সূত্র আড়াল করার জন্য তৈরি একটি ক্রিপ্টোকারেন্সি মিক্সিং পরিষেবা। জাতিসংঘের একটি প্যানেলের আগের হিসাব অনুযায়ী, ২০১৭ সাল থেকে উত্তর কোরিয়া ৩ বিলিয়ন ডলারের বেশি ক্রিপ্টোকারেন্সি চুরি করেছে। এসব অবৈধ অর্থ দেশটির পারমাণবিক অস্ত্র উন্নয়ন কর্মসূচিতে সহায়তার জন্য ব্যবহার করা হয়।

এই ঘটনা বিচ্ছিন্ন অপরাধমূলক কর্মকাণ্ডের চেয়েও বেশি কিছু। নিরাপত্তা বিশ্লেষকদের মতে, এটি বিকেন্দ্রীভূত অর্থায়ন ব্যবস্থার বিরুদ্ধে পিয়ংইয়ংয়ের ক্রমবর্ধমান অভিযানের প্রমাণ। এতে আন্তঃব্লকচেইন ব্রিজ ও যাচাইকরণব্যবস্থার কার্যপ্রণালির মৌলিক দুর্বলতাগুলো প্রকাশ পেয়েছে। চুরির ঘটনাটি ক্রিপ্টোকারেন্সি শিল্পে ব্যাপক আলোড়ন তুলেছে; ঋণদাতা প্রতিষ্ঠান অ্যাভকে বাজার স্থগিত করতে হয়েছে এবং ক্ষতিগ্রস্ত প্রোটোকলগুলো থেকে কয়েক বিলিয়ন ডলারের অর্থ তুলে নেওয়া হয়েছে।

আন্তঃব্লকচেইন হামলাটি যেভাবে কাজ করেছে

কেলপডিএও একটি লিকুইড রিস্টেকিং প্রোটোকল হিসেবে কাজ করে। এতে ব্যবহারকারীরা ইথেরিয়াম জমা দিয়ে বিনিময়ে rsETH টোকেন পান। এই ডেরিভেটিভ টোকেনগুলো মূল স্টেক করা সম্পদের প্রতিনিধিত্ব করে এবং একই সঙ্গে ইথেরিয়ামভিত্তিক রিস্টেকিং অবকাঠামো আইগেনলেয়ারের মাধ্যমে পুরস্কার অর্জন করতে থাকে। লেয়ারজিরোর মতো আন্তঃকার্যক্ষমতা স্তরের সাহায্যে rsETH বিভিন্ন ব্লকচেইন নেটওয়ার্কে স্থানান্তর করা যায়। এতে নমনীয়তা বাড়ে, তবে সম্ভাব্য হামলার ক্ষেত্রও বিস্তৃত হয়। এই আন্তঃব্লকচেইন কার্যকারিতাই এ বছর রেকর্ড হওয়া সবচেয়ে বড় ক্রিপ্টো হামলার প্রবেশপথ হয়ে ওঠে।

হ্যাকাররা ডেসেন্ট্রালাইজড ভেরিফায়ার নেটওয়ার্ক বা DVN-কে লক্ষ্য করে। বিভিন্ন ব্লকচেইনের মধ্যে বার্তার সত্যতা যাচাই করার দায়িত্ব এই নেটওয়ার্কের। কেলপডিএওর স্মার্ট কন্ট্রাক্ট কোডের ত্রুটি কাজে লাগানোর পরিবর্তে হ্যাকাররা যাচাইকরণ কার্যক্রমের অবকাঠামোতে কারসাজি করে। তারা নির্দিষ্ট রিমোট প্রসিডিউর কল (RPC) নোডের নিয়ন্ত্রণ নেয়। এসব নোড যোগাযোগের প্রান্তবিন্দু হিসেবে কাজ করে, যার মাধ্যমে অ্যাপ্লিকেশনগুলো ব্লকচেইনের তথ্য পড়ে। এরপর যাচাইকরণ স্তরে মিথ্যা তথ্য ঢুকিয়ে দেয়।

