বিটগেটের ৩৮৭.৫ মিলিয়ন ডলারের হ্যাকের পর উত্তর কোরিয়ার ক্রিপ্টো চুরির অঙ্ক ১ বিলিয়ন ডলার ছাড়াল

বিলিয়ন ডলারের হিসাব এবং আপস হওয়া অনুমোদন ব্যবস্থা

চেইনঅ্যানালাইসিসের তথ্য অনুযায়ী, ২০২৬ সালের ২৪ সেপ্টেম্বর বিটগেট থেকে ৩৮৭.৫ মিলিয়ন ডলার চুরির ঘটনায় উত্তর কোরীয় হ্যাকারদের সঙ্গে সংশ্লিষ্ট এ বছরের ক্রিপ্টোকারেন্সি চুরির অঙ্ক ১ বিলিয়ন ডলার ছাড়িয়েছে। বছরের প্রথম ছয় মাসে ওই পক্ষগুলোর সঙ্গে সংশ্লিষ্ট ৬৪৩ মিলিয়ন ডলার যোগ করলে মোট অঙ্ক দাঁড়ায় অন্তত ১.০৩০৫ বিলিয়ন ডলারে।

এই হামলার লক্ষ্য ছিল চুরি হওয়া পাসওয়ার্ড বা ফাঁস হওয়া ওয়ালেট কী-এর চেয়েও জটিল কিছু। প্রাথমিক তদন্তে বলা হয়েছে, বহিরাগত নিরাপত্তা পণ্যের মাধ্যমে একজন অনুপ্রবেশকারী প্রবেশাধিকার পায়, ওয়ালেট লেনদেন প্রক্রিয়াকরণকারী একটি সার্ভারের নিয়ন্ত্রণ নেয় এবং অনুমোদনের তথ্য জাল করে। এরপর বিটগেটের নিজস্ব অবকাঠামো এমন স্থানান্তর অনুমোদন করে, যেগুলো বৈধ বলে মনে হয়েছিল।

চেইনঅ্যানালাইসিস জানিয়েছে, ১ অক্টোবরের তদন্তে চুরি হওয়া XRP-কে বিটকয়েনে রূপান্তরের গতিপথ অনুসরণ করে উত্তর কোরীয় পক্ষগুলোর সঙ্গে সংশ্লিষ্ট অর্থপাচারের ধরন পাওয়া গেছে। তদন্তকারীরা অর্থের গতিপথ অনুসরণের একটি কাজ কৃত্রিম বুদ্ধিমত্তা দিয়ে ১০ মিনিটেরও কম সময়ে স্বয়ংক্রিয়ভাবে সম্পন্ন করেন; হাতে করতে ২০ ঘণ্টার বেশি লাগত। তবে এই দ্রুততার অর্থ এই নয় যে পুরো চুরির রহস্য উদ্‌ঘাটন হয়েছে বা অর্থ উদ্ধার করা গেছে।

ঘটনাটি হামলাকারীদের বাইরেও বিস্তৃত একটি আর্থিক নেটওয়ার্কের চিত্র তুলে ধরেছে। পরবর্তী লেনদেন নিয়ে গবেষণায় দেখা গেছে, সোয়াপ সেবা থেকে ফি আয় হয়েছে, সন্দেহজনক অর্থের ক্ষেত্রে বিভিন্ন পক্ষ ভিন্ন প্রতিক্রিয়া দেখিয়েছে এবং বিশেষায়িত অর্থপাচার মধ্যস্থতাকারীদের সঙ্গে সম্ভাব্য যোগসূত্র রয়েছে। এসব তথ্য ব্যাখ্যা করে কেন পাবলিক ব্লকচেইনে চুরি হওয়া ক্রিপ্টোকারেন্সি শনাক্ত করা সেটি উদ্ধারের কেবল প্রথম ধাপ।

কয়েকটি অনুসন্ধানের ফল এখনো প্রাথমিক পর্যায়ে রয়েছে। চেইনঅ্যানালাইসিস হামলার জন্য উত্তর কোরীয় পক্ষকে দায়ী করেছে, আর এলিপটিকের মূল্যায়নে এই যোগসূত্রকে অত্যন্ত সম্ভাব্য বলা হয়েছে। প্রকাশ্য প্রতিবেদনে নির্দিষ্টভাবে লাজারাস গ্রুপের জড়িত থাকার চূড়ান্ত প্রমাণ পাওয়া যায়নি। যেসব নিরাপত্তা পণ্যের মাধ্যমে কথিতভাবে প্রবেশাধিকার পাওয়া হয়েছিল, সেগুলোর বিক্রেতাদের নামও জানানো হয়নি।

কীভাবে ক্ষতির অঙ্ক ৩৫.৯ মিলিয়ন ডলার বাড়ল

বিটগেট প্রথমে চুরির অঙ্ক ৩৫১.৬ মিলিয়ন ডলার বলে অনুমান করেছিল। ক্ষতিগ্রস্ত আরও কিছু সম্পদ শনাক্ত করার পর ২৫ সেপ্টেম্বর তারা অঙ্কটি বাড়িয়ে ৩৮৭.৫ মিলিয়ন ডলার করে; এর মধ্যে Zcash ও Tron-এ হওয়া স্থানান্তরও ছিল। এক্সচেঞ্জটির ভাষ্য অনুযায়ী, ৩৫.৯ মিলিয়ন ডলারের এই বৃদ্ধি ছিল হিসাবের পরিধি বাড়ার ফল, দ্বিতীয় কোনো হামলার কারণে নয়।

