ক্রিপ্টো হ্যাকিং ২০২৬, বাইন্যান্সের ৬৩০ কোটি ডলারের চুরি, রেকর্ড হামলা আর এতে AI-এর ভূমিকা

বাইন্যান্স হ্যাক কীভাবে ঘটল

2026 সালের ক্রিপ্টো হ্যাকিংয়ের হিসাব ঘুরিয়ে দেওয়া ঘটনাটি ঘটে 29 অক্টোবর। বাইন্যান্স থেকে চুরি হয় প্রায় $6.3B, ইতিহাসের সবচেয়ে বড় ক্রিপ্টো চুরি। হামলাকারী সাইনিং অবকাঠামো দখল করে EIP-7702 ব্যাচ চালায়, কোনো স্মার্ট-কন্ট্রাক্ট বাগ ছিল না। বাইন্যান্সের প্রাথমিক তদন্ত বলছে, এর পেছনে ছিল কয়েক মাসের প্রস্তুতি।

পরিমাণ নির্ভর করে কে গুনেছে তার উপর। বাইন্যান্সের হিসাবে প্রায় $6.34B, TRM Labs-এর $6.36B, Chainalysis-এর প্রায় $6.4B, আর Elliptic-এর $6.43B, 11টি চেইন জুড়ে। TRM-এর হিসাবে মূল লুট হয় 20:05 UTC থেকে প্রায় 20 মিনিটে, তবে হামলাকারীর কোড বাইন্যান্সের মূল ইথেরিয়াম ওয়ালেট চালিয়েছে 23:56 UTC পর্যন্ত।

TRM, Fireblocks ও Blockaid হ্যাকটিকে ধরেছে সাইনিং-অবকাঠামো দখল হিসেবে; এতে স্মার্ট-কন্ট্রাক্ট এক্সপ্লয়েট ছিল না। 20:20 UTC-তে একটি ট্রানজেকশন একটি বাইন্যান্স হট ওয়ালেট থেকে বহন করে 50টি আগে-সই-করা EIP-7702 অনুমতি। Fireblocks-এর পড়ায় কৌশল ছিল এমন, যেন অন্তত একটি অনুমতি প্রসেস হওয়া মাত্র বৈধ থাকে। EIP-7702 হলো 2025-এর মে থেকে চালু একটি নিয়ম, যা একটি সইয়ের মাধ্যমে ওয়ালেটের কোড একটি কন্ট্রাক্টের হাতে দিয়ে দেয়।

ব্যাচটি ওয়ালেট তুলে দেয় হামলাকারীর একটি সুইপার কন্ট্রাক্টের হাতে। এক ট্রানজেকশনে উঠে যায় 167,464 ETH আর $1.615B ইউএসডিটি; এরপর দ্বিতীয় ওয়ালেট থেকে $780M ইউএসডিসি। TRM-এর হিসাবে প্রস্তুতি চলেছে অন্তত 36 ঘণ্টা আগে থেকে, অর্থায়ন Tornado Cash দিয়ে।

প্রবেশপথ নিয়ে বাইন্যান্সের ভাষ্য দুবার বদলেছে। প্রথম পোস্টে @binance একটি দখলকৃত মেশিনের কথা বলে।

Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. We have found no evidence of any wallet private key leak.

একই দিনের পরের আপডেটে @binance আরও কয়েকটি অনুপ্রবেশ-বিন্দুর কথা জানায়।

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. … The outflows ceased when we paused withdrawal service earlier. We are still working with partners to freeze many of the impacted assets, and have frozen around $3 billion thus far.

3 নভেম্বর বাইন্যান্সের X অ্যাকাউন্টে প্রকাশিত প্রাথমিক তদন্তের ফল কয়েক মাস ধরে চলা একটি অভিযানের ছবি দেয়।

• জুন 2026, বিষ মেশানো ইনস্টলার। ওয়ালেট টিমের এক DevOps ইঞ্জিনিয়ার একটি জনপ্রিয় AI কোডিং টুল খুঁজতে গিয়ে কারসাজি করা একটি Homebrew ইনস্টলেশন নামিয়ে ফেলেন। বাইন্যান্স সেটি ধরে ফেলে, ডিভাইস বদলে দেয় ও ক্রেডেনশিয়াল ঘুরিয়ে দেয়, কিন্তু ততক্ষণে হামলাকারীরা জেনে গিয়েছিল ওয়ালেট টিমে কারা কাজ করে।
• সেপ্টেম্বর, ভুয়া চাকরির ইন্টারভিউ। চাকরি খোঁজার একটি প্ল্যাটফর্মে দ্বিতীয় এক ইঞ্জিনিয়ারের সঙ্গে যোগাযোগ করা হয়। তিনি একটি কাল্পনিক কোম্পানির দুই দফা ইন্টারভিউ দেন এবং অফিসের কম্পিউটারে একটি টেস্ট "অ্যাসাইনমেন্ট" নামান। বাইন্যান্স বলছে, ভেতরের জিরো-ডে ম্যালওয়্যার তার এন্ডপয়েন্ট প্রোটেকশন ধরতে পারেনি।
• 20 অক্টোবর, অভ্যন্তরীণ AI টুল হলো লাফ দেওয়ার তক্তা। সেই কম্পিউটার থেকে হামলাকারীরা বাইন্যান্সের একটি অভ্যন্তরীণ AI টুল ব্যবহার করে প্রথম ইঞ্জিনিয়ার ও তৃতীয় আরেকজনের নিয়ন্ত্রণ নেয়, আর DevOps ইঞ্জিনিয়ারের মেশিনে পায় একটি কন্টেইনার ডিপ্লয়মেন্ট টোকেন।
• 29 অক্টোবর, সাইনিং সার্ভিস। 17:15 থেকে 19:56 UTC-র মধ্যে তারা তৃতীয় ইঞ্জিনিয়ারের কম্পিউটারে লগ ইন করে, চুরি করা ক্রেডেনশিয়াল দিয়ে একটি কন্টেইনার ডিপ্লয় করে এবং সেই স্ক্রিপ্ট চালায়, যা ওয়ালেট সাইনিং সার্ভিসে পৌঁছায়।