হামলার প্রভাব বাড়াতে হুমকিদাতা গোষ্ঠী একই সময়ে বৈধ RPC নোডগুলোতে ডিস্ট্রিবিউটেড ডিনায়াল-অফ-সার্ভিস (DDoS) হামলা চালায়। এই হামলার ফলে বিশ্বস্ত তথ্যসূত্রের প্রাপ্যতা কমে যায় এবং সিস্টেমটি আপস করা নোডগুলোর ওপর নির্ভর করতে বাধ্য হয়, যেগুলো মিথ্যা তথ্য সরবরাহ করছিল। মোটকথা, হ্যাকাররা যাচাইকরণ প্রক্রিয়ায় বিষাক্ত তথ্য ঢুকিয়ে দেয়। ফলে ব্লকচেইনে প্রকৃতপক্ষে না ঘটা লেনদেনের মিথ্যা আন্তঃব্লকচেইন বার্তাও বৈধ হিসেবে গৃহীত হয়।

এই প্রতারণা সম্ভব হয়েছিল একটি গুরুতর দুর্বলতার কারণে। কেলপডিএও আন্তঃব্লকচেইন কার্যক্রমে একটি মাত্র DVN ব্যবহার করেছিল। অর্থাৎ, একাধিক স্বতন্ত্র যাচাইকারীর সম্মতির বদলে মাত্র একজন যাচাইকারী বার্তার বৈধতা যাচাই করত। লেয়ারজিরো জানায়, এই ব্যবস্থায় ব্যর্থতার একক কেন্দ্র তৈরি হয়েছিল, ফলে অতিরিক্ত যাচাই ছাড়াই জাল বার্তাটি পাস হয়ে যায়। হ্যাকাররা ন্যূনতম সতর্কবার্তা দিয়ে DVN-কে জাল বার্তা পাঠানোর জন্য বিশেষভাবে তৈরি একটি কাস্টম পেলোড ব্যবহার করে। এর ফলে তাদের নিয়ন্ত্রণাধীন ওয়ালেটে অননুমোদিতভাবে rsETH টোকেন স্থানান্তর করা সম্ভব হয়।

লেয়ারজিরো ও কেলপডিএওর পাল্টাপাল্টি অভিযোগ

চুরির পর নিরাপত্তা লঙ্ঘনের দায় নিয়ে লেয়ারজিরো ও কেলপডিএওর মধ্যে প্রকাশ্য বিরোধ শুরু হয়েছে। লেয়ারজিরোর বক্তব্য, একাধিক স্বতন্ত্র DVN ব্যবহারের সুপারিশ থাকা সত্ত্বেও কেলপডিএও একটি মাত্র যাচাইকারীর ব্যবস্থা চালানোর সিদ্ধান্ত নিয়েছিল, আর এই সিদ্ধান্তের ফলেই পুরো ঘটনা ঘটেছে। প্রতিষ্ঠানটি জানিয়েছে, DVN ব্যবস্থায় বৈচিত্র্য আনার সর্বোত্তম পদ্ধতি সম্পর্কে তারা আগেই কেলপডিএওকে জানিয়েছিল। একাধিক যাচাইকারীর সম্মতি প্রয়োজন এমন যথাযথভাবে সুরক্ষিত ব্যবস্থা থাকলে এই হামলা ব্যর্থ হতো।

RPC স্পুফিং হামলার পদ্ধতি ব্যাখ্যা করে লেয়ারজিরো বিস্তারিত প্রযুক্তিগত বিশ্লেষণ প্রকাশ করেছে। প্রতিষ্ঠানটির দাবি, ভিন্ন কনফিগারেশনে চলা অন্য আন্তঃব্লকচেইন সম্পদ বা অ্যাপ্লিকেশনে এই ঘটনার কোনো সংক্রমণ ঘটেনি। একই ধরনের ঘটনা ঠেকাতে একক-যাচাইকারী ব্যবস্থায় চলা অ্যাপ্লিকেশনগুলোর বার্তায় স্বাক্ষর করা বন্ধ করার ঘোষণা দিয়েছে লেয়ারজিরো। প্রতিষ্ঠানটি নির্দিষ্ট হুমকিদাতা হিসেবে ট্রেডারট্রেইটারের নাম উল্লেখ করেছে। এই গোষ্ঠীটি লাজারাস গ্রুপের একটি উপদল, যারা ক্রিপ্টোকারেন্সি প্ল্যাটফর্মকে লক্ষ্য করে হামলা চালানোর জন্য পরিচিত।