বিভিন্ন তদন্তে মোট অঙ্ক কিছুটা ভিন্ন। বিটকোয়েরি নয়টি চেইনে ২৩টি স্থানান্তরের মাধ্যমে ৩৮৬.৮০ মিলিয়ন ডলারের গতিপথ অনুসরণ করেছে। একটি কারিগরি বিবরণে বিটগেটের বৃহত্তর হিসাব ১১টি চেইনে প্রায় ৩৮৮ মিলিয়ন ডলার বলে উল্লেখ করা হয়েছে। চেইনঅ্যানালাইসিস প্রাথমিকভাবে চারটি প্রধান নেটওয়ার্কে অর্থ বণ্টনের কথা জানায়: ইথেরিয়ামে ৪৯.৭%, XRP-তে ৪০.৮%, Zcash-এ ৭.৬% এবং Tron-এ ১.৮%। গোল করে দেওয়া এই শতাংশগুলোর যোগফল ৯৯.৯%।

এই অঙ্কগুলো বিভিন্ন তদন্তের অনুসরণ-পরিধি বোঝায়; এগুলোকে অভিন্ন হিসাব হিসেবে দেখা উচিত নয়। কারিগরি বিবরণে XRP অংশের মূল্য ১৫৭.৮ মিলিয়ন ডলার বলা হয়েছে। একই বিবরণে অনুমান করা হয়েছে, প্রায় ২১৪ মিলিয়ন ডলার এসেছে বিটকোয়েরির শ্রেণিবিন্যাসে ‘ওয়ার্ম’ ওয়ালেট হিসেবে চিহ্নিত ওয়ালেট থেকে। হট ও ওয়ার্ম ওয়ালেট হলো লেনদেন ও উত্তোলনে সহায়তার জন্য ব্যবহৃত পরিচালনাগত ক্রিপ্টোকারেন্সি তহবিল, পুরোপুরি অফলাইনে রাখা রিজার্ভ নয়।

বিটগেট কখন সমস্যাটি শনাক্ত করেছিল, তা নিয়েও প্রতিবেদনে পার্থক্য রয়েছে। কয়েকটি প্রতিবেদনে বলা হয়েছে, ২৪ সেপ্টেম্বর ১৮:৩১ UTC-তে সমস্যাটি শনাক্ত হয়। বিস্তারিত পুনর্গঠনে ওই সময়কে প্রথম ছোট অঙ্কের স্থানান্তর হিসেবে দেখানো হয়েছে এবং সমন্বয় সতর্কবার্তার সময় বলা হয়েছে ১৯:০৫। এই পার্থক্য গুরুত্বপূর্ণ, কারণ পরের বিবরণে অনুমান করা হয়েছে, সতর্কবার্তার পর ক্ষতির প্রায় ২৩৮ মিলিয়ন ডলার, অর্থাৎ প্রায় ৬১%, সরিয়ে নেওয়া হয়।

অনুপ্রবেশ থেকে সেবা পুনরায় চালু: সময়রেখা

মানডিয়ান্ট ও স্লোমিস্টের নামে উল্লেখ করা প্রাথমিক অনুসন্ধানে চুরির তিন সপ্তাহেরও বেশি আগে, ৩১ আগস্টে, প্রথম ক্ষতিকর কার্যকলাপের লগ পাওয়া গেছে। প্রকাশ্য সময়রেখায় প্রাথমিক প্রবেশ, অর্থ সরানো এবং এক্সচেঞ্জের প্রতিক্রিয়া আলাদা করে দেখানো হয়েছে।

• ৩১ আগস্ট: নিরাপত্তা পণ্যের একটি অজানা দুর্বলতা কাজে লাগিয়ে প্রথম ক্ষতিকর কার্যকলাপ চালানো হয় বলে অভিযোগ।
• ২৪ সেপ্টেম্বর, ১৭:৪৯ UTC: ওয়ালেট হোস্টে একটি কাস্টম উত্তোলন টুল চালু হয়।
• ২৪ সেপ্টেম্বর, ১৮:৩১ UTC: প্রথম শনাক্ত স্থানান্তরে ৯৩ TRX এবং পরে ০.৮৪ ETH সরানো হয়।
• ২৪ সেপ্টেম্বর, ১৯:০৫ UTC: বিস্তারিত পুনর্গঠন অনুযায়ী, এ সময় বিটগেট সমন্বয় সতর্কবার্তা পায় এবং গ্রাহকদের উত্তোলনের অনুরোধে বিধিনিষেধ আরোপ করে।
• ২৪ সেপ্টেম্বর, ২১:২৩ UTC: শেষ শনাক্ত স্থানান্তরে ২২৩.২০ ETH সরানো হয়। সাইনিংসহ ওয়ালেট থেকে উত্তোলনের সেবা ২১:৪৪-এ বন্ধ করা হয়।
• ২৫ সেপ্টেম্বর: বিটগেট সন্দেহভাজন মূল কারণ শনাক্ত করে, আইন প্রয়োগকারী সংস্থাকে ঘটনা জানায় এবং ক্ষতির হিসাব সংশোধন করে।
• ২৮ থেকে ৩০ সেপ্টেম্বর: বিটকয়েন, ইথেরিয়াম ও USDT উত্তোলন ধাপে ধাপে চালু হয়। প্রাথমিক ফরেনসিক প্রতিবেদন প্রকাশিত হয় ৩০ সেপ্টেম্বর।
• ১ অক্টোবর: চেইনঅ্যানালাইসিস হামলার জন্য দায়ী পক্ষ ও অর্থের গতিপথ অনুসরণের ফল প্রকাশ করে। বাকি সেবাগুলো ২ অক্টোবরের মধ্যে ফের চালু করার সময়সূচি ছিল।

