BTC-E তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো অ্যাকাউন্টের ব্যালেন্স, ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যবহারকারীর নাম এবং সাইটে কার্যকলাপের তথ্য। ইমেইল ঠিকানা ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা পাঠানো যায়। ব্যবহারকারীর নাম দিয়ে অন্য এক্সচেঞ্জ, ফোরাম বা সামাজিক যোগাযোগমাধ্যমে একই নাম খোঁজা যায়। IP ঠিকানা সংযোগের ইতিহাস ও আনুমানিক ভৌগোলিক অঞ্চল সম্পর্কে ধারণা দিতে পারে। সাইটে কার্যকলাপের তথ্য থেকে ব্যবহারকারী তাঁর পুরোনো এক্সচেঞ্জ অ্যাকাউন্ট কীভাবে ব্যবহার করতেন, সে সম্পর্কে ধারণা পাওয়া যেতে পারে।

অ্যাকাউন্টের ব্যালেন্সের তথ্য এই ঘটনাকে সাধারণ কোনো ফোরাম বা গেম অ্যাকাউন্টের তথ্য ফাঁস থেকে আলাদা করে। ব্যালেন্সের তথ্য বর্তমান সম্পদের সরাসরি প্রমাণ নাও হতে পারে; তবে আক্রমণকারীর কাছে এটি জোরালো ইঙ্গিত দেয় যে ওই ব্যক্তি অতীতে ক্রিপ্টোকারেন্সি অ্যাকাউন্ট ব্যবহার করেছেন। পাসওয়ার্ডের হ্যাশ ও ইমেইল ঠিকানা একসঙ্গে পাওয়া গেলে অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে কি না, তা পরীক্ষা করার চেষ্টা হতে পারে। ক্রিপ্টোকারেন্সি অ্যাকাউন্টে পাসওয়ার্ড পুনর্ব্যবহার, ইমেইল অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত বিষয় এবং দুই উপাদানভিত্তিক পরিচয় যাচাই না থাকার বিষয়গুলো একসঙ্গে যুক্ত হলে ব্যবহারকারী শুধু পুরোনো BTC-E অ্যাকাউন্টের মাধ্যমেই নয়, বর্তমান এক্সচেঞ্জ ও ওয়ালেটের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর মাধ্যমেও ঝুঁকিতে পড়তে পারেন।

নথিভুক্ত তথ্য ফাঁসের তারিখ 1 অক্টোবর 2014, যাচাইকৃত সংযোজনের তারিখ 12 মার্চ 2017 এবং প্রভাবিত অ্যাকাউন্টের সংখ্যা 5,68,340 হিসেবে বিবেচনা করতে হবে। রেকর্ডটি BTC-E ডোমেইন নামের সঙ্গে সম্পর্কিত এবং এতে থাকা তথ্যের ধরন অ্যাকাউন্টের ব্যালেন্স, ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যবহারকারীর নাম ও সাইটে কার্যকলাপের মধ্যে সীমাবদ্ধ। এই বিবরণে প্রাইভেট কী, ওয়ালেট সিড, সরকার-প্রদত্ত পরিচয়পত্র, বাসা বা কর্মস্থলের ঠিকানা, ফোন নম্বর, ব্যাংক অ্যাকাউন্ট বা পেমেন্ট কার্ডের তথ্য প্রকাশিত হয়েছে বলে দাবি করা হচ্ছে না; যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে এসব অন্তর্ভুক্ত নেই।

BTC-E-কে এখন আর সক্রিয় এক্সচেঞ্জ হিসেবে বিবেচনা করা হয় না। তাই ব্যবহারকারীদের ওপর এই ঘটনার প্রভাব বুঝতে হবে অতীতের অ্যাকাউন্টের তথ্য কীভাবে আজকের অ্যাকাউন্টের নিরাপত্তাকে প্রভাবিত করতে পারে, সেই দিক থেকে। মিল পাওয়া গেলে বোঝায় যে ব্যবহারকারী এই ডেটাসেটে অন্তর্ভুক্ত আছেন; এর অর্থ এই নয় যে বর্তমানে তাঁর ওয়ালেটের নিরাপত্তা ভঙ্গ হয়েছে বা তাঁর ক্রিপ্টো সম্পদ সরাসরি ফাঁস হয়েছে। ঝুঁকিটি হলো, পুরোনো অ্যাকাউন্টের তথ্য অন্য সেবায় ব্যবহার করার চেষ্টা হতে পারে এবং সোশ্যাল ইঞ্জিনিয়ারিংয়ে কাজে লাগানো হতে পারে।