কেলপডিএও এই ব্যাখ্যার বিরোধিতা করেছে। তাদের দাবি, ২০২৪ সালের জানুয়ারি থেকে তারা লেয়ারজিরোর অবকাঠামো ব্যবহার করে আসছে এবং লেয়ারজিরোর দলের সঙ্গে নিয়মিত যোগাযোগ বজায় রেখেছে। কেলপডিএওর ভাষ্য অনুযায়ী, তাদের লেয়ার ২ সম্প্রসারণের সময় DVN কনফিগারেশন নিয়ে প্রশ্ন উঠেছিল এবং তখন ডিফল্ট সেটিংস যথাযথ বলে স্পষ্টভাবে নিশ্চিত করা হয়েছিল। প্রোটোকলটির দাবি, লেয়ারজিরোর ডিফল্ট ব্যবস্থাই দুর্বল কনফিগারেশনের পথ তৈরি করেছে। ফলে নিরাপত্তার যেসব সেটিংসকে সাধারণ বিকল্প হিসেবে দেখানো হয়েছিল, সেগুলোর পুরো দায় ব্যবহারকারীদের ওপর চাপানোর যুক্তি নিয়ে প্রশ্ন উঠেছে।

ব্যর্থতার একক কেন্দ্র থাকা কনফিগারেশন চালানোর ফলে জাল বার্তা শনাক্ত করে প্রত্যাখ্যান করার মতো কোনো স্বতন্ত্র যাচাইকারী ছিল না। DVN ব্যবস্থায় বৈচিত্র্য আনার সর্বোত্তম পদ্ধতি সম্পর্কে লেয়ারজিরো ও অন্য বাইরের পক্ষগুলো আগেই কেলপডিএওকে জানিয়েছিল। এসব সুপারিশ সত্ত্বেও কেলপডিএও ১/১ DVN কনফিগারেশন ব্যবহার করার সিদ্ধান্ত নেয়।

নিরাপত্তা বিশেষজ্ঞরা এ বিতর্কে মতামত দিয়েছেন। তাদের মতে, নিরাপত্তা নিশ্চিত করতে ব্যবহারকারীদের নথিপত্র পড়া ও নিজে থেকে নিরাপদ বিকল্প বেছে নেওয়ার ওপর নির্ভর করা বিকেন্দ্রীভূত ব্যবস্থার একটি মৌলিক নকশাগত ত্রুটি। ব্লকচেইন নিরাপত্তা প্রতিষ্ঠান SVRN-এর প্রধান পরিচালন কর্মকর্তা ডেভিড শোয়েড বলেন, কোনো কনফিগারেশন অনিরাপদ বলে শনাক্ত হলে সেটিকে ব্যবহারযোগ্য বিকল্প হিসেবে দেওয়া উচিত নয়। Web3 জগতে বিকেন্দ্রীকরণের আদর্শ এবং নিরাপদ ডিফল্ট ব্যবস্থার বাস্তব প্রয়োজনের মধ্যে যে বিস্তৃত টানাপোড়েন রয়েছে, এ ঘটনা তা-ই তুলে ধরে।

বিকেন্দ্রীভূত অর্থায়নে ধারাবাহিক প্রভাব

চুরির প্রভাব কেলপডিএওর গণ্ডি ছাড়িয়ে অনেক দূর পর্যন্ত ছড়ায়, যা আধুনিক বিকেন্দ্রীভূত অর্থায়ন প্রোটোকলগুলোর পারস্পরিক নির্ভরতা তুলে ধরে। একাধিক ঋণদান প্ল্যাটফর্মে জামানত হিসেবে rsETH ব্যবহৃত হওয়ায় এই হামলা ব্যবস্থাগত ঝুঁকি তৈরি করে, যা কয়েক ঘণ্টার মধ্যেই পুরো ইকোসিস্টেমে ছড়িয়ে পড়ে। বৃহত্তম বিকেন্দ্রীভূত ঋণদান প্রোটোকলগুলোর একটি অ্যাভেতে বিনিয়োগকারীরা সম্পদ তুলে নিতে শুরু করলে মোট লকড ভ্যালু প্রায় ৮ বিলিয়ন ডলার কমে যায়। ঝুঁকি আরও বাড়া ঠেকাতে প্রোটোকলটি ইথেরিয়াম, আরবিট্রাম, বেস, ম্যান্টল ও লিনিয়ায় rsETH বাজার স্থগিত করে।