বিস্তারিত বিবরণে বলা হয়েছে, ১৯:০৫-এর সতর্কবার্তার পরও সাইনিং সেবা দুই ঘণ্টা ৩৯ মিনিট চালু ছিল। ফলে সাধারণ গ্রাহকদের অনুরোধ আটকে দিলেও উত্তোলন প্রক্রিয়ায় হামলাকারীর আলাদা প্রবেশপথ সঙ্গে সঙ্গে বন্ধ হয়নি।

চাবি চুরি না করেই হামলাকারী সাইনিং সেবা ব্যবহার করে

বিটগেট জানিয়েছে, এই ঘটনায় তাদের কোল্ড ওয়ালেটের কী ক্ষতিগ্রস্ত হয়নি, কিংবা গ্রাহকদের উত্তোলনের অনুরোধ জাল করে এই হামলা চালানো হয়নি। বরং অভিযোগ, হামলাকারী ওয়ালেট অবকাঠামোর ভেতর থেকে লেনদেন অনুমোদনের মিথ্যা তথ্য সরবরাহ করে। প্রাইভেট কী হলো সেই গোপন পরিচয়-তথ্য, যা ক্রিপ্টোকারেন্সি স্থানান্তরের অনুমোদন দেয়। এখানে উদ্বেগের বিষয় ছিল, বৈধ সাইনিং সেবাকে দিয়ে অবৈধ লেনদেন অনুমোদন করানো সম্ভব হয়েছিল।

প্রাথমিক কারিগরি পুনর্গঠনে নাম প্রকাশ না করা দুটি নিরাপত্তা পণ্যের কথা বলা হয়েছে। প্রথমটির কার্যকলাপের মাধ্যমে একটি লুকানো স্ক্রিপ্ট পরিবেশগত চলকে রাখা ডেটাবেসের পাসওয়ার্ড পড়তে পেরেছিল বলে অভিযোগ। পরে হামলাকারী একজন অভ্যন্তরীণ কর্মীর পরিচয় ব্যবহার করে দ্বিতীয় পণ্যের ব্যবস্থাপনা প্ল্যাটফর্ম পরিচালনা করে, এরপর উৎপাদন-পর্যায়ের ওয়ালেট সার্ভারে পৌঁছে ক্ষতিকর সফটওয়্যার ইনস্টল করে।

স্লোমিস্ট বিটগেটের উত্তোলন ব্যবস্থার জন্য তৈরি একটি মুছে ফেলা টুল উদ্ধার করেছে বলে জানা গেছে। টুলটি ঝুঁকি নিয়ন্ত্রণের তথ্য জাল করে উত্তোলন প্রক্রিয়া চালু করেছিল। প্রাথমিক ডেটাবেসে প্রবেশাধিকার এবং দ্বিতীয় পণ্যে ব্যবহৃত পরিচয়ের মধ্যে সুনির্দিষ্ট যোগসূত্র এখনো নিশ্চিত হয়নি।

বিটগেট প্রবেশপথটিকে জিরো-ডে দুর্বলতা বলে বর্ণনা করেছে, অর্থাৎ আগে অজানা একটি সফটওয়্যার ত্রুটি। ২ অক্টোবরের কারিগরি বিবরণ প্রকাশের সময় পর্যন্ত কোনো বিক্রেতার নাম জানানো হয়নি এবং জনসমক্ষে দুর্বলতার শনাক্তকারী নম্বর বা পরামর্শপত্রও পাওয়া যায়নি। বিটগেট বলেছে, তারা দুর্বলতাটি ঠিক করেছে। তবে অন্য গ্রাহকেরা কোন পণ্য আক্রান্ত হয়েছে তা শনাক্ত করতে পারে, এমন পর্যাপ্ত তথ্য প্রকাশ্য নথিতে ছিল না।

এক্সচেঞ্জটির পৃথক পণ্য বিটগেট ওয়ালেট আক্রান্ত হয়নি। ওই সেবায় ভিন্ন অবকাঠামো ব্যবহৃত হয় এবং ব্যবহারকারীরা নিজেরাই তাদের সম্পদের নিয়ন্ত্রণ রাখেন। এতে জানা ঘটনার পরিধি সীমিত থাকে, তবে এক্সচেঞ্জের পরিচালনাগত ওয়ালেট থেকে হওয়া ক্ষতি কমে না।

