চুরি হওয়া চাবি নয়, এক ঘণ্টায় $351 মিলিয়ন — Bitget-এর হট-ওয়ালেট লঙ্ঘন এবং অনুমোদন প্রবাহের বিশ্বাসের সীমা
Bitget 25 সেপ্টেম্বর নিশ্চিত করেছে যে 24 সেপ্টেম্বর 18:31 UTC-এ ধরা অনুমতিহীন স্থানান্তরে তার হট ও ওয়ার্ম ওয়ালেটের কিছু অংশ থেকে প্রায় $351.6 মিলিয়ন বেরিয়ে গেছে। এর অফলাইন কোল্ড ওয়ালেট প্রভাবিত হয়নি বলে জানানো হয়েছে, উত্তোলন থামানো আছে, এবং এক্সচেঞ্জ বলে তার $464 মিলিয়ন User Protection Fund পুরো ক্ষতি ঢাকে। Bitget-এর বর্ণনায়, আক্রমণকারী private key নেয়নি, বরং একটি ব্যাকএন্ড সিস্টেমে পৌঁছে লেনদেনের ডেটা নকল করে অনুমোদন প্রবাহকে তহবিল ছাড়াতে ঘুরিয়েছে। আমরা Lazarus আরোপের প্রশ্ন এবং এই পর্যবেক্ষণাগার সাম্প্রতিক সপ্তাহে যে ব্যবস্থাপনা ও পরিচয় প্লেন কভার করেছে তার সঙ্গে সমরূপতা দেখি।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
24 সেপ্টেম্বর 2026, 18:31 UTC-এ Bitget-এর নিরাপত্তা ব্যবস্থা তার হট ওয়ালেটের একটি অংশ থেকে অনুমতিহীন স্থানান্তর চিহ্নিত করে, এবং কয়েক মিনিটের মধ্যে জরুরি সাড়া দেওয়ার প্রক্রিয়া চালু হয়। 25 তারিখে CEO Gracy Chen প্রকাশ্যে বলেন, প্রভাবিত সম্পদ মোট প্রায় $351.6 মিলিয়ন। Bitget-এর ওয়ালেট কাঠামো 3 স্তর (hot / warm / cold); এক্সচেঞ্জের কথায় লঙ্ঘন হট ও ওয়ার্ম স্তরের কিছু অংশেই সীমাবদ্ধ এবং অফলাইন কোল্ড ওয়ালেটে পৌঁছায়নি, এবং গ্রাহকের অ্যাকাউন্টের ব্যালেন্স তাদের ধারণের সঙ্গে সামঞ্জস্যপূর্ণ আছে। উত্তোলন সাময়িকভাবে স্থগিত, লেনদেন ও জমা চলতে থাকে। এক্সচেঞ্জ জানায় প্রাপকের ঠিকানা শনাক্ত ও চিহ্নিত করা হয়েছে, আইন প্রয়োগকারী সংস্থাকে জানানো হয়েছে, এবং তহবিল ট্র্যাক করতে ব্লকচেইন-নিরাপত্তা প্রতিষ্ঠানকে যুক্ত করা হয়েছে, এবং একটি পূর্ণ ঘটনা প্রতিবেদন — মূল কারণ ও সংশোধনের ধাপসহ — প্রাথমিক নোটিসের 24 ঘণ্টার মধ্যে আসবে (Gracy Chen-এর X বিবৃতি, Bitget-এর আনুষ্ঠানিক নিরাপত্তা নোটিশ, Cryptopotato, InvestingLive, এবং CyberSecurityNews অনুসারে)।
আক্রমণের পথে Bitget-এর বর্ণনা এই যে, আক্রমণকারী তার ওয়ালেট অবকাঠামোর ভেতরের একটি ব্যাকএন্ড সিস্টেমে পৌঁছেছে, লেনদেনের ডেটা নকল করেছে, এবং তাতে অনুমোদন প্রক্রিয়াকে তহবিল ছাড়াতে ঘুরিয়েছে। অন্য কথায়, এক্সচেঞ্জের কথায়, এটি সেই private key-এর ফাঁস নয় যা ওয়ালেটগুলোকে নিজে নিয়ন্ত্রণ করে। অন-চেইন গবেষকদের (Arkham