চুরি করা rsETH অ্যাভে v3-তে জামানত হিসেবে জমা দিয়ে র‍্যাপড ইথার ঋণ নেওয়ার মাধ্যমে হ্যাকাররা জটিল আর্থিক কৌশল দেখায়। এর ফলে প্ল্যাটফর্মটিতে প্রায় ১৯৫ মিলিয়ন ডলারের ঋণ তৈরি হয়। সম্ভাব্য ক্ষতি এড়াতে ব্যবহারকারীরা দ্রুত সম্পদ তুলে নিতে শুরু করলে অ্যাভে v3-এর ঋণদান পুলগুলোর পুরো সক্ষমতা ব্যবহৃত হয়ে যায়। এতে ৫.১ বিলিয়ন ডলারের বেশি স্টেবলকয়েন সাময়িকভাবে ব্যবহারকারীদের নাগালের বাইরে চলে যায়। কম্পাউন্ড ও অয়লার প্রোটোকলও এ ঘটনার প্রভাবের কথা জানায়, যদিও সংক্রমণ সীমিত করতে তারা জরুরি ব্যবস্থা নেয়।

কার্ডানোর প্রতিষ্ঠাতা চার্লস হসকিনসন এক সরাসরি সম্প্রচারে এই হামলার বিশ্লেষণ করেন। তিনি প্রাথমিক চুরি এবং পরে ঋণদান বাজারে ছড়িয়ে পড়া প্রভাবের মধ্যে পার্থক্য তুলে ধরেন। তার মতে, নতুনত্বটি ব্রিজ জালিয়াতিতে নয়, বরং চুরি করা rsETH জামানত হিসেবে ব্যবহার করে তরল সম্পদ ঋণ নেওয়ার কৌশলে। এর ফলে সাধারণ একটি চুরি অন্তত নয়টি প্রোটোকলের ব্যালান্স শিট সংকটে রূপ নেয়। এই দ্বিতীয় পর্যায়ের হামলায় বিষাক্ত জামানতকে বৃহত্তর DeFi ইকোসিস্টেমের বিরুদ্ধে অস্ত্রে পরিণত করা হয়।

খবরে বাজারে তীব্র প্রতিক্রিয়া দেখা দেয়। তারল্য সরবরাহকারীরা সহায়তা প্রত্যাহার করে নেওয়ায় প্রথম ২৪ ঘণ্টায় rsETH টোকেনের দাম ১,৬০০ থেকে ২,৫০০ ডলারের মধ্যে ওঠানামা করে। ঘটনার পরের ৪৮ ঘণ্টায় DeFi জুড়ে মোট লকড ভ্যালু প্রায় ১৩ বিলিয়ন ডলার কমে যায়। আরবিট্রামের সিকিউরিটি কাউন্সিল প্রায় ৩০,৭৬৬ ETH জব্দ করতে সক্ষম হয়, যার মূল্য ৭১ মিলিয়ন ডলার। এটি চুরি হওয়া অর্থের প্রায় এক-চতুর্থাংশ। তবে অধিকাংশ অর্থই হ্যাকারদের নিয়ন্ত্রণে থেকে যায়।