রিপোর্টটি 30 অক্টোবরের সেই কথাও শুধরে দেয় যে উইথড্রয়াল বন্ধ হতেই টাকা বেরোনো থেমেছিল। EIP-7702 ডেলিগেশনগুলো ছিল অন-চেইনে, বাইন্যান্সের উইথড্রয়াল সিস্টেমের বাইরে কাজ করে যাচ্ছিল, আর MPC (মাল্টি-পার্টি কম্পিউটেশন) হট ওয়ালেটে এমন কোনো একক কী ছিল না, যা দিয়ে সবগুলো একসঙ্গে বাতিল করা যায়। এই তথ্য বাইন্যান্সের নিজের ও প্রাথমিক, স্বাধীন পর্যালোচনা এখনো বাকি।

চুরি হওয়া অর্থ কোথায় গেল আর কতটা জব্দ হলো

এখনো পর্যন্ত হামলাকারীর হাতে রয়ে গেছে প্রায় $3.0B। ইস্যুয়াররা ফ্রিজ করেছে মোট চুরির 42-45%, প্রায় সবটাই স্টেবলকয়েন। আটকানো টাকা এখনো কারও কাছে ফেরত যায়নি।

হামলাকারীর প্রথম দৌড় ছিল ফ্রিজের আগে স্টেবলকয়েন বদলানো। Bitquery-র হিসাবে ফ্রিজ পড়ার আগেই $729M ইউএসডিটি বেরিয়ে যায়। $495M UniswapX ও 1inch দিয়ে ETH হয়, প্রায় 16% বাড়তি দামে, আর $234M SunSwap-এ TRX হয়; এই তাড়াহুড়োয় বাজারদরের তুলনায় হামলাকারীর খরচ হয় প্রায় $119M। Elliptic ও Hacken ফ্রিজের আগের রূপান্তর ধরে প্রায় $786M।

Aave হামলাকারীকে ফ্রিজ-যোগ্য ইউএসডিটি ETH-তে বদলানোর পথ দেয়। Aave গভর্নেন্সের রেকর্ড অনুযায়ী হামলাকারী Aave V3-তে জমা দেয় $60M ইউএসডিটি, ধার নেয় 19,762 WETH, প্রায় $44.6M। ব্ল্যাকলিস্ট Aave-এর শেয়ার্ড রিজার্ভে জমা কোল্যাটারেল পর্যন্ত পৌঁছায় না; 3 নভেম্বর পর্যন্ত পজিশনটি খোলা।

Chainalysis ঘটনার মধ্যেই টাকার গতিপথ ধরে রেখেছিল।

The Binance exploiters are rushing to stay a step of stablecoin freezes. One method we're tracking involves stashing their stablecoins in DeFi protocols. Then claiming them back on new, clean addresses. … Circle and Tether have already contributed to $2.8 billion in freezes so far. … swapping freezable stablecoins on one side with unfreezable ETH on the other.

চুরির প্রায় $628M ছিল ট্রনে, TRM-এর হিসাবে প্রায় 613M ইউএসডিটি আর 46M TRX; Bitquery-র হিসাবে টিথার সেখানে ফ্রিজ করে প্রায় 379M ইউএসডিটি। Elliptic মেপেছে ঘণ্টায় $7M থেকে $11M পেআউট, টানা 31 ঘণ্টা, প্রায় 200টি ওয়ালেট জুড়ে, যা তাদের ভাষায় প্রায় নিশ্চিতভাবে সফটওয়্যার-চালিত।

প্রথম ঘণ্টাতেই যাদের কাছে ফ্রিজের বোতাম আছে, তারা সেটি টেপে। 29 অক্টোবর 21:25 UTC-তে টিথারের সিইও পাওলো আরদোনো তার @paoloardoino অ্যাকাউন্টে প্রথম সংখ্যা পোস্ট করেন।

Tether froze more than 1.567B USDT related to a potential Binance exchange hack. Protecting the industry and our partners is our main priority.

