গুগল ক্রোমে একটি গুরুত্বপূর্ণ নিরাপত্তা প্যাচ এসেছে, কিন্তু আপনার ক্রিপ্টো ওয়ালেট এখনও ঝুঁকিতে থাকতে পারে।

লেজার CTO চার্লস Guillemet হয় প্রতি আহ্বান জানান ক্রিপ্টো ব্যবহারকারীদের গুগলের পর অবিলম্বে গুগল ক্রোম আপডেট করতে হবে। মুক্ত একটি নিরাপত্তা প্যাচ ২৬টি দুর্বলতার সমাধান করে, যার মধ্যে ৪টি গুরুতর এবং ২২টি উচ্চ তীব্রতার। 

ত্রুটিগুলোর মধ্যে মেমরি ব্যবস্থাপনার ভুল রয়েছে, যার ফলে প্রমাণীকরণবিহীন কোনো আক্রমণকারী একটি বিশেষভাবে তৈরি ওয়েবপেজের মাধ্যমে দূর থেকে ক্ষতিকারক কোড চালাতে পারে।

লেজারের সিটিও আসলে কী বলেছিলেন?

গিলেমেট এই সতর্কতাটি প্রকাশ্যে শেয়ার করেছেন এবং এর সাথে একটি সুনির্দিষ্ট পর্যবেক্ষণ যোগ করেছেন যা শুধু ক্রোম প্যাচটির মধ্যেই সীমাবদ্ধ নয়। তিনি বলেন, "এটি একটি ভালো অনুস্মারক যে আপনার মূল্যবান গোপনীয় তথ্যের জন্য আপনি আপনার ব্রাউজার বা কম্পিউটারকে বিশ্বাস করতে পারেন না।" এই মন্তব্যটি সরাসরি সেইসব ক্রিপ্টো ব্যবহারকারীদের উদ্দেশ্য করে করা হয়েছে, যারা দৈনন্দিন কার্যকলাপের জন্য ব্রাউজার-ভিত্তিক ওয়ালেট এবং এক্সটেনশনের উপর নির্ভর করেন।

এই প্যাচ চক্রে চিহ্নিত দুর্বলতাগুলো মেমরি ব্যবস্থাপনার ত্রুটির তিনটি চিরায়ত শ্রেণীতে পড়ে:

• ইউজ-আফটার-ফ্রি পরিস্থিতি, যেখানে একটি প্রোগ্রাম মেমরি মুক্ত করার পরেও তা ব্যবহার করতে থাকে।
• হিপ বাফার ওভারফ্লো, যেখানে বরাদ্দকৃত মেমরি স্পেসের বাইরে ডেটা লেখা হয়।
• সীমার বাইরের অ্যাক্সেস, যেখানে কোড মেমোরির নির্ধারিত সীমার বাইরে থেকে পড়ে বা লেখে।

এগুলোর প্রত্যেকটিকে কাজে লাগিয়ে সিস্টেম মেমরিতে পেলোড লেখা এবং রিমোট কোড এক্সিকিউশন ঘটানো সম্ভব, এবং প্রায়শই এর জন্য ব্যবহারকারীকে একটি ক্ষতিকারক ওয়েবপেজ পরিদর্শন করা ছাড়া আর কিছুই করতে হয় না।

ক্রোম এক্সপ্লয়েট কি সত্যিই আপনার ক্রিপ্টো ওয়ালেট খালি করে দিতে পারে?

আপনার ক্রিপ্টো অন-চেইনে সংরক্ষিত থাকে, সরাসরি ব্রাউজারের ভেতরে নয়। তবে, একটি কার্যকর ব্রাউজার এক্সপ্লয়েটকে প্রকৃত ক্ষতি করার জন্য সরাসরি ব্লকচেইনে পৌঁছানোর প্রয়োজন হয় না। এটি ওয়ালেট ইন্টারফেস লেয়ারকে লক্ষ্য করে, এবং সেখানেই ঝুঁকিটি বাস্তব রূপ নেয়।

মেটামাস্ক, র‍্যাবি এবং ফ্যান্টমের মতো ব্রাউজার ওয়ালেটগুলো মূলত ক্রোম এক্সটেনশন হিসেবে কাজ করে। ব্রাউজারের ভেতরে কোনো এক্সপ্লয়েট কার্যকর হলে, একজন আক্রমণকারী বিভিন্ন উপায়ে ওয়ালেটটির ইউজার ইন্টারফেসের সাথে ইন্টারঅ্যাক্ট করতে পারে।

আক্রমণকারীরা কীভাবে ওয়ালেট ব্যবহারকারীদের বিরুদ্ধে ব্রাউজার এক্সপ্লয়েট ব্যবহার করে

ব্রাউজার পরিবেশে একবার প্রবেশ করার পর, সাধারণ আক্রমণ পদ্ধতিগুলোর মধ্যে রয়েছে:

