ক্রিপ্টো হোয়েল মাল্টিসিগ এক্সপ্লয়েটে $৩৮M হারালো

একজন ক্রিপ্টো তিমি আজকে আক্রমণকারী একটি মাল্টিসিগ ওয়ালেটের নিয়ন্ত্রণ নিয়ে এবং নিঃশব্দে এর তহবিল নিষ্কাশন করার পর প্রায় $38 মিলিয়ন হারিয়েছে।

মামলাটি নিবিড় মনোযোগ আকর্ষণ করছে কারণ আক্রমণকারী শুধুমাত্র Tornado Cash এর মাধ্যমে সম্পদ স্থানান্তর করেনি বরং আপসকৃত ওয়ালেটের সাথে সংযুক্ত একটি লিভারেজড DeFi পজিশনের নিয়ন্ত্রণও ধরে রেখেছে।

প্রাইভেট কী আপস করার পর মাল্টিসিগ নিষ্কাশন

ব্লকচেইন নিরাপত্তা সংস্থা PeckShield ১৮ ডিসেম্বর X-এ রিপোর্ট করেছে যে একটি প্রাইভেট কী প্রকাশ হওয়ার পর একটি তিমির ওয়ালেট খালি হয়ে গেছে, যা প্রথম দৃষ্টিতে প্রায় $27.3 মিলিয়ন ক্ষতির দিকে নিয়ে যায়। ফলো-আপ অন-চেইন ট্র্যাকিং দেখিয়েছে যে সম্পর্কিত ওয়ালেট এবং পজিশনগুলি অন্তর্ভুক্ত করার পর মোট ক্ষতি $38 মিলিয়নের কাছাকাছি পৌঁছেছে।

PeckShield এর মতে, আক্রমণকারী ইতিমধ্যে 4,100 ETH যার মূল্য প্রায় $12.6 মিলিয়ন, Tornado Cash এর মাধ্যমে পাঠিয়েছে যা স্পষ্টতই পথ অস্পষ্ট করার প্রচেষ্টায়। প্রায় $2 মিলিয়ন তরল সম্পদে রয়ে গেছে। আরও উদ্বেগজনক, আক্রমণকারী এখনও ভিকটিমের ঠিকানা নিয়ন্ত্রণ করছে, যা Aave-এ একটি লিভারেজড লং পজিশন ধারণ করে, অন-চেইন ডেটা দেখাচ্ছে প্রায় $25 মিলিয়ন মূল্যের ETH জামানত হিসাবে সরবরাহ করা হয়েছে $12 মিলিয়নেরও বেশি DAI ঋণের বিপরীতে।

অন-চেইন বিশ্লেষক Specter X-এ একটি বিস্তারিত সময়রেখা শেয়ার করেছেন, উল্লেখ করেছেন যে ভিকটিম একটি 1-of-1 মাল্টিসিগ ওয়ালেট তৈরি করেছিল, যার অর্থ লেনদেন অনুমোদনের জন্য একটি একক স্বাক্ষরকারীর থেকে শুধুমাত্র একটি স্বাক্ষর প্রয়োজন ছিল। যাইহোক, এই সেটআপ একটি মাল্টিসিগের প্রাথমিক উদ্দেশ্যকে ব্যর্থ করে, যা একাধিক স্বাধীন অনুমোদন প্রয়োজন।

এতে তহবিল স্থানান্তরের 40 মিনিটেরও কম পরে, ওয়ালেটটি একটি বিশাল বহিঃপ্রবাহ দেখেছে যা সমস্ত টোকেন নিষ্কাশন করেছে। প্রায় একই সময়ে, স্বাক্ষরকারীকে একটি আক্রমণকারী-নিয়ন্ত্রিত ঠিকানায় পরিবর্তন করা হয়েছিল।

Specter বলেছেন যে সবচেয়ে সম্ভাব্য ব্যাখ্যা হল সেটআপের সময় প্রাইভেট কী ফাঁস হয়েছিল অথবা ভিকটিম ওয়ালেট তৈরিতে সহায়তার জন্য একটি দূষিত তৃতীয় পক্ষের উপর নির্ভর করেছিল। পরবর্তী একটি পোস্ট, গবেষক tanuki42 উদ্ধৃত করে, পরামর্শ দিয়েছে যে আক্রমণকারী নিজেই মাল্টিসিগ তৈরি করতে পারে, সেটআপের সময় এবং পরে উভয় সময়ে ভিকটিমকে উন্মুক্ত রেখে।

ক্রিপ্টো নিরাপত্তা ব্যর্থতায় একটি পরিচিত প্যাটার্ন

ঘটনাটি প্রাইভেট কী চুরি এবং সোশ্যাল ইঞ্জিনিয়ারিংয়ের একটি বিস্তৃত প্যাটার্নের সাথে খাপ খায় যা ক্রিপ্টো সেক্টরকে জর্জরিত করে চলেছে। ১৫ ডিসেম্বরের একটি রিপোর্টে, সাইবার নিরাপত্তা গ্রুপ Security Alliance সতর্ক করেছে যে উত্তর কোরিয়া-সংযুক্ত হ্যাকাররা ম্যালওয়্যার লাগাতে এবং প্রাইভেট কী চুরি করতে প্রতিদিন জাল Zoom এবং Teams কল চালাচ্ছে, যা শত শত মিলিয়ন ডলার ক্ষতির সাথে সংযুক্ত একটি পদ্ধতি।

Binance প্রতিষ্ঠাতা Changpeng Zhao সেপ্টেম্বরে অনুরূপ সতর্কতা জারি করেছিলেন, বলেছিলেন যে আক্রমণকারীরা ক্রমবর্ধমানভাবে স্মার্ট কন্ট্র্যাক্ট ত্রুটির পরিবর্তে মানুষের বিশ্বাসকে লক্ষ্য করছে, প্রায়ই সাহায্যকারী, চাকরি প্রার্থী, বা মিটিং হোস্ট হিসাবে ছদ্মবেশ ধারণ করছে।

অন-চেইন ইতিহাস দেখায় যে হ্যাকের আগে তিমিটি মাসব্যাপী সক্রিয় ছিল। ৭ মে, Onchain Lens রিপোর্ট করেছে যে একই ঠিকানা OKX থেকে 2,500 টিরও বেশি ETH উত্তোলন করেছে এবং Kiln Finance এর মাধ্যমে তহবিল স্টেক করেছে, ক্রমাগত একটি বড় ETH পজিশন তৈরি করছে।

আপাতত, আক্রমণকারীর Aave পজিশনের অব্যাহত নিয়ন্ত্রণ ঝুঁকির আরেকটি স্তর যোগ করে। যদি বাজার তীব্রভাবে সরে যায়, বাধ্য লিকুইডেশন ক্ষতি গভীর করতে পারে, ইতিমধ্যে ব্যয়বহুল লঙ্ঘনকে মাল্টিসিগ নিরাপত্তা এবং প্রাইভেট কী পরিচালনার উপর আরও কঠোর শিক্ষায় পরিণত করে।

The post Crypto Whale Loses $38M in Multisig Exploit appeared first on CryptoPotato.