সেই প্রথম গণনা ছিল সব চেইন মিলিয়ে, পরে তা বেড়ে দাঁড়ায় প্রায় 1.76B ইউএসডিটি-তে। সার্কেল ফ্রিজ করে $823M ইউএসডিসি, WLFI আটকায় তার USD1-এর $27.8M, Arbitrum সিকিউরিটি কাউন্সিল ফ্রিজ করে প্রায় $30M, আর Ripple ফ্রিজ করে $40.5M RLUSD। সব মিলিয়ে ফ্রিজ দাঁড়ায় TRM-এর হিসাবে প্রায় $2.7B, বা চুরির 42%, আর Elliptic ও বাইন্যান্সের হিসাবে $2.85B, বা 44-45%।

বাইন্যান্সের দুই মাস আগে Cronos যেকোনো ইস্যুয়ারের চেয়ে বেশি দূর গিয়েছিল। Tectonic এক্সপ্লয়েট উল্টে দিতে তার ভ্যালিডেটররা নেটওয়ার্ক থামিয়ে 10,961টি ব্লক, প্রায় দুই ঘণ্টার ইতিহাস, পিছিয়ে দেয়। এই রোলব্যাক প্রায় $111.2M ফিরিয়ে আনে, একই সময়ের অসম্পর্কিত ট্রানজেকশনও মুছে দেয়, আর ধরতে পারেনি প্রায় $9.19M, যা আগেই ব্রিজ দিয়ে বেরিয়ে গিয়েছিল।

DropsTab টিম এমন 15টি হস্তক্ষেপের তালিকা করেছে, 2016-এর The DAO ফর্ক থেকে বাইন্যান্স হ্যাকারের টাকায় Arbitrum সিকিউরিটি কাউন্সিলের পদক্ষেপ পর্যন্ত।

কী আপনার না হলে কয়েনও আপনার নয়। যদি না চেইন অন্য কথা বলে। এই সপ্তাহে Arbitrum বাইন্যান্স হ্যাকারের $30M সরিয়ে দিয়েছে। কোনো কী নেই, কোনো সই নেই। এ বছরে দ্বিতীয়বার।

3 নভেম্বর পর্যন্ত আটকানো কিছুই ছাড়া হয়নি। সেদিনের Bitquery-র স্ন্যাপশট বলছে, হামলাকারীর কাছে তখনো প্রায় $3.0B (300 কোটি ডলার), তার মধ্যে $1.40B BTC-তে, $1.22B ETH-তে, $292M XRP-তে আর $75M SOL-এ। ETH-র স্তূপ প্রায় 540,000 টোকেন, আর তাতে ধরা আছে বদলানো স্টেবলকয়েনে কেনা ETH-ও।

আপনার হাতে USDT বা USDC থাকলে তার ইস্যুয়ার একইভাবে আপনার ব্যালেন্সও ফ্রিজ করতে পারে।

ব্যবহারকারীরা কি টাকা ফিরে পাবেন আর হ্যাকের নেপথ্যে কারা

বাইন্যান্স সব ক্ষতি SAFU ফান্ড ও নিজের টাকায় শোধের কথা বলেছে এবং জানায়, 31 অক্টোবরের মধ্যে আক্রান্ত টোকেন-সম্পদের 98% পূরণ হয়েছে; এগুলো তার নিজের বিবৃতি, পেছনে স্বাধীন অডিট নেই। এফবিআই দায় দিয়েছে উত্তর কোরিয়াকে, বাইন্যান্সের 3 নভেম্বরের রিপোর্টও সেই সিদ্ধান্ত উদ্ধৃত করে, আর উত্তর কোরিয়া অভিযোগ অস্বীকার করেছে।

দায় নির্ণয় একটি মূল্যায়ন, এ লেখাও তা-ই রাখছে। TRM উচ্চ আত্মবিশ্বাসের সঙ্গে বলে, কাজটি করেছে উত্তর কোরিয়ার TraderTraitor; Chainalysis নিজেদের পড়া পোস্ট করে।

Our investigators observed funds stolen by DPRK in last month's Bitget exploit commingling with funds stolen from Binance. We have a high degree of confidence that DPRK is responsible for the $6.4 billion hack of Binance.

31 অক্টোবরের এফবিআই সতর্কবার্তা বলে, $6B-এর বেশি চুরির দায় উত্তর কোরিয়ার, আর হামলাকারীর ঠিকানার তালিকা প্রকাশ করে। বাইন্যান্সের 3 নভেম্বরের রিপোর্ট এফবিআই-র এই সিদ্ধান্ত উদ্ধৃত করে যে দায় উত্তর কোরিয়ার, অন্যদিকে উত্তর কোরিয়া অভিযোগ অস্বীকার করেছে।

বাইন্যান্স কথা দিয়েছে, সব ক্ষতি শোধ হবে SAFU ফান্ড ও কোম্পানির টাকায়। কোম্পানি বলছে, 31 অক্টোবরের মধ্যে আক্রান্ত টোকেন-সম্পদের 98% পূরণ করা হয়েছে, যা তার প্রুফ-অব-রিজার্ভ পেজে দেখা যায়। এগুলো বাইন্যান্সের নিজের বিবৃতি; পেছনে কোনো স্বাধীন অডিট নেই।

উইথড্রয়াল ধাপে ধাপে খুলছে 1 নভেম্বর থেকে, আগে বিটকয়েন ও ইথেরিয়াম। প্রথম দিনেই নিট বেরিয়ে যায় $3.6B-এর বেশি।