• নকল ওয়ালেটের জন্য নির্দেশিকা: মেটামাস্ক বা অন্যান্য ওয়ালেট কনফার্মেশন স্ক্রিনের অনুকরণে তৈরি ওভারলেগুলো ব্যবহারকারীদের কোনো অ্যাসেট "পুনরায় সংযোগ" করতে বা "দাবি" করতে বলে। এতে ক্লিক করলে লেনদেনটি অনুমোদিত হয়, যা আক্রমণকারীর ওয়ালেটে অর্থ স্থানান্তর করে দেয়।
• ব্যয়ের অনুমোদন: তাৎক্ষণিকভাবে তহবিল চুরি করার পরিবর্তে, এই এক্সপ্লয়েটটি একটি টোকেন অনুমোদনের স্বাক্ষর চেয়ে থাকে। এটি একজন আক্রমণকারীর স্মার্ট কন্ট্রাক্টকে ভবিষ্যতে যেকোনো সময়ে টোকেন স্থানান্তর করার অনুমতি দেয়।
• সেশন হাইজ্যাকিং: যদি এক্সপ্লয়েটটি কোনো খোলা এক্সচেঞ্জ ট্যাব থেকে সেশন কুকি ক্যাপচার করে, তবে এটি সেশন শেষ না হওয়া পর্যন্ত সেই ব্যবহারকারী হিসেবে কাজ করতে পারে এবং আর কোনো হস্তক্ষেপ ছাড়াই অ্যাসেট স্থানান্তর করতে পারে।
• ক্লিপবোর্ড এবং কীস্ট্রোকের অপব্যবহার: কিছু এক্সপ্লয়েট কপি করা ওয়ালেট অ্যাড্রেস বা পাসওয়ার্ড হাতিয়ে নেওয়ার জন্য ক্লিপবোর্ডের বিষয়বস্তু পর্যবেক্ষণ করে।

এটি কোনো তাত্ত্বিক পরিস্থিতি নয়। ২০২৫ সালের ডিসেম্বরে, ট্রাস্ট ওয়ালেট নিশ্চিত এর ক্রোম এক্সটেনশন সংস্করণ ২.৬৮-এর সাথে সম্পর্কিত একটি নিরাপত্তা ঘটনায়, ক্ষতিকারক কোড সংরক্ষিত ওয়ালেটগুলোতে প্রবেশ করে, স্মারক বাক্যাংশের অনুরোধ পাঠায়, ব্যবহারকারীর নিজের পাসওয়ার্ড ব্যবহার করে সেগুলোকে ডিক্রিপ্ট করে এবং আক্রমণকারী-নিয়ন্ত্রিত একটি সার্ভারে পাঠিয়ে দেয়। এর ফলে প্রায় ৭ মিলিয়ন ডলার হাতিয়ে নেওয়া হয়, যার মধ্যে প্রায় ৩ মিলিয়ন ডলারের বিটকয়েন এবং ৩ মিলিয়ন ডলারের বেশি মূল্যের ইথেরিয়াম অন্তর্ভুক্ত ছিল। 

প্রতিশ্রুতিশীল প্রকল্পগুলি আবিষ্কার করুন...

প্রতিশ্রুতিবদ্ধ প্রকল্প...

(বিজ্ঞাপন)

প্রবন্ধটি চলতে থাকে...

ব্লকচেইন তদন্তকারী জ্যাকএক্সবিটি শত শত ভুক্তভোগীর কথা নিশ্চিত করেছেন, যাদের চুরি করা অর্থ পাচারের জন্য চেঞ্জনাউ, ফিক্সডফ্লোট এবং কু-কয়েনের মাধ্যমে পাঠানো হয়েছিল।

এই প্রথমবার নয় যে ক্রোম নিরাপত্তা সমস্যার সম্মুখীন হয়েছে।

2025 সালের সেপ্টেম্বরে, Google patched CVE-2025-10585 হিসেবে চিহ্নিত একটি ক্রোম জিরো-ডে হলো ক্রোমের জাভাস্ক্রিপ্ট ইঞ্জিন V8-এর একটি টাইপ-কনফিউশন বাগ। টাইপ-কনফিউশন দুর্বলতার অর্থ হলো, ব্রাউজার মেমরিতে থাকা অবজেক্টগুলোকে ভুলভাবে পরিচালনা করতে পারে, যা কোড এক্সিকিউশনের পথ খুলে দেয়। গুগল সেই সময়ে নিশ্চিত করেছিল যে, প্যাচটি প্রকাশের আগেই এই ত্রুটিটি সক্রিয়ভাবে কাজে লাগানো হচ্ছিল।