লাজারাস গ্রুপ ও রাষ্ট্র-সমর্থিত চুরি

চুরির জন্য উত্তর কোরিয়ার লাজারাস গ্রুপকে দায়ী করার বিষয়টি আন্তর্জাতিক নিষেধাজ্ঞা এড়ানো এবং অস্ত্র কর্মসূচিতে অর্থ জোগানোর লক্ষ্যে পরিচালিত রাষ্ট্র-সমর্থিত ক্রিপ্টো চুরির সুপ্রতিষ্ঠিত ধারার সঙ্গে মেলে। এই হামলায় শনাক্ত নির্দিষ্ট উপদল ট্রেডারট্রেইটার সাম্প্রতিক বছরগুলোতে একাধিক বড় চুরির সঙ্গে যুক্ত। এর মধ্যে রয়েছে ২০২৬ সালের শুরুর দিকে বাইবিট থেকে ১.৫ বিলিয়ন ডলার চুরির ঘটনা, যা ইতিহাসের সবচেয়ে বড় ক্রিপ্টো চুরি। জাতিসংঘের পর্যবেক্ষকেরা নথিভুক্ত করেছেন, পিয়ংইয়ং কীভাবে এসব অবৈধ অর্থ সরাসরি পারমাণবিক ও ব্যালিস্টিক ক্ষেপণাস্ত্র উন্নয়নে ব্যবহার করে।

নিরাপত্তা গবেষকদের মতে, উত্তর কোরিয়ার সাইবার অভিযানগুলো এক্সচেঞ্জে সুযোগসন্ধানী হামলা থেকে বিকেন্দ্রীভূত অর্থায়নের মৌলিক অবকাঠামোকে লক্ষ্য করে চালানো জটিল ও ধৈর্যনির্ভর অনুপ্রবেশে রূপ নিয়েছে। ENS ল্যাবসের প্রধান তথ্যনিরাপত্তা কর্মকর্তা আলেকজান্ডার উরবেলিস এসব ঘটনাকে বিচ্ছিন্ন ঘটনা নয়, বরং ধারাবাহিক অভিযানের অংশ হিসেবে বর্ণনা করেছেন। তিনি বলেন, লাজারাসের মতো গোষ্ঠীগুলো শুধু আরও ধনী হচ্ছে না, আরও সক্ষমও হচ্ছে। তারা চুরি করা সম্পদ কাজে লাগিয়ে সরঞ্জামের সক্ষমতা বাড়াচ্ছে, কৌশল শাণিত করছে এবং ভবিষ্যৎ অভিযানে আবার বিনিয়োগ করছে।

এই পরিবেশগুলোকে যারা হঠাৎ হামলা চালিয়ে লুট করে পালায়, তারা পরীক্ষা করছে না। বরং এমন শৃঙ্খলাপরায়ণ প্রতিপক্ষ চাপ সৃষ্টি করছে, যারা অবকাঠামো, অ্যাপ্লিকেশন ও আস্থার সম্পর্কজুড়ে দুর্বলতাগুলোকে একসূত্রে গাঁথতে জানে।

হামলার পদ্ধতি লাজারাসের লক্ষ্যবস্তু বাছাইয়ের কৌশলে পরিবর্তনের ইঙ্গিত দেয়। স্মার্ট কন্ট্রাক্টের দুর্বলতা কাজে লাগানো বা ব্যক্তিগত কী চুরি করার পরিবর্তে গোষ্ঠীটি আন্তঃব্লকচেইন ও রিস্টেকিং অবকাঠামোকে লক্ষ্য করতে শুরু করেছে। বিভিন্ন ব্লকচেইন নেটওয়ার্ককে যুক্ত রাখা এই অবকাঠামো প্রযুক্তিগতভাবে জটিল, এতে প্রায়ই বিপুল সম্পদ থাকে এবং ওপরের স্তরের অ্যাপ্লিকেশনের তুলনায় নজরদারি করাও কঠিন। অ্যাপ্লিকেশনের লজিকের বদলে যাচাইকরণ অবকাঠামোতে অনুপ্রবেশ করে হ্যাকাররা দেখিয়েছে, বিকেন্দ্রীভূত ব্যবস্থাগুলো কীভাবে তথ্যকে বিশ্বাস ও যাচাই করে সে বিষয়ে তাদের গভীর জ্ঞান রয়েছে।