2026 সালে মোট কত ক্রিপ্টো হ্যাকিং হলো আর কত চুরি গেল

TRM Labs-এর 30 অক্টোবরের হিসাবে 2026 সালে এ পর্যন্ত চুরি হয়েছে রেকর্ড $8.7B, তার বেশির ভাগই বাইন্যান্সের $6.36B। বাইন্যান্স বাদ দিলে বাকি দশ মাসের হিসাব মোটামুটি 2025-এর প্রথম ছয় মাসের সমান, আর প্রথমার্ধে ঘটনার সংখ্যাও ছিল রেকর্ড।

প্রথম ছয় মাস ফ্রিকোয়েন্সির রেকর্ড গড়ে। TRM Labs 207টি ঘটনা গুনেছে 2026-এর প্রথমার্ধে, এক বছর আগে ছিল প্রায় 83; চুরি $972M (97.2 কোটি ডলার), 2025-এর প্রথমার্ধের $2.3B-এর (230 কোটি) বিপরীতে। TRM সতর্ক করেছিল, এই পতনের কারণ শুধু 2025-মাপের কোনো বিশাল চুরির অনুপস্থিতি।

বাইন্যান্সের ঘটনা TRM-এর বছর-শুরু-থেকে মোট তুলে আনে রেকর্ড $8.7B-এ, যা ক্রিপ্টোতে সব সময়ে চুরি হওয়া প্রায় $28B-এর প্রায় 31%। TRM-এর বাইন্যান্স-সংখ্যা $6.36B বাদ দিলে, যে সংখ্যা কোনো ভেন্ডর প্রকাশ করে না, 2026 দাঁড়ায় প্রায় $2.3B-এ।

প্রথমার্ধের দুই শিরোনামের ফারাক মেথডলজিতে। TRM 2025-এর ঘাঁটিতে $1.5B বাইবিট-চুরি রাখে, তাই 2026-এর প্রথমার্ধ পড়া যায় -57%; CertiK বাইবিট বাদ দিয়ে পড়ে +28%, তার H1 রিপোর্টে। CertiK-এর তৃতীয় প্রান্তিকের ড্যাশবোর্ড, বাইন্যান্সের আগে সর্বশেষ আপডেটে, 255টি ঘটনায় $1.28B যোগ করে। ভেন্ডরদের সংখ্যা আমরা কখনো পরস্পরের সঙ্গে তুলনা করি না।

পাবলিক ঘটনা-রিপোর্ট থেকে বানানো ও 3 নভেম্বর পোস্ট করা আমাদের নিজেদের গণনাও TRM-এর কাছাকাছি, 328টি হ্যাকে $8.78B চুরি, যার 72% একা বাইন্যান্সের।

2026 ইতিমধ্যেই ইতিহাসের সবচেয়ে খারাপ বছর, 328টি হ্যাকে $8.78B চুরি। 2021-2023 মিলিয়েও এর চেয়ে কম। এর 72% একা বাইন্যান্সের।

TRM-এর হিসাবে উত্তর কোরিয়ার অংশ 2026-এর চুরিতে বাইন্যান্স মিলিয়ে 85%, বাদ দিলে প্রায় 45%; এ বছর $7.4B, সর্বকালের হিসাবে $12.8B। TRM জানায়, 2017 থেকে উত্তর কোরিয়ার 100টি চুরির মাত্র 13টিতে কন্ট্রাক্ট কোড এক্সপ্লয়েট হয়েছে।

TRM 207টির 125টি ঘটনায় স্মার্ট-কন্ট্রাক্ট এক্সপ্লয়েট গুনেছে, অথচ টাকায় তাদের ভাগ অনেক ছোট। Blockaid-এর নিজস্ব H1 2026 রিপোর্ট বলছে, 212টি ঘটনায় চুরি হওয়া $1.1B-এর 74%-এর পেছনে অপারেশনাল সিকিউরিটিতে হামলা। Polymarket-এর 2026 সালের ঘটনাগুলোও এই ভাগেই পড়ে: ব্যবহারকারীরা টাকা হারিয়েছেন ওয়েবসাইটের মাধ্যমে, কন্ট্রাক্টের মাধ্যমে নয়, যা আমরা Polymarket হ্যাকের বিশ্লেষণে দেখিয়েছি।

DropsTab Research-এর পাবলিক লাজারাস গ্রুপ পোর্টফোলিও গ্রুপটির আগের দায়-নির্ণীত লুট নথিভুক্ত করে, যার শীর্ষে 2025-এর বাইবিট চুরি; ফলো করার নিয়ম শেষ সেকশনে।

2026 সালের সবচেয়ে বড় ক্রিপ্টো হ্যাকগুলো এবং তাদের কৌশল

2026-এর পাঁচটি বৃহত্তম চুরির চারটিতে কোনো স্মার্ট-কন্ট্রাক্ট বাগ লাগেনি। বাইন্যান্স, Bitget, KelpDAO ও Drift চলেছে কী, সাইনিং বা সোশ্যাল-ইঞ্জিনিয়ারড অপারেটর দিয়ে। বড় ব্যতিক্রম শুধু Liquid Network-এর কোড-বাগ।