সর্বোচ্চ ঝুঁকিতে আছেন তাঁরা, যাঁরা BTC-E অ্যাকাউন্টের ইমেইল বা পাসওয়ার্ড অন্য ক্রিপ্টোকারেন্সি সেবায় আবার ব্যবহার করেন। Bitcoin-এর শুরুর দিকের ব্যবহারকারী, বিভিন্ন এক্সচেঞ্জে একই ব্যবহারকারীর নাম ব্যবহার করেন এমন ব্যক্তি, ক্রিপ্টো ফোরামে একই ডাকনাম ব্যবহার করেন এমন ব্যক্তি এবং এখনো পুরোনো ইমেইল ঠিকানা সক্রিয় রাখা ব্যক্তিরা আক্রমণকারীদের নজরে বেশি পড়তে পারেন। অ্যাকাউন্টের ব্যালেন্সের তথ্য নির্দিষ্ট ব্যক্তিকে পাঠানো প্রতারণামূলক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে, কারণ এতে এমন ধারণা দেওয়া যায় যে ওই ব্যবহারকারী অতীতে লেনদেন করেছেন বা সম্পদ রেখেছেন।

যাঁদের ক্রিপ্টোকারেন্সিতে বিনিয়োগ, মাইনিং, আরবিট্রাজ, পুরোনো এক্সচেঞ্জ অ্যাকাউন্ট বা ফোরামে কার্যকলাপ রয়েছে, তাঁদের ঝুঁকি শুধু পাসওয়ার্ড পরীক্ষা করার মধ্যে সীমাবদ্ধ নয়। আক্রমণকারীরা পুরোনো BTC-E সদস্যতার উল্লেখ করে ভুয়া ব্যালেন্স ফেরত, অ্যাকাউন্ট পুনরুদ্ধার, ওয়ালেট যাচাই, মামলা-সংক্রান্ত অর্থপ্রদান, এক্সচেঞ্জ পুনরায় চালু হওয়া বা সম্পদ উত্তোলনের বিজ্ঞপ্তি পাঠাতে পারে। বর্তমান এক্সচেঞ্জ অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে এ ধরনের বার্তা আরও সতর্কভাবে যাচাই করা উচিত।

আপনার তথ্যের মিল পাওয়া গেলে প্রথমেই ইমেইল অ্যাকাউন্ট সুরক্ষিত করতে হবে। ইমেইল অ্যাকাউন্টে একটি শক্তিশালী ও অন্য কোথাও ব্যবহার না করা পাসওয়ার্ড দিতে হবে, একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করতে হবে, পুনরুদ্ধারের ঠিকানা যাচাই করতে হবে এবং চালু সেশনগুলো নিয়ন্ত্রণে আনতে হবে। এরপর BTC-E ব্যবহারের সময় যে পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে, অন্য যেসব অ্যাকাউন্টে সেটি একই বা কাছাকাছি রূপে ব্যবহার করেছেন, সেগুলোতে ওই পাসওয়ার্ডের ব্যবহার বন্ধ করতে হবে। এই যাচাইয়ের তালিকায় ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, ওয়ালেটের সঙ্গে যুক্ত সেবা, ফোরাম, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং পুরোনো বিনিয়োগের টুলগুলো রাখতে হবে।

অ্যাকাউন্টের ব্যালেন্স বা পুরোনো স্টক-সংক্রান্ত রেকর্ডের বিষয়ে আসা বার্তার লিংকে ক্লিক করার আগে স্বাধীনভাবে যাচাই করতে হবে। ওয়ালেট সিড, প্রাইভেট কী, এক্সচেঞ্জের যাচাইকরণ কোড, পরিচয়পত্র বা অর্থপ্রদান চাওয়া বার্তাকে অবিশ্বস্ত হিসেবে বিবেচনা করা উচিত। ক্রিপ্টোকারেন্সি অ্যাকাউন্টে উত্তোলনের অনুমোদিত ঠিকানার তালিকা, লগইনের বিজ্ঞপ্তি, ডিভাইস ব্যবস্থাপনা ও লেনদেন অনুমোদনের মতো নিরাপত্তা নিয়ন্ত্রণও চালু করা উচিত। একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর প্রতিটির জন্য আলাদা পাসওয়ার্ড না দেওয়া পর্যন্ত সেগুলোকে নিরাপদ হিসেবে বিবেচনা করা যায় না।

