ক্রিপ্টো এভাবে চলতে পারে না: একজন ব্লকচেইন প্র্যাকটিশনারからの শিল্প স্ব-উদ্ধার উদ্যোগ

একটি ঘটনা কেবল সম্পদই কেড়ে নেয় না, আস্থাও কেড়ে নেয়। ক্রিপ্টো এভাবে চলতে পারে না; আমাদের নিজেদেরই রক্ষা করতে হবে।

লেখক: রবার্ট মাও, আরকব্লক-এর প্রতিষ্ঠাতা ও সিইও

এই নিবন্ধটি যে কেউ অবাধে পুনরুৎপাদন ও ফরওয়ার্ড করার জন্য অনুমোদিত, এই আশায় যে আরও বেশি মানুষ শিল্পকে বাঁচানোর এই আহ্বান দেখতে পাবেন।

ক্রিপ্টো এভাবে চলতে পারে না। বারবার massive চুরি শুধু সম্পদই কেড়ে নেয় না, বরং অংশগ্রহণকারীদের সমগ্র শিল্পের প্রতি আস্থাও কেড়ে নেয়। আমাদের নিজেদের বাঁচাতে হবে।

২০২৬ সালের ২৯ অক্টোবর, বাইন্যান্স-এ একটি বড় নিরাপত্তা ঘটনা ঘটে। এর প্রাথমিক ঘোষণায় অনুমান করা হয় যে প্রায় ৬.৩ বিলিয়ন ডলারের সম্পদ ক্ষতিগ্রস্ত হয়েছে, এবং ক্ষতিগ্রস্ত সম্পদের মধ্যে প্রায় ৩ বিলিয়ন ডলার জব্দ করা হয়েছে; তদন্ত প্রাথমিকভাবে একজন ডেভঅপস ইঞ্জিনিয়ারের ল্যাপটপের দিকে ইঙ্গিত করে, এবং পরবর্তীতে অন্যান্য সম্ভাব্য অনুপ্রবেশের স্থানও আবিষ্কৃত হয়। বাইন্যান্স আরও জানায় যে ওয়ালেটের প্রাইভেট কী ফাঁসের কোনো প্রমাণ পাওয়া যায়নি। ক্ষতিগ্রস্ত পরিমাণই চূড়ান্ত নেট ক্ষতি নয়, এবং সম্পূর্ণ আক্রমণ শৃঙ্খল এখনও তদন্তাধীন। [[1]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-binance)

এই উদ্যোগটি ইথেরিয়াম এবং সোলানা-র মতো ব্লকচেইন প্রকল্পের নির্মাতাদের প্রতি, এবং বাইন্যান্স, কয়েনবেস, ক্রাকেন, এবং সমস্ত এক্সচেঞ্জ, ওয়ালেট, প্রোটোকল ও নিরাপত্তা নির্মাতাদের প্রতি যারা অংশগ্রহণ করতে ইচ্ছুক: আসুন আমরা একসাথে সম্পদ সুরক্ষার ভিত্তি পুনর্নির্মাণ করি। আমি অংশগ্রহণ করতে ইচ্ছুক, এবং আমি আশা করি আরও বেশি মানুষ একসাথে কাজ করবে।

এটি ইতিমধ্যেই যথেষ্ট ভারী। কিন্তু যা আমাকে আরও উদ্বিগ্ন করে তা হলো এই ঘটনা ক্রিপ্টোর প্রতি কতটা আস্থা ধ্বংস করবে, এবং কতজন আক্রমণকারীকে এই শিল্পকে এখনও আক্রমণ করার যোগ্য লক্ষ্য হিসেবে দেখতে পরিচালিত করবে। এমনকি যদি শেষ পর্যন্ত কেউ ক্ষতি বহন করে, ক্ষতিপূরণ স্বয়ংক্রিয়ভাবে ব্যবহারকারীদের আস্থা পুনরুদ্ধার করতে পারে না, এবং একই ধরনের ধ্বংস আবার ঘটতে বাধা দিতে পারে না।

বাইন্যান্স কেবল সেই প্রবেশদ্বার যা আজ আমাদের সমস্যার মুখোমুখি হতে বাধ্য করে। দৃষ্টি সরিয়ে দেখলে, এক্সচেঞ্জ, ব্রিজ, অন-চেইন প্রোটোকল এবং ওয়ালেট দীর্ঘকাল ধরে ক্ষতের দীর্ঘ চিহ্ন রেখে গেছে। নতুন নেটওয়ার্ক ও পণ্য অবিরাম আবির্ভূত হচ্ছে, তবুও পুরনো ব্যর্থতার ধরন বারবার পুনরাবৃত্তি হচ্ছে। আমরা একটি ঘোষণা জারি করতে পারি না, কিছুক্ষণ অপেক্ষা করতে পারি না, এবং তারপর পরবর্তী ঘটনাকে রুটিন হিসেবে গণ্য করতে পারি না।