ক্ষতির ক্রমে বাইন্যান্স বাইবিটের আগের রেকর্ডকে ছাড়িয়ে যায় চার গুণেরও বেশিতে, আর 2026-এর বাকি সব চুরি থেকে গেছে রোনিনের 2022 সালের $625M-এর নিচে।

2010 থেকে প্রতিটি বছর মিলিয়ে DropsTab টিম 1,200-এর বেশি হ্যাক হওয়া প্রজেক্ট আর প্রায় $27.6B চুরি গুনেছে, আর তার মধ্যে সবচেয়ে বড়গুলো একটি চার্টে সাজিয়েছে।

ক্রিপ্টোর প্রায় সবাই অন্তত একবার হ্যাক হয়েছে। 1,200+ প্রজেক্ট। $27.6B চুরি।

Bitget বছরের আরেকটি এক্সচেঞ্জ-হ্যাক, বাইন্যান্সের পাঁচ সপ্তাহ আগে, আর আকার নিয়ে বিতর্ক রয়ে গেছে। সিইও গ্রেসি চেন 24 সেপ্টেম্বরের চুরি ধরেন $351.6M, Halborn ও CertiK $387.5M, ZachXBT $388M। Halborn-এর ব্যাখ্যায় প্রবেশ হয়েছে তৃতীয় পক্ষের একটি সিকিউরিটি প্রোডাক্টের ত্রুটি দিয়ে, যা ইন্টারনাল ক্রেডেনশিয়াল ফাঁস করে দেয়।

ZachXBT পরে অন-চেইনে দুই চুরির সংযোগ ধরেন।

Update: Stolen funds from the $6.3B Binance exploit and $388M Bitget exploit were commingled at the same address 45 minutes ago, after arriving via THORChain. This indicates the same actor is likely behind both incidents.

Liquid 2026-এর একমাত্র বড় ক্ষতি, যার কারণ কোড-বাগ। Blockstream-এর পোস্ট-মর্টেম জানায়, Elements সফটওয়্যারের একটি রেঞ্জ-প্রুফ ক্যাশিং বাগ পেছনে কোনো বিটকয়েন ছাড়াই প্রায় 4,000 L-BTC মিন্ট করে দেয়, কোনো কী দখল হয়নি। দর-কষাকষির পর স্বঘোষিত হোয়াইট হ্যাটরা 3,400 BTC ফেরত দেয়, বাকি থাকে প্রায় 602 BTC।

KelpDAO-এর ব্রিজ বিশ্বাস করেছিল একটি একক LayerZero ভেরিফায়ারে, এক-এর-মধ্যে-এক DVN-এ, আর আক্রমণকারীরা তাকে ভুয়া ডেটা খাইয়েছে। Drift-এর আক্রমণকারীরা আগে থেকে সই করা একটি অ্যাডমিন হস্তান্তর পরে সোলানায় চালিয়েছে। দুটোর কোনোটিই কন্ট্রাক্ট কোডে ছিল না।

Cronos-এর লেন্ডিং প্রোটোকল Tectonic লুট হয় তার কোল্যাটারেলের পথে। Cronos-এর পোস্ট-মর্টেম অনুযায়ী 30 আগস্ট হামলাকারী কম লেনদেনের TONIC টোকেনের দাম ফুলিয়ে তোলে, সেটি কোল্যাটারেল হিসেবে জমা দেয় এবং নয়টি মার্কেট থেকে $120.4M ধার নেয়। এরপর চেইন নিজেই ক্ষতির বেশির ভাগ উল্টে দেয়।

KelpDAO এক্সপ্লয়েটের পর লেন্ডিং প্রোটোকলের ঘাড়ে প্রায় $200M ব্যড ডেট চাপানোর হিসাব Aave-এর প্রতিষ্ঠাতা স্তানি কুলেচভ নিজে ভেঙে দেখান।

বাইবিটের 2025-এর ফেব্রুয়ারির প্রায় $1.5B হ্যাক বাইন্যান্সের আগ পর্যন্ত রেকর্ড ধরে রেখেছিল। মার্কিন মামলায় আদালত 2026-এর আগস্টে দেয় প্রাথমিক ইনজাংশন, $48.4M উদ্ধার আর $30.5M ফ্রিজসহ; একটি সার্বভৌম প্রতিপক্ষের বিপরীতে তবু বেশির ভাগই প্রতীকী।

হ্যাকের পর টোকেনের কী পরিণতি হয়

এক্সচেঞ্জ-হ্যাক টোকেনের সাপ্লাই ছুঁয়ে দেখে না; ইতিহাসের সবচেয়ে বড় চুরির পরও BNB-এর মোট সাপ্লাই 131,511,243-এ আছে, অর্থাৎ 13.15 কোটির ক্যাপে। মিন্ট হ্যাক হলো সাপ্লাই-ঘটনা; তার পরিণতি নির্ভর করে বার্ন, রি-ব্যাকিং, রিইস্যু বা মাইগ্রেশন আর ফ্রিজ-সম্ভাবনার উপর।

মিন্ট এক্সপ্লয়েট এমন সাপ্লাই বানায়, যা হয় ফেরত নেওয়া হয়, নয়তো বাজারের উপর ঝুলে থাকে; অক্টোবরে যোগ হয়েছে দুটি নতুন নাম, Cysic টোকেন আর Initia টোকেন। টেবিলে 2026-এর প্রতিটি যাচাইকৃত মিন্ট, দাম ছাড়া সাপ্লাই-পরিণতি নিয়ে; BNB এতে নেই, কারণ এক্সচেঞ্জ-চুরি শুধু ব্যালেন্স সরায়।