নাইন ব্লকস ক্যাপিটাল ম্যানেজমেন্টের সহপ্রতিষ্ঠাতা হেনরি আরসলানিয়ান এ দায় নির্ধারণের বিষয়ে নিশ্চিত মত প্রকাশ করেছেন। তার ভাষায়, বিশ্বে অন্য কোনো গোষ্ঠীর এমন হ্যাক চালানোর মতো দক্ষতা ও জনবল নেই। তিনি বলেন, কেলপডিএও হামলায় দেখা প্রযুক্তিগত জটিলতা ও কার্যক্রমের নিরাপত্তা একমাত্র রাষ্ট্র-পর্যায়ের সক্ষমতার সঙ্গেই মেলে। অর্থ পাচারে টর্নেডো ক্যাশের ব্যবহার এবং অবকাঠামোতে অনুপ্রবেশের পাশাপাশি সামাজিক প্রকৌশল উপাদানসহ বহু ধাপের হামলাও এই মূল্যায়নকে সমর্থন করে।

আলোচনার চেষ্টা ও নিরাপত্তার শিক্ষা

অস্বাভাবিক এক পদক্ষেপে, ট্রন নেটওয়ার্কের ধনকুবের প্রতিষ্ঠাতা জাস্টিন সান প্রকাশ্যে হ্যাকারদের চুরি করা অর্থ ফেরত দেওয়ার অনুরোধ জানান। সামাজিক যোগাযোগমাধ্যমে তিনি হ্যাকারদের সঙ্গে সরাসরি আলোচনার প্রস্তাব দেন এবং জানতে চান, তারা কত টাকা চায়। তিনি যুক্তি দেন, অ্যাভে ও কেলপডিএও—দুটোকেই ঝুঁকিতে ফেলার মতো মূল্য এই চুরির নেই। তার হস্তক্ষেপ হামলা থেকে তৈরি হওয়া ব্যবস্থাগত ঝুঁকির তীব্রতা তুলে ধরে। বিশেষ করে, সানের মালিকানাধীন এক্সচেঞ্জ HTX-সংশ্লিষ্ট ঠিকানাগুলো থেকে অ্যাভের অ্যাকাউন্টে কয়েক শ মিলিয়ন ডলার পাঠানো হয়েছিল।

কেলপডিএওর হ্যাকার, কত টাকা চাও? কথা বলি। অবশ্যই কেলপডিএওর সহায়তায়। এই হ্যাকের কারণে অ্যাভে ও কেলপডিএও—দুটোকেই বিসর্জন দিয়ে ধ্বংস হতে দেওয়ার কোনো মানে হয় না। যাই হোক, ৩০০ মিলিয়ন ডলার তো তুমি খরচ করতে পারবে না।

এই ঘটনা ব্লকচেইন নিরাপত্তা মহলে বিকেন্দ্রীকরণ ও নিরাপত্তার মধ্যে ভারসাম্য নিয়ে তীব্র বিতর্কের জন্ম দিয়েছে। চার্লস হসকিনসনের যুক্তি, ব্যর্থতাটি অ্যাপ্লিকেশনের লজিকে নয়, যাচাইকরণ লজিকে ছিল। তিনি বলেন, এক-যাচাইকারী ব্যবস্থার বদলে পাঁচজনের মধ্যে তিনজনের সম্মতিনির্ভর যাচাই ব্যবস্থা থাকলে জালিয়াতি ঠেকানো যেত। এই সমালোচনা ইথেরিয়াম ইকোসিস্টেমের বৃহত্তর পরিসরেও প্রযোজ্য, যেখানে জটিল আন্তঃব্লকচেইন মিথস্ক্রিয়া এমন নির্ভরতা তৈরি করে, যা ব্যর্থতার একক কেন্দ্রের ঝুঁকিকে আরও বাড়িয়ে তুলতে পারে।

নিরাপত্তা পেশাজীবীরা জিরো-ট্রাস্ট স্থাপত্যের পক্ষে মত দিচ্ছেন, যেখানে ধরে নেওয়া হয় যে অনুপ্রবেশ ঘটবেই এবং জটিল পরিবেশজুড়ে কঠোর যাচাইয়ের ব্যবস্থা রাখা হয়। তাদের সুপারিশের মধ্যে রয়েছে RPC প্রান্তবিন্দু আরও সুরক্ষিত করা, বহু পক্ষের সম্মতিভিত্তিক ব্যবস্থা চালু করা, শক্তিশালী DDoS প্রতিরক্ষা গড়ে তোলা এবং অস্বাভাবিকতা শনাক্ত হলে স্বয়ংক্রিয়ভাবে লেনদেন স্থগিত করতে পারে—এমন সার্কিট ব্রেকার যুক্ত করা। কেলপডিএওর হামলা দেখিয়েছে, বিকেন্দ্রীভূত অর্থায়নে পুরো শৃঙ্খলের শক্তি নির্ভর করে প্রতিটি সংযোগস্থলের নিয়ন্ত্রণব্যবস্থার ওপর। একটি সংযোগ ভাঙলেই তার পরিণতি দ্রুত ছড়িয়ে পড়ে।