Intelligence-এর মতো বিশ্লেষক) প্রথম আন্দাজ ছিল $174M–$183M, নিশ্চিত অঙ্কের প্রায় অর্ধেক; অন-চেইন পর্যবেক্ষকরা ETH, BNB, AVAX, USDT, ও USDC জড়িত চলাচল ট্র্যাক করেছেন। Decrypt-এর প্রতিবেদনে একটি উল্লেখযোগ্য লেনদেন: নতুন তৈরি একটি ওয়ালেট মোটামুটি $19.7M USDT0 (Tether-এর ক্রস-চেইন সংস্করণ) প্রায় 6 মিনিটে 7,111 ETH-এ বদল করে, বদল দ্রুত শেষ করতে বাজার দামের চেয়ে 5% পর্যন্ত বেশি দেয়। এক্সচেঞ্জের User Protection Fund-এ $464M আছে, ক্ষতির চেয়ে বেশি, এবং Bitget তা থেকে পুরো অঙ্ক ঢাকার প্রতিশ্রুতি দিয়েছে। TFTC নোট করে তহবিলের সম্পদের মিশ্রণ স্বাধীনভাবে যাচাই করা হয়নি।
আরোপ নিয়ে: অন-চেইন তদন্তকারী Specter দাবি করেছেন উত্তর কোরিয়া-সম্পর্কিত Lazarus Group এই আক্রমণের পেছনে, এবং HackRead প্রতিবেদন করেছে Bitget দলটির জড়িত থাকার সন্দেহ করে, অন্যদিকে Bitget নিজে আনুষ্ঠানিক আরোপ করতে অস্বীকার করেছে, এমন প্রতিবেদন অনুসারে যে তারা 'অনুমান করতে অস্বীকার করেছে।' বর্তমান আরোপকে একটি 'সন্দেহ' বলা যথাযথ, একটি 'আরোপ' নয়। প্রসঙ্গ হিসেবে, Lazarus-সম্পর্কিত দল সাম্প্রতিক বছরের সবচেয়ে বড় এক্সচেঞ্জ লঙ্ঘনের অনেকগুলোতে জড়িত ছিল বলে প্রতিবেদন আছে — 2025-এর ফেব্রুয়ারিতে Bybit-এর $1.5B (FBI এটিকে Lazarus-এর বলে আরোপ করেছে), 2024-এ DMM Bitcoin-এর ~$308M এবং WazirX-এর ~$234.9M। Chainalysis অনুসারে, 2025-এর ক্রিপ্টো চুরি মোট $3.4B, যার মধ্যে $2.02B (60%-এর বেশি) উত্তর কোরিয়া-সম্পর্কিত বলে আন্দাজ। শুধু 2026-এর প্রথমার্ধে, 212টি ঘটনা জুড়ে $1.1B নেওয়া হয়েছে, একটি সংখ্যাগরিষ্ঠ Lazarus Group-কে আরোপিত হয়েছে। এই ঘটনার দ্রুত বহু-চেইন ছড়িয়ে পড়া, সঙ্গে সঙ্গে ETH-এ রূপান্তর, এবং চাবির ফাঁস ছাড়া একটি অভ্যন্তরীণ সিস্টেম দিয়ে ঢোকা রাষ্ট্র-সম্পর্কিত দলের কার্যক্রমের ছাপের সঙ্গে মেলে — কিন্তু কৌশলের মিল পরিচয়ের প্রমাণ নয়।
বিশ্লেষণ (তথ্য থেকে পৃথক): যা গুরুত্বপূর্ণ তা হলো 'চাবি চুরি হয়নি' অগত্যা ভালো ফল নয়। Bitget-এর বর্ণনা অনুসারে, আক্রমণকারী স্বাক্ষরের চাবি নেয়নি, বরং অনুমোদন প্রক্রিয়ায় ডেটা ঢোকানো ব্যাকএন্ড সিস্টেমে পৌঁছেছে, এবং লেনদেনের ডেটা নকল করেছে। যা ভাঙল তা ক্রিপ্টোগ্রাফিক সীমা (চাবি) নয়, বিশ্বাসের সীমা (অনুমোদনের সিদ্ধান্তের তথ্যের উৎস)। এটি এই পর্যবেক্ষণাগার গত 2 সপ্তাহে যে 'ব্যবস্থাপনা ও পরিচয় প্লেন' কভার করেছে তার সঙ্গে