লঞ্চ-দিনে Initia-র স্মার্ট-কন্ট্রাক্ট ইঞ্জিনের একটি বাগ কাজে লাগিয়ে হামলাকারী 23 অক্টোবর 2M ব্রিজড AUSD মিন্ট করে প্রায় $2.7M নগদ করে নেয়, আর Agora বলছে, Initia-তে তার কোনো AUSD কন্ট্রাক্ট নেই, তাই ইস্যুয়ার কিছুই ফ্রিজ করতে পারেনি।

আনক্যাপড টোকেনে তারিখ-দেওয়া সাপ্লাই স্ন্যাপশটের সঙ্গে মিলিয়ে দেখুন। আগস্টে প্রায় 4B ONE মিন্ট হয়, হারমনির নিজের সংখ্যায় তখনকার সাপ্লাইয়ের প্রায় 26%, যা Harmony চেইনের কয়েন পেজে মিলিয়ে নেওয়া যায়; Syscoin তার মিন্ট বার্ন করেছে।

Drift প্রোটোকল নকশা-অনুযায়ী টেবিলের বাইরে। এটি ফেক কোল্যাটারেলে প্রায় $285M হারিয়েছে, কোনো DRIFT মিন্ট হয়নি।

Immunefi 2024-2025 জুড়ে 82টি হ্যাকড টোকেন পর্যবেক্ষণ করে দেখে, ছয় মাস পরেও প্রায় 84% হ্যাক-পূর্ববর্তী দামের নিচে, মধ্যমা পতন 61%। টাকা ভেতরে রেখে কোনো প্রতিষ্ঠান ধসে পড়লে পাওনাদাররা কী ফেরত পান, তা অনুসরণ করে আমাদের ক্রিপ্টো দেউলিয়াত্বের ট্র্যাকার।

KelpDAO-এর rsETH টোকেন শেষ কিস্তি 20,373.72 rsETH দিয়ে রিকভারি প্ল্যান বন্ধ করেছে, আর আনপজের পর থেকে টোকেনটি পুরোপুরি ব্যাকড।

প্রাইভেসি চেইনে সাপ্লাইয়ের সততা যাচাই অসম্ভবও হতে পারে, যেমন Zcash ধারকরা শিখেছেন 2022 থেকে 2026; বিস্তারিত Zcash বনাম Bitcoin লেখায়।

AI কি হ্যাকিং বাড়িয়ে তুলছে

বাইন্যান্সের নিজের রিপোর্ট AI টুলকে হামলার পথে রাখে। হ্যাকের শুরু একটি AI কোডিং টুলের ভুয়া ইনস্টলার দিয়ে, আর হামলাকারীরা এগিয়েছে একটি অভ্যন্তরীণ AI টুলের ভেতর দিয়ে। চুরির সই AI করেনি, আর হ্যাক-ক্ষতিতে AI-এর অংশ কোনো ভেন্ডর মাপে না। স্ক্যাম বাড়াতে AI-এর ভূমিকা অবশ্য মাপা যায়।

বাইন্যান্সের 3 নভেম্বরের তদন্ত-ফলই প্রথম প্রাথমিক সূত্র, যা রেকর্ড চুরির পথে AI-কে দুই জায়গায় রাখে। প্রথম পা রাখার সুযোগ মেলে, যখন এক ইঞ্জিনিয়ার একটি জনপ্রিয় AI কোডিং টুল খুঁজতে গিয়ে কারসাজি করা Homebrew প্যাকেজ ইনস্টল করেন; আর 20 অক্টোবর হামলাকারীরা বাইন্যান্সের নিজের অভ্যন্তরীণ AI টুল দিয়ে আরও দুই ইঞ্জিনিয়ারের কাছে পৌঁছায়। কোনো ধাপেই চুরির সই হয়নি। AI টুলিং ছিল কেবল একটি বিশ্বস্ত পরিসর, যার ভেতর দিয়ে হামলাকারীরা চলাফেরা করতে পেরেছে, ঠিক ভুয়া চাকরির ইন্টারভিউয়ের মতো। এই রিপোর্টের আগে TRM, Fireblocks বা Aave-ফোরামের থ্রেড, কেউই AI-এর কোনো ভূমিকার কথা বলেনি।

Chainalysis পেয়েছে, AI-চালিত স্ক্যাম অপারেশন গড়ে তোলে $3.2M, AI ছাড়া $719K; প্রায় 4.5 গুণ। TRM-এর AI-ইন-ক্রাইম ইনডেক্স 2024-এর প্রায় 28 থেকে উঠেছে 100-এর মধ্যে 54-এ, ম্যাচিওর একমাত্র ক্যাটাগরি স্ক্যাম। Chainalysis-এর ডেটায় ছদ্ম-পরিচয় স্ক্যাম বছরে বছরে প্রায় 1,400% বেড়েছে।