উত্তর কোরিয়ার সংশ্লিষ্টতার পক্ষে কী প্রমাণ রয়েছে

সন্দেহভাজন উত্তর কোরীয় যোগসূত্র ব্যাখ্যা করতে বিটগেটের প্রধান নির্বাহী গ্রেসি চেন ইন্টারনেট ঠিকানার আচরণ ও ব্লকচেইন লেনদেনের স্বাক্ষরের কথা উল্লেখ করেছেন। কৌশলটি তিনি এভাবে বর্ণনা করেন:

উত্তর কোরিয়ার সঙ্গে সংশ্লিষ্ট হ্যাকার গোষ্ঠীগুলোর ব্যবহৃত কৌশলের সঙ্গে সামঞ্জস্যপূর্ণ

পরে চেন বলেন, প্রাথমিক কিছু ইঙ্গিতের ভিত্তিতে এই যোগসূত্রের কথা বলা হয়েছে। চেইনঅ্যানালাইসিসও স্বাধীনভাবে চুরির জন্য উত্তর কোরীয় পক্ষকে দায়ী করেছে। এলিপটিক আগের চুরির সঙ্গে সংশ্লিষ্ট অর্থপাচারের ঠিকানার যোগসূত্রের কথা উল্লেখ করেছে, যার মধ্যে বাইবিটও রয়েছে। কারিগরি বিবরণে TRM ল্যাবসও উত্তর কোরীয় সংশ্লিষ্টতাকে সম্ভাব্য বলে মূল্যায়ন করেছে।

এই মূল্যায়নগুলোকে প্রকাশ্য ফৌজদারি তদন্তের সিদ্ধান্তের সমতুল্য ধরা যায় না। মানডিয়ান্টের প্রাথমিক তদন্তে হামলাকারীর নাম বলা হয়নি, এবং বিটগেটে অনুপ্রবেশটি লাজারাসের নির্দিষ্ট কোনো উপগোষ্ঠী চালিয়েছিল, এমন প্রমাণও তদন্তগুলো প্রকাশ্যে প্রতিষ্ঠা করেনি।

বার্ষিক হিসাবের ক্ষেত্রেও সতর্ক থাকা দরকার। ১ এপ্রিল ড্রিফট প্রোটোকল থেকে ২৮৫ মিলিয়ন ডলার এবং ১৮ এপ্রিল কেল্পডিএও থেকে ২৯২ মিলিয়ন ডলার ক্ষতি মিলিয়ে ৫৭৭ মিলিয়ন ডলার হয়, যা বছরের প্রথমার্ধে উত্তর কোরীয় পক্ষগুলোর সঙ্গে সংশ্লিষ্ট ৬৪৩ মিলিয়ন ডলারের প্রায় ৯০%। গবেষকেরা কেল্পডিএও-র দুর্বলতার সুযোগ নিয়ে চালানো হামলাটিকে ট্রেডারট্রেইটরের সঙ্গে যুক্ত করেছেন। এই গোষ্ঠীর বিরুদ্ধে ব্লকচেইন সংযোগকারী অবকাঠামোতে হামলার অভিযোগ রয়েছে। আলাদাভাবে, ২০২৬ সালে উত্তর কোরিয়ার সঙ্গে সংশ্লিষ্ট বলে সন্দেহ করা ৫১টির বেশি ঘটনার হিসাব করেছে এলিপটিক; এটি নিশ্চিত ক্ষতির চেয়ে বিস্তৃত একটি শ্রেণি।

অর্থের গতিপথের একটি নির্দিষ্ট ধাপে এআই কাজ দ্রুত করেছে

চেইনঅ্যানালাইসিস জানিয়েছে, চুরি হওয়া সম্পদের গতিপথ অনুসরণে তারা বিটগেট ও আইন প্রয়োগকারী সংস্থার সঙ্গে কাজ করেছে। প্রায় তিন ঘণ্টার মধ্যে ২৩টি স্থানান্তরের মাধ্যমে অর্থ সরানো হয়; এরপর তা লিকুইডিটি প্রোটোকল, মেসেজিং সেবা, তাৎক্ষণিক সোয়াপ ও অর্থপাচার সেবার মধ্য দিয়ে যায়।

একটি গুরুত্বপূর্ণ কাজ ছিল কোনো প্রোটোকলে জমা হওয়া চুরি করা XRP-এর সঙ্গে অন্যত্র পরিশোধ করা বিটকয়েনের মিল খুঁজে বের করা। এ ধরনের সেবায় ব্যবহারকারীরা বিভিন্ন ব্লকচেইনের সম্পদ বিনিময় করতে পারেন। সম্পদ, ঠিকানা ও লেনদেনের রেকর্ড আলাদা হলেও তদন্তকারীদের জমা ও উত্তোলনের লেনদেনের মধ্যে যোগসূত্র খুঁজতে হয়।