ক্রিপ্টোকারেন্সি অ্যাকাউন্টের দীর্ঘমেয়াদি সুরক্ষার জন্য আলাদা ইমেইল ঠিকানা, অন্য কোথাও ব্যবহার না করা পাসওয়ার্ড, হার্ডওয়্যার বা অ্যাপের মাধ্যমে একাধিক উপাদানভিত্তিক পরিচয় যাচাই এবং উত্তোলনের সীমা ব্যবহার করা উচিত। পুরোনো এক্সচেঞ্জ অ্যাকাউন্ট বন্ধ হয়ে গেলেও সেগুলোর তথ্য আক্রমণের লক্ষ্যবস্তুর তালিকায় থেকে যেতে পারে। ব্যবহারকারীদের পুরোনো এক্সচেঞ্জ, ফোরাম ও ওয়ালেট সেবায় ব্যবহৃত ইমেইল ঠিকানাগুলোর তালিকা তৈরি করা উচিত; গুরুত্বপূর্ণ অ্যাকাউন্টে ব্যবহৃত ঠিকানা ও পাসওয়ার্ড আলাদা রাখা উচিত।

পাসওয়ার্ড ম্যানেজার ব্যবহার করা এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা অতীতের এক্সচেঞ্জের তথ্য ফাঁসের কারণে বারবার অপব্যবহারের চেষ্টার ঝুঁকি কমায়। ক্রিপ্টোকারেন্সি ব্যবহারকারীদের ভুয়া অর্থ ফেরত, মামলা, সম্পদ পুনরুদ্ধার ও এক্সচেঞ্জ আবার চালু করার বার্তা যাচাই করার নিয়মিত অভ্যাসও গড়ে তোলা উচিত। কোনো নির্ভরযোগ্য সেবা ওয়ালেট সিড বা প্রাইভেট কী চায় না। পুরোনো BTC-E পরিচয়ের সঙ্গে যুক্ত ইমেইল ঠিকানা ও ব্যবহারকারীর নাম এখনো ব্যবহার করা হলে এসব অ্যাকাউন্টে বাড়তি নিরাপত্তার স্তরকে অপরিহার্য হিসেবে বিবেচনা করা উচিত।

BTC-E-এর ক্ষেত্রে মিল পাওয়ার অর্থ হলো, যাচাই করা ইমেইল ঠিকানাটি 1 অক্টোবর 2014 তারিখের BTC-E ডেটাসেটে পাওয়া গেছে। এই ফলাফল বোঝায় যে ইমেইল ঠিকানার পাশাপাশি অ্যাকাউন্টের ব্যালেন্স, IP ঠিকানা, পাসওয়ার্ড, ব্যবহারকারীর নাম ও সাইটে কার্যকলাপের মতো তথ্যও ঝুঁকিতে থাকতে পারে। ফলাফলে মিল না পাওয়ার অর্থ কেবল এই নির্দিষ্ট রেকর্ডে কোনো মিল পাওয়া যায়নি; এ থেকে এমন সিদ্ধান্ত নেওয়া উচিত নয় যে ওই ব্যক্তি অন্য কোনো ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, ফোরাম বা ওয়ালেটের তথ্যসংক্রান্ত ঘটনায় জড়িত ছিলেন না।

যথাযথ করণীয় হলো ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা, অন্য সব অ্যাকাউন্টে পুরোনো BTC-E পাসওয়ার্ডের ব্যবহার বন্ধ করে আলাদা পাসওয়ার্ড দেওয়া, বর্তমান ক্রিপ্টোকারেন্সি অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা, উত্তোলন ও সেশনের নিরাপত্তা সেটিংস পরীক্ষা করা এবং BTC-E-সম্পর্কিত বার্তাকে সন্দেহের চোখে দেখা। বিশেষ করে ব্যালেন্স ফেরত, পুনরুদ্ধার, যাচাই ও পুরোনো অ্যাকাউন্ট খুলে দেওয়ার বার্তা স্বাধীন মাধ্যমে যাচাই করা উচিত। পুরোনো এক্সচেঞ্জের তথ্যকে বর্তমান অ্যাকাউন্টের নিরাপত্তার জন্য বাস্তব সতর্কসংকেত হিসেবে বিবেচনা করা উচিত।