AI-এজেন্টের নাম-করা ক্ষতি ছোটই রয়ে গেছে। Blockaid মে মাসে Bankr-এর প্রায় $216K ক্ষতি একটি প্রম্পট ইনজেকশনে সূত্রবদ্ধ করে, CertiK Zerion-এর $100K ধরে DPRK-সংশ্লিষ্ট AI সোশ্যাল ইঞ্জিনিয়ারিংয়ে; ডলারে মাপা এ দুটিই একমাত্র AI-এজেন্ট চুরি।

2026-এ কোনো AI প্রজেক্টের সবচেয়ে বড় হ্যাক হয়েছে চুরি হওয়া কী দিয়ে, AI দিয়ে নয়। সেপ্টেম্বরের ASI Alliance মিন্ট চুরি হওয়া কী দিয়ে প্রায় 2.3B অননুমোদিত FET বানায়, 3 নভেম্বর পর্যন্ত বার্ন বা রি-ব্যাকিং নিশ্চিত নয়, আর Bitquery-র ট্রেস অনুযায়ী তার একটি অংশ প্রায় 523 ETH-এ নগদ করা হয়েছে।

Bankr-এর মতো কোনো AI এজেন্টকে নিজের ওয়ালেট থেকে খরচের অনুমতি দিলে সেই অনুমতিও একই ধরনের ডেলিগেশন, যেটা বাইন্যান্স লুট করেছিল; শেষ সেকশনের EIP-7702 যাচাই সেখানেও খাটে। DropsTab-এর ফ্রি x402 ইকোসিস্টেম আর AI এজেন্টস ক্যাটাগরিতে সেই এজেন্টদের তালিকা আছে, যারা x402 পেমেন্ট স্ট্যান্ডার্ড দিয়ে টাকা নাড়াচাড়া করে।

AI 2026-এর স্ক্যামগুলোকে আরও লাভজনক করেছে, আর রেকর্ড চুরিতে AI টুল ছিল চুরি হওয়া সাইনিং অ্যাক্সেসের পথের একটি অংশ। একই কী-এর জন্য দীর্ঘমেয়াদি হুমকি কোয়ান্টাম কম্পিউটিং, যা নিয়ে লিখেছি কোয়ান্টাম-প্রতিরোধী ক্রিপ্টো লেখায়।

চুরির টাকার বাইরে হ্যাকের প্রভাব কতদূর যায়

DefiLlama-র হিসাবে হ্যাকের এক সপ্তাহে বাইন্যান্সের প্রকাশ্য-পরিচিত ওয়ালেটের মোট জমা 24.5% কমেছে, প্রায় $41.6B। এই পতনের বেশির ভাগই বাজারজুড়ে ওঠানামার বাইরে। মেগা-লুটের বড় ক্ষতি হলো সেই ধস আর ঘোরানো, চুরির অঙ্কের বাইরে।

3 নভেম্বর আমরা DefiLlama থেকে প্রকাশ্য-পরিচিত ওয়ালেটের TVL তুলে আনি। বাইবিট ও রবিনহুডের গড় -4.4% পিয়ার-বেসলাইনের তুলনায় বাইন্যান্সের পতনের প্রায় 20.1 পয়েন্ট, প্রায় $34B, তার নিজস্ব, আর চুরিটা নিজে ব্যাখ্যা করে মাত্র প্রায় 3.8 পয়েন্ট। বাড়তি পতনের একটি অংশ BNB-র দামের কারণেও হতে পারে।

যে সপ্তাহে বাজার পড়েছে, সেই সপ্তাহে OKX বেড়েছে 59.8%, প্রায় $10.8B, যা বাইন্যান্স থেকে বেরিয়ে যাওয়া টাকার মোটামুটি এক-চতুর্থাংশ।

Aave প্রোটোকল 2026-এর দুই মেগা-লুটেই আঘাত পেয়েছে। এপ্রিলে KelpDAO-র পর ব্যড ডেট তার ঘাড়ে চাপে, আর TVL ছয় দিনে প্রায় $26.4B থেকে $14.3B-তে নামে; অক্টোবরে তার ইমার্জেন্সি মাল্টিসিগ ঘণ্টার মধ্যে 292টি মার্কেট ফ্রিজ করে।

টিথার ফ্রিজ-গল্পের দুই মাথায়, কর্তৃপক্ষ আর বিনিয়োগকারী হিসেবে। DropsTab-এ টিথারের ইনভেস্টর প্রোফাইলে 41টি পোর্টফোলিও কয়েন, আর তার মধ্যে এ বছরের এক্সপ্লয়েটে জড়ায় শুধু Drift, হয়তো LayerZero-ও।

DropsTab-এর ফান্ডিং রেকর্ডে Drift তুলেছে প্রায় $52M, Multicoin, Polychain, Jump আর Alameda থেকে, হারিয়েছে প্রায় $285M, তারপর রেসকিউ ঋণ লেগেছে টিথারের কাছ থেকেই, যে কোম্পানি বাইন্যান্সের চুরি হওয়া ইউএসডিটি ফ্রিজ করেছে। আমাদের রেকর্ডে এর অঙ্ক প্রায় $145M; রিকভারি টোকেন লঞ্চের সময় প্রতিবেদনে এসেছিল প্রায় $147.5M।