চেইনঅ্যানালাইসিস প্রায় দেড় দিনে ওই পথে কোটি কোটি ডলারের গতিপথ অনুসরণ করে হামলাকারীর নিয়ন্ত্রণে থাকা বিটকয়েনের ঠিকানায় পৌঁছায়। সংস্থাটি জানায়, তাদের অভ্যন্তরীণ এআই দিয়ে তৈরি স্বয়ংক্রিয় ব্যবস্থা হিসাব মেলানোর কাজটি ২০ ঘণ্টার বেশি সময় থেকে কমিয়ে ১০ মিনিটের নিচে নামিয়েছে। তদন্তকারীরা কাজটি পরিচালনা ও ফলাফল যাচাই করেছেন। এই হিসাব অনুযায়ী, কাজটি আগের সময়ের একশ বিশ ভাগের এক ভাগেরও কম সময়ে হয়েছে।

অন্য স্থানান্তরগুলোর গতিপথ অনুসরণ করা কঠিন ছিল। হামলাকারী Zcash-এর শিল্ডেড পুলে অর্থ জমা দিতে শুরু করে, যেখানে গোপনীয়তার বৈশিষ্ট্য লেনদেনের এমন তথ্য আড়াল করে, যা থেকে প্রেরক, প্রাপক ও অঙ্কের যোগসূত্র খুঁজে পাওয়া যেত। চেইনঅ্যানালাইসিস জানিয়েছে, তারা গন্তব্যের ঠিকানাগুলো পর্যবেক্ষণ চালিয়ে যাবে এবং এক্সচেঞ্জ ও আইন প্রয়োগকারী সংস্থার সঙ্গে তথ্য ভাগ করবে।

অর্থের গতিপথ অনুসরণ করলেই তা জব্দ করা যায় না। বিটকয়েন ও ইথারের এমন কোনো কেন্দ্রীয় ইস্যুকারী নেই, যে ব্যালান্স স্থগিত করতে পারে। সাধারণত অর্থ উদ্ধারে সহযোগিতাকারী কোনো প্ল্যাটফর্ম, সম্পদ জব্দ করার ক্ষমতাসম্পন্ন কোনো ইস্যুকারী অথবা সম্পদের নিয়ন্ত্রণ নেওয়া কর্তৃপক্ষের প্রয়োজন হয়।

হস্তক্ষেপ নিয়ে সোয়াপ সেবাগুলোর মতভেদ

নিয়ার ইনটেন্টস জানিয়েছে, তাদের SHIELD ব্যবস্থা এই ঘটনার সঙ্গে সংশ্লিষ্ট ৫০ মিলিয়ন ডলারের বেশি স্থানান্তরের চেষ্টা আটকে দিয়েছে এবং লেনদেন চলাকালে প্রায় ৫০৩,০০০ ডলার স্থগিত করেছে। মহাব্যবস্থাপক অ্যালেক্স শেভচেঙ্কো বলেন, সন্দেহভাজন অর্থপ্রবাহ বন্ধ করার আগে প্রায় ১৬৬,০০০ ডলার তাদের সেবার মধ্য দিয়ে গেছে।

থরচেইন সোয়াপ প্রক্রিয়াকরণ চালিয়ে যায় এবং নির্দিষ্টভাবে হস্তক্ষেপের জন্য বিটগেটের অনুরোধ প্রত্যাখ্যান করে। প্রোটোকলটি নিজেদের কার্যক্রম সুরক্ষায় জরুরি ভিত্তিতে পুরো নেটওয়ার্ক বন্ধ করা এবং নির্দিষ্ট ঠিকানা বা লেনদেন আটকে দেওয়াকে আলাদা বিষয় হিসেবে দেখেছে। মে মাসে নিজেদের ওপর চালানো ১০.৭ মিলিয়ন ডলারের হামলার কথা উল্লেখ করে তারা জানায়, ওই হামলাকারীদেরও পরে সোয়াপ সেবা থেকে কালো তালিকাভুক্ত করা হয়নি।

২৯ সেপ্টেম্বরের ব্লকসেক স্ন্যাপশটে থরচেইনের ৭,৮০৪টি লেনদেনে বিটগেট-সংশ্লিষ্ট প্রায় ২৬৯ মিলিয়ন ডলারের অর্থপ্রবাহের হিসাব দেওয়া হয়। এটি লেনদেনের মোট প্রবাহ, স্বতন্ত্রভাবে চুরি হওয়া অর্থের অঙ্ক নয়: একই অর্থ সেবাটির মধ্য দিয়ে একাধিকবার যাওয়ার সময় একাধিকবার গণনা হতে পারে।

অর্থ স্থগিতের হিসাবেও পার্থক্য রয়েছে। এক বিবরণে সার্কেল ও টেথারের স্থগিত করা স্টেবলকয়েনের সম্মিলিত অঙ্ক প্রায় ৩১৮,০০০ ডলার বলা হয়েছে। ১ অক্টোবরের একটি বিস্তৃত কারিগরি হিসাবে ওই দুই ইস্যুকারী ও নিয়ার ইনটেন্টসের স্থগিত করা অর্থের পরিমাণ প্রায় ১.১ মিলিয়ন ডলার। হিসাব দুটির তারিখ ও আওতা আলাদা; এগুলোকে পৃথক উদ্ধার হিসেবে যোগ করা উচিত নয়।