আমাদেরও স্বীকার করতে হবে যে প্রতারণা এবং শুধুমাত্র ধারণা তৈরি করে নির্মাণের দায়িত্ব না নেওয়ার প্রথা এই শিল্পকে অনেক দীর্ঘকাল ক্ষতিগ্রস্ত করেছে। যে দলগুলি গুরুত্বপূর্ণভাবে প্রযুক্তি ও অবকাঠামো নির্মাণ করে, তাদেরও হারানো আস্থার পরিণতি একসাথে বহন করতে হবে। যখন মানুষ সমগ্র ক্রিপ্টোকে প্রতারণা হিসেবে দেখবে, তখন সত্যিকারভাবে সংরক্ষণের যোগ্য প্রযুক্তি ও অন্বেষণও তার সাথে পরিত্যক্ত হতে পারে।

আরকব্লক-এর প্রতিষ্ঠাতা এবং ক্রিপ্টো ও ব্লকচেইনে একজন অনুশীলনকারী হিসেবে, আমি এমন ফলাফল মেনে নিতে ইচ্ছুক নই। আমি বিশ্বাস করি এই শিল্পের এমন মূল্য রয়েছে যা রক্ষা করার যোগ্য, এবং আমি আরও বিশ্বাস করি আমাদের নিজেদের নিরাপত্তা ভিত্তির দায়িত্ব নিতে হবে। যদি আমরা নিষ্ক্রিয়ভাবে পরবর্তী ঘটনার জন্য অপেক্ষা করতে থাকি, বারবার রক্তক্ষরণ শেষ পর্যন্ত আমাদের একসাথে নির্মিত সবকিছু ধ্বংস করে দিতে পারে।তাই, আমি এই উদ্যোগটি উত্থাপন করতে চাই: এক্সচেঞ্জ, ওয়ালেট এবং ব্লকচেইনের নির্মাতাদের যৌথভাবে সম্পদ নিয়ন্ত্রণ ও নিরাপত্তা যাচাইয়ের ভিত্তি পুনর্নির্মাণ করা উচিত, যাতে একক অনুপ্রবেশ থেকে ক্ষতির পরিধি সীমিত থাকে। নিচের সময়রেখাটি ব্যাখ্যা করে কেন পরিবর্তন প্রয়োজন; এর পরে যে প্রযুক্তিগত প্রস্তাব দেওয়া হয়েছে, আমি বিশ্বাস করি সেটিই আমরা শুরু করতে পারি।

২০০৮ সালে, সাতোশি নাকামোতো একটি পিয়ার-টু-পিয়ার ইলেকট্রনিক ক্যাশ সিস্টেম প্রস্তাব করেছিলেন, যা বিশ্বস্ত মধ্যস্থতাকারীদের উপর পেমেন্টের নির্ভরতা কমাতে চেয়েছিল। [[2]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-bitcoin) তবুও সেই সময় থেকে বড় বড় ঘটনাগুলো বারবার এই সমস্যাটি প্রকাশ করেছে যে তহবিল, অনুমোদন এবং সফটওয়্যার নির্ভরতা আবার কেন্দ্রীভূত হয়ে যাচ্ছে।

নিচে কেন্দ্রীভূত এক্সচেঞ্জ (CEX), বিকেন্দ্রীভূত এক্সচেঞ্জ (DEX), ব্রিজ এবং ওয়ালেটের মতো ক্ষেত্রগুলোর প্রতিনিধিত্বমূলক ঘটনাগুলোর কালানুক্রমিক তালিকা দেওয়া হলো। এটি সম্পূর্ণ ঘটনার ডেটাবেস নয়, বছরে বছরে ক্ষতির পরিসংখ্যানও নয়। যেখানে পরিমাণ উল্লেখ করা হয়েছে, সেগুলো ঘটনার সময়কার আনুমানিক মোট প্রভাব বোঝায়; চুরি, ফ্রিজিং এবং পরবর্তী পুনরুদ্ধার আলাদাভাবে বর্ণনা করা হয়েছে এবং স্থায়ী ক্ষতি হিসেবে একসাথে যোগ করা যাবে না।

২০০৮ · বিটকয়েন হোয়াইটপেপার

সূচনা বিন্দু

বিটকয়েন হোয়াইটপেপার আর্থিক প্রতিষ্ঠানকে মধ্যস্থতাকারী ছাড়া পিয়ার-টু-পিয়ার পেমেন্ট প্রস্তাব করেছিল।

সূত্র

২০১১–২০১৪ · Mt. Gox দীর্ঘমেয়াদি চুরি

CEX

Mt. Gox দীর্ঘমেয়াদি চুরির শিকার হয় এবং শেষে কার্যক্রম বন্ধ করে দেয়। পরবর্তীতে মার্কিন বিচার বিভাগের অভিযোগপত্রে দাবি করা হয় যে ২০১১ থেকে ২০১৪ সালের মধ্যে প্রায় ৬৪৭,০০০ BTC চুরি হয়েছিল। এটি ২০১৪ সালের একদিনের আক্রমণ ছিল না।