সমরূপ — F5 BIG-IP APM-এর OAuth জিরো-ডে (পরিচয় জারির দিক অপ্রমাণিত অবস্থায় RCE), Cisco ISE-এর ব্যবস্থাপনা-API প্রমাণীকরণ বাইপাস (CVSS 10.0), এবং Secure Email Gateway-এর পার্সিং কোড দিয়ে রুটে পৌঁছানো — সবার গঠন এক: যে প্লেন নিজে সিদ্ধান্ত নেয় সেটি ধরা পড়লে সিদ্ধান্ত আর বিশ্বাস করা যায় না। ওয়ালেট অবকাঠামোর অনুমোদন প্রবাহ ঠিক এমন একটি সিদ্ধান্ত প্লেন; তাকে যে ব্যালেন্স ও লেনদেনের ডেটা দেওয়া হয় তার অখণ্ডতা, এবং যে অভ্যন্তরীণ সিস্টেম উত্তোলনের অনুরোধ তৈরি বা বদল করতে পারে তার ক্ষমতা, বিশ্বাসের সীমা নির্ধারণ করে। 24 ঘণ্টার প্রতিবেদন, যদি দেখায় কোন ব্যাকএন্ড সিস্টেম আপস হয়েছিল, নকল ডেটা কোন অনুমোদনকারীদের কাছে দেখা গিয়েছিল, এবং বহু-ধাপ অনুমোদন 'নকল ডেটার পথ' আর 'আসল অনুরোধ' আলাদা করতে পেরেছিল কি না, ব্যর্থতার বিন্দু আরও নির্দিষ্ট করবে। ততক্ষণ ব্যর্থতাকে 'অনুমোদন প্রক্রিয়ায় ঢোকা ডেটার পথের আপস' হিসেবে মডেল করা যথাযথ।
প্রতিরক্ষামূলক তাৎপর্য: (1) অন-চেইন সম্পদ রাখা কার্যক্রম অনুমোদনের পাইপলাইনকেই প্রথম শ্রেণির বিশ্বাসের সীমা হিসেবে দেখুক — শুধু চাবির হেফাজত নয়, লেনদেনের ডেটার উৎস (API স্তরে প্রমাণীকরণ/অ্যাটেস্টেশন, প্রতি অনুমোদনকারীর স্বাধীন ডেটা দৃশ্য, স্বাধীন দৃশ্যসহ মাল্টি-সিগনেচার) নকশার শর্ত হিসেবে। (2) উত্তোলনের গতি ও প্রতি-চেইন সীমা একসঙ্গে রাখুন, এবং অন-চেইন অস্বাভাবিকতা (অস্বাভাবিক বদলের গতি, বাজার দামের বিপরীতে অস্বাভাবিক ব্যবধান) তাৎক্ষণিক ট্রায়াজের সংকেত হিসেবে নজর করুন — এই ঘটনার USDT0 → ETH ~6 মিনিটে, 5% পর্যন্ত প্রিমিয়ামে, ঠিক সেই ধরনের সংকেত। (3) বহু-চেইন ছড়িয়ে পড়া জব্দের প্রভাব কমায় বলে, ব্রিজ ও DEX প্রতিপক্ষের সঙ্গে জব্দ/ট্র্যাকের চ্যানেল আগে থেকে ঠিক করুন। (4) উত্তোলন স্থগিত, দ্রুত প্রকাশ, এবং ক্ষতিপূরণের প্রতিশ্রুতি দ্বিতীয় ক্ষতি সীমিত করে — কিন্তু ক্ষতিপূরণ ততটাই শক্ত যতটা তহবিলের আকার ও সম্পদের মিশ্রণ স্বাধীনভাবে যাচাই করা যায়, তাই সেই যাচাইযোগ্যতা দিনে দিনে বজায় রাখুন। এখানকার তথ্য Gracy Chen-এর X বিবৃতি (https://x.com/GracyBitget/status/2103235655879074084), Bitget-এর আনুষ্ঠানিক নিরাপত্তা নোটিশ (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), এবং HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/)-এর ওপর টানা। বিশ্লেষণকে প্রতিবেদন থেকে পৃথক রাখা হয়েছে।