অর্থপাচারের লেনদেনে ফি আয় ও ট্রেডিং বৃদ্ধি পায়

স্বাধীন গবেষক আন্দ্রে সেরগেনকভ ২ অক্টোবর ১০:২২ UTC পর্যন্ত পর্যালোচনা করা লেনদেন থেকে সেবামাশুল ও প্রোটোকল ফি বাবদ ৭৬১,৭২৫ ডলার আয়ের হিসাব করেছেন। তাঁর বিশ্লেষণে এর মধ্যে ৫৭৩,২২৬ ডলার থরচেইনের লিকুইডিটি সরবরাহকারীদের, ১৪৯,৪১৭ ডলার মেটামাস্কের, ২৬,৭৫১ ডলার চেইনফ্লিপের এবং ১২,৩৩২ ডলার CoW EthFlow-এর প্রাপ্য।

তিনি আলাদাভাবে সাতটি ঠিকানায় দেওয়া থরচেইনের অ্যাফিলিয়েট ফি বাবদ ২৫৯,৭১৮ ডলার শনাক্ত করেন। সোয়াপে জড়িত ওয়ালেটগুলোর সঙ্গে এই ঠিকানাগুলোর অতিরিক্ত আর্থিক যোগসূত্র ছিল। আরও ২০৬,১৯৬ ডলার পেয়েছে এমন প্রাপক, যাদের ক্ষেত্রে তিনি এ ধরনের অতিরিক্ত যোগসূত্র প্রতিষ্ঠা করতে পারেননি। এই অ্যাফিলিয়েট শ্রেণিগুলো পৃথক বিশ্লেষণমূলক হিসাব, উদ্ধার করা অর্থ নয়।

ফি গ্রহণকারীর তালিকায় নাম থাকা মানেই হামলাকারীর মালিকানা প্রমাণিত হওয়া নয়। সবচেয়ে বড় যোগসূত্রযুক্ত প্রাপকের কাছ থেকে অর্থের গতিপথ অনুসরণ করেন সেরগেনকভ; ওই প্রাপক ১৭৭,৪৯৯ ডলার পেয়েছিল। অর্থটি USDT-তে রূপান্তরিত হয়ে শেষ পর্যন্ত OKX Hot Wallet 5 নামে চিহ্নিত একটি ঠিকানায় যায়। এই গতিপথ থেকে এক্সচেঞ্জের গ্রাহকের পরিচয় বা চুরিতে তার অংশগ্রহণ প্রমাণিত হয় না।

থরচেইনে সেপ্টেম্বরে নেটওয়ার্কের আয় ছিল ৩.০১ মিলিয়ন ডলার এবং সোয়াপের পরিমাণ ছিল ২.৪০ বিলিয়ন ডলার। ২৫ থেকে ২৯ সেপ্টেম্বরের মধ্যে প্রোটোকলটি প্রায় ১.৩৭ বিলিয়ন ডলারের লেনদেন প্রক্রিয়াকরণ করে, যা মাসের মোট সোয়াপের ৫৭%; এ সময় আয় হয় প্রায় ১.৯ মিলিয়ন ডলার, যা মাসিক আয়ের ৬৩%। এই সময়সীমার মোট অঙ্কে শনাক্ত চুরি হওয়া অর্থের বাইরের কার্যক্রমও রয়েছে।

প্রোটোকলের বিবৃতিতে লেনদেন বৃদ্ধির সময়কাল এভাবে বর্ণনা করা হয়েছে:

২৫ থেকে ২৯ সেপ্টেম্বরের মধ্যে দৈনিক লেনদেনের পরিমাণ প্রায় ১৯০ মিলিয়ন থেকে ৪৬০ মিলিয়ন ডলারের মধ্যে ছিল; এ সময় বিটগেটের দুর্বলতার সুযোগ নিয়ে চালানো হামলার সঙ্গে সংশ্লিষ্ট অর্থ নেটওয়ার্কের মধ্য দিয়ে যায়।

সক্রিয় ওয়ালেটের সংখ্যা আগস্টে ২৩,৫০০ থেকে সেপ্টেম্বরে ২৫,০০০-এ পৌঁছায়, যা প্রায় ৬.৪% বৃদ্ধি। এর তুলনায় সোয়াপের পরিমাণ ৬১৩ মিলিয়ন ডলার থেকে বেড়ে ২.৪০ বিলিয়ন ডলারে পৌঁছায়। এই পরিসংখ্যান ব্যবহারকারীর সংখ্যায় সমানুপাতিক বৃদ্ধির বদলে বড় অঙ্কের লেনদেনের কেন্দ্রীভবনের ইঙ্গিত দেয়।

মধ্যস্থতাকারীরা অর্থ গায়েব হওয়ার আগেই হামলাকারীদের পাওনা মিটিয়ে দিতে পারে

২০২৫ সালের ২১ ফেব্রুয়ারি বাইবিট থেকে চুরির তদন্ত দেখায়, দৃশ্যমান চুরি হওয়া অর্থ আর মূল হ্যাকারদের নিয়ন্ত্রণে থাকা অর্থের সমান নাও হতে পারে। এফবিআই প্রায় ১.৫ বিলিয়ন ডলারের ওই হামলার জন্য উত্তর কোরিয়ার ট্রেডারট্রেইটর গোষ্ঠীকে দায়ী করেছে। গবেষকদের সন্দেহ, বিশেষায়িত মধ্যস্থতাকারীরা চুরি করা সম্পদ গ্রহণ করে, ফি কেটে তার মূল্য হামলাকারীদের দেয় এবং পরবর্তী অর্থপাচারের ঝুঁকি নিজেরা নেয়।