DropsTab-এ হ্যাকড টোকেন ও আক্রমণকারীর ঠিকানা ট্র্যাক করা

DropsTab-এর Hacked & Exploited Tokens ট্যাব হ্যাকড টোকেনের সাপ্লাই, CertiK স্কোর আর এক্সচেঞ্জ-সংখ্যা পাশাপাশি দেখায়, Drops Bot অ্যালার্ট দেখায় চুরির অ-ফ্রিজ অংশ কোথায় যায়, আর লাজারাস পোর্টফোলিও DPRK-র দায়-নির্ণীত লুট নথিভুক্ত করে। কোনোটাই টাকা ফেরত আনে না, আর তিনটিই ফ্রি।

হ্যাকের পর নজর রাখতে তিনটি ফ্রি টুল কাজে লাগে।

Hacked & Exploited Tokens ট্যাবে সাপ্লাই ও ভেন্যু দেখুন। DropsTab Research-এর ট্যাবে আছে 2026-এর এক্সপ্লয়েটের পরেও লেনদেন হচ্ছে এমন টোকেন, সার্কুলেটিং সাপ্লাই ও মোটের মধ্যে তার ভাগ, এক্সচেঞ্জ-সংখ্যা আর CertiK স্কোরসহ; Tab Builder-এ ফ্রি সর্ট ও ক্লোন করা যায়। সাপ্লাই হ্যাক-পূর্ববর্তী সংখ্যার সঙ্গে মিলিয়ে দেখুন, কারণ মিন্ট সাপ্লাই বদলায়, ভেন্যু-হ্যাক বদলায় না। বর্তমান ট্যাবে SAND আর FET-এর CertiK গ্রেড AA, DRIFT-এর BBB, CYS-এর BB, আর WEMIX-এ CertiK কভারেজ নেই।

প্রকাশিত হামলাকারী-ঠিকানা Drops Bot-এ ওয়ালেট অ্যালার্টে রাখুন। Drops Bot প্রোডাক্ট টেলিগ্রামে যেকোনো পাবলিক ঠিকানা ট্র্যাক করে; ফ্রি প্ল্যানে 20টি ওয়ালেট, 30টি নেটওয়ার্ক, ট্রন-সহ; IN ও OUT দিক-ফিল্টার, ভ্যালু-ফিল্টার, কাস্টম লেবেল, আর কোনো প্রাইভেট কী লাগে না। ওয়ালেট-অ্যালার্ট সেটআপ গাইড কনফিগারেশন দেখায়। শুধু এফবিআই, TRM, Chainalysis বা বাইন্যান্সের প্রকাশিত ঠিকানা ব্যবহার করুন। ওয়ালেট কার, সেটা যাচাইয়ের নিয়ম আছে আমাদের ক্রিপ্টো হোয়েল ট্র্যাকিং গাইডে, আর তালিকা দ্রুত পুরনো হয়ে যায়।

লাজারাস পোর্টফোলিও ফলো করুন। লাজারাস ট্র্যাকার আগের চুরিগুলো থেকে গ্রুপটির দায়-নির্ণীত লুট নথিভুক্ত করে, যার শীর্ষে বাইবিট। বাইন্যান্স-হামলাকারীর ঠিকানাগুলো আছে এফবিআই-র 31 অক্টোবরের সতর্কবার্তায়, আর সেগুলোতে ওয়ালেট অ্যালার্ট রাখলেই বাইন্যান্সের লুট সরলে দেখা যাবে।

নিজের EIP-7702 ডেলিগেশন যাচাই

বাইন্যান্স হ্যাক যে কৌশল পুনরায় ব্যবহার করেছে, তা আগেই রিটেইল ওয়ালেটে লাগে। EIP-7702, ইথেরিয়ামের Pectra আপগ্রেডের পর 2025 সালের 7 মে থেকে চালু, একটি সইয়ে ওয়ালেটের কোড একটি কন্ট্রাক্টের হাতে দিয়ে দেয়। ডেলিগেশন থাকে শূন্য-ঠিকানায় রিসেট না হওয়া পর্যন্ত, আর নির্দিষ্ট চেইনের নাম ছাড়া সই করা ডেলিগেশন প্রতিটি ইথেরিয়াম-সামঞ্জস্যপূর্ণ চেইনে কাজ করে।

Etherscan-এর EIP-7702 Authorisation List আর Revoke.cash টাকা না ছুঁয়ে ডেলিগেশন দেখায়, আর Etherscan ফিশিং ডেলিগেটদের চিহ্নিত করে। রিভোক হয় ওয়ালেটে, MetaMask-এ Account details আর Smart account অপশনে, নেটওয়ার্ক ধরে ধরে, আর তাতে গ্যাস খরচ লাগে।

2025 সালের ডিসেম্বরে arXiv-এ প্রকাশিত একটি অ্যাকাডেমিক স্টাডি ইথেরিয়ামের EIP-7702 অনুমতিগুলো অন-চেইনে স্ক্যান করে 26,000-এর বেশি ভুক্তভোগী ঠিকানা গুনেছে; অপরাধ-সংযুক্ত ডেলিগেটরা সব অনুমতির প্রায় অর্ধেক ধরে আছে, আর সবচেয়ে বড় একক ভুক্তভোগী হারিয়েছে 3,300 ETH-এর বেশি।