DeFi জগতে নতুনদের জন্য এই চুরি একটি কঠোর স্মারক: বিকেন্দ্রীকরণ কোনো দ্বিমুখী বৈশিষ্ট্য নয়, বরং আস্থা ও যাচাইকরণ নিয়ে ধারাবাহিক কিছু সিদ্ধান্তের সমষ্টি। উত্তর কোরিয়ার সাইবার অভিযান আরও অভিযোজিত ও বিস্তৃত হওয়ার সঙ্গে সঙ্গে শিল্পটির ওপর সুপারিশনির্ভর নিরাপত্তার বদলে ডিফল্টভাবেই নিরাপত্তা নিশ্চিত করার চাপ বাড়ছে। এতে সবচেয়ে নিরাপদ বিকল্পগুলো ব্যবহার করা সহজ হবে, আর প্রযুক্তিগত নথিপত্রের আড়ালে চাপা পড়ে থাকবে না।

মূল বিষয়গুলো

• ২০২৬ সালের ১৮ এপ্রিল কেলপডিএও থেকে প্রায় ২৯০ মিলিয়ন ডলারের rsETH টোকেন চুরির ঘটনায় উত্তর কোরিয়ার লাজারাস গ্রুপের ট্রেডারট্রেইটার উপদলকে সন্দেহ করা হচ্ছে
• কেলজিরোর আন্তঃব্লকচেইন অবকাঠামোতে একক-যাচাইকারী ব্যবস্থা কাজে লাগিয়ে হ্যাকাররা যাচাইকরণ বার্তা জাল করে অর্থ হাতিয়ে নেয়
• হ্যাকাররা RPC নোডের নিয়ন্ত্রণ নিয়ে DDoS হামলা চালায়, যাতে সিস্টেমটি বিষাক্ত তথ্যসূত্রের ওপর নির্ভর করতে বাধ্য হয়
• চুরির প্রভাবে DeFi জুড়ে ব্যবস্থাগত সংক্রমণ ছড়ায়; অ্যাভেকে বাজার স্থগিত করতে হয় এবং ঋণদান প্রোটোকলগুলো থেকে ৮ বিলিয়ন ডলারের সম্পদ তুলে নেওয়া হয়
• দায় নিয়ে লেয়ারজিরো ও কেলপডিএও প্রকাশ্যে বিরোধে জড়িয়েছে। অনিরাপদ কনফিগারেশন বেছে নেওয়ার কথা বলছে লেয়ারজিরো, আর কেলপডিএওর দাবি, তারা ডিফল্ট সেটিংস অনুসরণ করেছে
• ২০২৬ সালের এপ্রিলে এটি উত্তর কোরিয়ার দ্বিতীয় বড় ক্রিপ্টো চুরির ঘটনা; এর আগে ড্রিফট প্রোটোকল থেকে ২৮৫ মিলিয়ন ডলার চুরি হয়
• চুরি করা অর্থের প্রায় ৭১ মিলিয়ন ডলার আরবিট্রামের সিকিউরিটি কাউন্সিল জব্দ করেছে; বাকি অধিকাংশ টর্নেডো ক্যাশের মাধ্যমে পাচার করা হয়েছে
• জাতিসংঘের প্যানেলগুলোর হিসাব অনুযায়ী, ২০১৭ সাল থেকে পারমাণবিক অস্ত্র উন্নয়নে অর্থ জোগাতে উত্তর কোরিয়া ৩ বিলিয়ন ডলারের বেশি ক্রিপ্টোকারেন্সি চুরি করেছে