নিরাপত্তা প্রতিষ্ঠান জিরোশ্যাডোর হিসাবে, ২০২৫ সালের ফেব্রুয়ারি থেকে জুনের মধ্যে বাইবিট থেকে চুরি হওয়া ১ বিলিয়ন ডলারের বেশি অর্থ পাচার করা হয়েছে। এর অর্থ এই নয় যে পুরো অঙ্কটি প্রচলিত মুদ্রায় রূপান্তরিত হয়েছিল বা হামলাকারীদের নিট আয়ের সমান ছিল। চেইনঅ্যানালাইসিসও জানিয়েছে, বাইবিট ও ওয়াজিরএক্স থেকে কয়েক কোটি ডলার সিনবি বিক্রেতা নেটওয়ার্কের মধ্য দিয়ে গেছে; সেখানে মধ্যস্থতাকারীরা কথিতভাবে শনাক্তযোগ্য সম্পদের বিনিময়ে অন্যান্য অপরাধ থেকে আসা স্টেবলকয়েন দিয়েছে।

৫ অক্টোবর প্রকাশিত এক বিবৃতিতে ছদ্মনাম ব্যবহারকারী তদন্তকারী জ্যাকএক্সবিটি বলেন, গ্রাহক সেজে তিনি ৩৪৯,৭০০ ডলারের স্টেবলকয়েন দিয়েছিলেন এবং প্রতিটি অর্ডারে ৫% ক্ষতি মেনে নিয়েছিলেন। তাঁর ভাষ্য অনুযায়ী, জিমি গ্রিন নামের এক অপারেটর বাইবিট-সংশ্লিষ্ট ১২ মিলিয়ন ডলারের বেশি অর্থধারী একটি ঠিকানাগুচ্ছ শনাক্ত করতে সহায়তা করেন। পরে টেথার ৪৪২,০০০ USDT স্থগিত করে।

জ্যাকএক্সবিটির অভিযোগ, নেটওয়ার্কটি হংকং ও চীনের মূল ভূখণ্ডজুড়ে কাজ করত এবং লাজারাসের হয়ে ১ বিলিয়ন ডলারের বেশি অর্থপাচার করেছে। নেটওয়ার্কটির আকার এবং অপারেটরের পরিচয় প্রকাশ্য অভিযোগপত্রের মাধ্যমে স্বাধীনভাবে নিশ্চিত করা হয়নি। তাঁর আরও অভিযোগ, বিটগেটের অর্থ সামলানো চীনা পক্ষগুলো প্রকাশ্য Discord ও Telegram গ্রুপে সহায়তা চেয়েছিল এবং এক অপারেটর কেল্পডিএও থেকে আসা অর্থও সামলেছিল।

বিটগেটের আর্থিক সুরক্ষা তহবিল এবং অর্থ উদ্ধারের সীমাবদ্ধতা

বিটগেট জানিয়েছে, হামলার আগে তাদের ব্যবহারকারী সুরক্ষা তহবিলে ৪৬৪ মিলিয়ন ডলারের বেশি ছিল এবং গ্রাহকদের ক্ষতি ওই তহবিল থেকে পূরণ করা হবে। ৩৮৭.৫ মিলিয়ন ডলারের চুরির অঙ্ক ৪৬৪ মিলিয়ন ডলারের রিজার্ভের প্রায় ৮৩.৫%। এই তুলনা সম্ভাব্য আর্থিক চাপ বোঝায়; ক্ষতিপূরণ কীভাবে দেওয়া হয়েছে বা কোন সম্পদ থেকে তা এসেছে, তার প্রমাণ নয়।

২৮ সেপ্টেম্বর এক্সচেঞ্জটি এক সপ্তাহের মধ্যে তহবিলটি অন্তত ৩০০ মিলিয়ন ডলারে ফেরানোর অঙ্গীকার করে। ৩০ সেপ্টেম্বর তারা কাজটি সম্পন্ন হওয়ার ঘোষণা দেয়। সফলভাবে স্থগিত বা উদ্ধার করা অর্থের জন্য তারা সর্বোচ্চ ৫% পুরস্কার দেওয়ার প্রস্তাবও দেয়, মানডিয়ান্ট ও স্লোমিস্টের সঙ্গে অংশীদারত্ব করে এবং ওয়ালেটের গতিপথ অনুসরণের ড্যাশবোর্ড প্রকাশ করে।

বিটগেটের ভাষ্য অনুযায়ী, উত্তোলন বন্ধ থাকলেও ট্রেডিং ও জমা চালু ছিল। বিটকয়েন উত্তোলন ২৮ সেপ্টেম্বর, ইথেরিয়াম ২৯ সেপ্টেম্বর এবং USDT ৩০ সেপ্টেম্বর পুনরায় চালু হয়। এক্সচেঞ্জটি জানিয়েছে, স্থগিতাদেশের সময় আর কোনো ক্ষতি হয়নি। প্রকাশিত ট্রেডিং তথ্যে তাদের BGB টোকেনের দাম প্রায় ৭% কমে ১.৯৩ ডলারে নেমে যায়; পরে তা বেড়ে ১.৯৭ ডলারে পৌঁছায়।