সেই প্যাচ চক্রটিও বর্তমানটির মতোই একই ধাঁচ অনুসরণ করেছিল: একটি মেমরি-স্তরের ত্রুটি, বাস্তব জগতে সেটির সক্রিয় অপব্যবহার, এবং স্টেবল চ্যানেলে দ্রুত একটি সমাধান।

iOS 'ডার্কসোর্ড' এক্সপ্লয়েটটি একটি দ্বিতীয় ফ্রন্ট যোগ করে

আলাদাভাবে, Binance জারি প্রায় একই সময়ে আইওএস ব্যবহারকারীদের জন্য একটি নিরাপত্তা সতর্কতা জারি করা হয়। অ্যাপল 'ডার্কসোর্ড' নামে একটি গুরুতর এক্সপ্লয়েট চেইন শনাক্ত করেছে, যা আইওএস সংস্করণ ১৮.৪ থেকে ১৮.৭ পর্যন্ত প্রভাবিত করছিল। 

ব্রাউজার-ভিত্তিক আক্রমণের বিপরীতে, ডার্কসোর্ড হলো একটি সিস্টেম-স্তরের দুর্বলতা যা কোনো আক্রান্ত ওয়েবসাইটে প্রবেশ করার সময় ব্যবহারকারীর কোনো হস্তক্ষেপ ছাড়াই স্বয়ংক্রিয়ভাবে সক্রিয় হতে পারে। এটি ক্রিপ্টো ওয়ালেটের তথ্যসহ সংবেদনশীল ডেটা বের করে নিতে পারে এবং কার্যকর হওয়ার পর নিজের চিহ্ন মুছে ফেলতে পারে, ফলে পরবর্তীতে এটি শনাক্ত করা কঠিন হয়ে পড়ে।

ক্রিপ্টো ব্যবহারকারীদের এখনই কী করা উচিত

ব্রাউজারের দুর্বলতা নতুন কিছু নয়, কিন্তু সাধারণ ইন্টারনেট ব্যবহারকারীর তুলনায় ক্রিপ্টো ব্যবহারকারীদের জন্য এর পরিণতি আরও সরাসরি। একটি হ্যাক হওয়া ব্রাউজার সেশনের ফলে স্বাক্ষরিত লেনদেন, অনুমোদন চুরি এবং ওয়ালেট খালি হয়ে যেতে পারে, এমনকি যখন মূল সম্পদগুলো নিরাপদে অন-চেইনে থাকে।

তাৎক্ষণিক পদক্ষেপগুলো খুবই সহজ:

• আপনার ব্রাউজার সেটিংসে গুগল ক্রোমকে সর্বশেষ সংস্করণে আপডেট করুন।
• MetaMask, Rabby, এবং Phantom সহ সমস্ত ওয়ালেট এক্সটেনশন তাদের সর্বশেষ সংস্করণে চলছে কিনা তা যাচাই করুন।
• অপ্রত্যাশিত ওয়ালেট প্রম্পট, পুনঃসংযোগের অনুরোধ, বা সম্পদ দাবির বিজ্ঞপ্তির সাথে ইন্টারঅ্যাক্ট করা থেকে বিরত থাকুন।
• ডার্কসোর্ড এক্সপ্লয়েট চেইন মোকাবেলা করার জন্য আইওএস ব্যবহারকারীদের সর্বশেষ সিস্টেম সংস্করণে আপডেট করা উচিত।

এই সপ্তাহে কোন দুর্বলতাটি শিরোনামে আসছে তা নির্বিশেষে গিলেমেটের মূল বক্তব্যটি অপরিবর্তিত থাকে। আর্থিক গোপনীয় তথ্যের জন্য ব্রাউজার একটি প্রতিকূল পরিবেশ। যেসব ব্যবহারকারী শুধুমাত্র ব্রাউজার এক্সটেনশনের মাধ্যমে উল্লেখযোগ্য পরিমাণ ক্রিপ্টো হোল্ডিং পরিচালনা করেন, তাদের জন্য এই ঝুঁকির হিসাবটি পুনরায় খতিয়ে দেখা উচিত।

Resources

1. X-এ লেজার CTO চার্লস গুইলেমেট: ১ মার্চের পোস্ট

2. X-এ বিশ্বাসী ওয়ালেট২৬শে ডিসেম্বরের পোস্ট

3. সাইবার প্রেসের প্রতিবেদনগুগল ক্রোম আপডেটে আরসিই দুর্বলতাসহ ২৬টি নিরাপত্তা ত্রুটি সমাধান করা হয়েছে।

4. দ্য হ্যাকার নিউজের প্রতিবেদন: সক্রিয় V8 এক্সপ্লয়েট লক্ষ লক্ষ ব্যবহারকারীর জন্য হুমকি হয়ে ওঠায় গুগল ক্রোম জিরো-ডে CVE-2025-10585 প্যাচ প্রকাশ করেছে।