সেপ্টেম্বরের সামগ্রিক ক্ষতির হিসাবের আওতা নিয়েও মতভেদ ছিল। পেকশিল্ড ৭৬৬.৫ মিলিয়ন ডলারের মোট ৫৫টি হ্যাকের হিসাব করেছে, আর সার্টিক ৭৬৮.৪ মিলিয়ন ডলারের ৯৭টি ঘটনার হিসাব দিয়েছে। দুই হিসাবেরই প্রায় অর্ধেক ছিল বিটগেটের ঘটনা। পৃথকভাবে, লিকুইড নেটওয়ার্ক থেকে ৩১৯ থেকে ৩২০ মিলিয়ন ডলার ক্ষতির কথা বলা হয়েছে, যার মধ্যে ২৭০ মিলিয়ন ডলারের বেশি ফেরত দেওয়া হয়েছে বলে জানা গেছে। জুলাইয়ে কোল্ডকার্ডের আরেক ঘটনায় প্রায় ১১৬ মিলিয়ন ডলারের ক্ষতির খবর পাওয়া যায়।

আইন প্রয়োগের উদ্যোগ এক্সচেঞ্জ থেকে চুরির বাইরেও বিস্তৃত। সাইবার অপরাধ এবং বিদেশে তথ্যপ্রযুক্তি কর্মীদের আয় পাচারের অভিযোগে যুক্তরাষ্ট্রের ট্রেজারি বিভাগ আটজন ব্যক্তি ও দুটি প্রতিষ্ঠানের ওপর নিষেধাজ্ঞা দিয়েছে। অভিযোগে বলা হয়েছে, ফার্স্ট ক্রেডিট ব্যাংকের মাধ্যমে ব্যাংকাররা অন্তত ৫.৩ মিলিয়ন ডলার পরিচালনা করেছেন এবং চীন ও রাশিয়ার মধ্যস্থতাকারীদের মাধ্যমে অর্থের উৎস আড়াল করা হয়েছে। বিচার বিভাগ পৃথকভাবে কথিত তথ্যপ্রযুক্তি কর্মী জালিয়াতির সঙ্গে সংশ্লিষ্ট ৭.৭ মিলিয়ন ডলার এবং APT38-এর নামে দায়ী চারটি চুরির সঙ্গে যুক্ত ১৫ মিলিয়ন ডলারের বেশি অর্থ নিয়ে পদক্ষেপ নিয়েছে।

এই পদক্ষেপগুলো দেখায়, অর্থ স্থগিত করা, জব্দ করা এবং ক্ষতিপূরণ দেওয়া আলাদা ধাপ। বিটগেটের বাকি উদ্ধারযোগ্য অর্থের অঙ্ক, দুর্বল নিরাপত্তা পণ্য সরবরাহকারী প্রতিষ্ঠানের পরিচয় এবং চূড়ান্ত কারিগরি বিবরণ এখনো অমীমাংসিত। চূড়ান্ত তদন্ত বা চুরি হওয়া সম্পদ ফেরত দেওয়ার কোনো নির্দিষ্ট তারিখ ঘোষণা করা হয়নি।

মূল তথ্য

• বিটগেটের সংশোধিত ৩৮৭.৫ মিলিয়ন ডলারের ক্ষতির ফলে ২০২৬ সালে উত্তর কোরিয়ার সঙ্গে সংশ্লিষ্ট চুরির ঘোষিত মোট অঙ্ক অন্তত ১.০৩০৫ বিলিয়ন ডলারে পৌঁছেছে।
• প্রাথমিক অনুসন্ধানে বলা হয়েছে, উত্তোলনের অনুমোদনে সহায়ক পদ্ধতি ছিল জাল অনুমোদন-তথ্য; প্রাইভেট কী চুরি নয়।
• চেইনঅ্যানালাইসিস হামলার জন্য উত্তর কোরীয় পক্ষকে দায়ী করেছে; নির্দিষ্টভাবে লাজারাসের সংশ্লিষ্টতা এখনো প্রকাশ্যে নিশ্চিত হয়নি।
• এআই অর্থ অনুসরণের একটি কাজ ১০ মিনিটেরও কম সময়ে সম্পন্ন করেছে, কিন্তু এতে সম্পদ উদ্ধার হয়নি।
• হস্তক্ষেপের বিষয়ে সোয়াপ সেবাগুলোর অবস্থান ভিন্ন ছিল; এদিকে পর্যালোচিত অর্থপাচারের লেনদেনে উল্লেখযোগ্য ফি আয় হয়েছে।
• বিটগেট অন্তত ৩০০ মিলিয়ন ডলারের সুরক্ষা তহবিল পুনর্গঠনের ঘোষণা দিয়েছে এবং ধাপে ধাপে উত্তোলন চালু করেছে।
• চূড়ান্ত উদ্ধারযোগ্য অর্থের অঙ্ক এবং ক্ষতিগ্রস্ত নিরাপত্তা পণ্য সরবরাহকারী প্রতিষ্ঠানের পরিচয় অজানা রয়ে গেছে।