সূত্র

২০১২ · Bitcoinica এবং Bitfloor

CEX / কাস্টডিয়াল অবকাঠামো

Bitcoinica-র Linode হোস্টিং পরিবেশ আক্রমণের শিকার হয়; একই বছরে Bitfloor-এর এনক্রিপশনহীন ওয়ালেট ব্যাকআপ আক্রমণের প্রবেশপথ হয়ে ওঠে। প্ল্যাটফর্মের পেছনের সার্ভার এবং ব্যাকআপও সম্পদ নিরাপত্তার সীমানার অংশ।

সূত্র

২০১৫ · Bitstamp হট ওয়ালেট

CEX

Bitstamp-এর হট ওয়ালেট আক্রমণের শিকার হয় এবং পরবর্তীতে অপারেটিং পরিবেশ পুনর্নির্মাণ করা হয়। ঘটনার পরিধি এবং অফলাইন রিজার্ভের মধ্যে সরকারি পার্থক্য দেখিয়েছে যে বিচ্ছিন্নকরণ এক্সপোজারের পরিধি সীমিত করতে পারে।

সূত্র

২০১৬ · Bitfinex

CEX

Bitfinex থেকে প্রায় ১২০,০০০ BTC চুরি হয়। মাল্টিসিগনেচার ব্যবস্থার জন্য এখনও এন্ড-টু-এন্ড স্বাধীন অনুমোদন এবং যাচাই প্রয়োজন।

সূত্র ১ · সূত্র ২

২০১৬ · The DAO

অন-চেইন প্রোটোকল

The DAO চুক্তি রিএন্ট্রান্সি আক্রমণের শিকার হয় এবং প্রায় ৩.৬ মিলিয়ন ETH একটি সাব-DAO-তে স্থানান্তরিত হয়, যা পরবর্তীতে একটি ইথেরিয়াম ফর্ক ঘটায়। একটি বৈধ সম্পাদন পথ বিপর্যয়কর ব্যবসায়িক ফলাফল তৈরি করতে পারে।

সূত্র ১ · সূত্র ২

২০১৭ · Parity শেয়ার্ড ওয়ালেট লাইব্রেরি

চুক্তি ওয়ালেট

Parity শেয়ার্ড ওয়ালেট লাইব্রেরি ধ্বংস হয় এবং প্রায় ৫১৩,০০০ ETH ফ্রিজ হয়ে যায়। স্থানান্তরিত না হলেও শেয়ার্ড কোড নির্ভরতার কারণে তহবিল ব্যবহারের অযোগ্য হয়ে যেতে পারে।

সূত্র

২০১৮ · Coincheck

CEXCoincheck-এর NEM হট ওয়ালেট চুরি হয়েছিল। অফলাইন রিজার্ভ, হট ওয়ালেট অনুমতি এবং ব্যবসায়িক প্রয়োজনের মধ্যে সীমারেখা আবারও সমস্যা হয়ে দাঁড়িয়েছে।

সূত্র

২০১৯ · Binance

CEX

Binance ঘোষণা করেছে যে একটি একক লেনদেনে ৭,০০০ BTC উত্তোলন করা হয়েছে। স্বাক্ষরের আগে বড় আকারের সম্পদ বহিঃপ্রবাহ সীমিত করা প্রয়োজন।

সূত্র

২০২০ · KuCoin

CEX

KuCoin হট ওয়ালেট ঘটনা, পরবর্তীতে বহুপক্ষীয় সহযোগিতার মাধ্যমে বিপুল পরিমাণ সম্পদ উদ্ধার করা হয়। মোট চুরি হওয়া পরিমাণ এবং চূড়ান্ত ক্ষতি একই সংখ্যা নয়।

সূত্র

২০২১ · Poly Network

ক্রস-চেইন প্রোটোকল

Poly Network থেকে প্রায় $৬১২ মিলিয়ন সম্পদ স্থানান্তরিত হয় এবং পরবর্তীতে ধাপে ধাপে ফেরত দেওয়া হয়। ক্রস-চেইন অনুমোদন এবং সম্পদ নিয়ন্ত্রণ কেবল স্বাভাবিক ব্যবসায়িক পথে টিকিয়ে রাখা যায় না।

সূত্র

২০২২ · Ronin bridge

ব্রিজ

Ronin ভ্যালিডেটর অনুমতি ক্ষতিগ্রস্ত হয়, এবং ১৭৩,৬০০ ETH ও ২৫.৫ মিলিয়ন USDC স্থানান্তরিত হয়। একাধিক ভ্যালিডেটরের কী-ও একই আক্রমণ শৃঙ্খলে পড়তে পারে।

সূত্র

২০২২ · Slope wallet

ওয়ালেট

Solana ইকোসিস্টেমে Slope ওয়ালেট ঘটনা। Solana আনুষ্ঠানিকভাবে জানিয়েছে যে প্রাইভেট কী তথ্য ভুলবশত একটি অ্যাপ্লিকেশন মনিটরিং সেবায় প্রেরণ করা হয়েছিল; এটি Solana কনসেনসাসের ক্ষতি ছিল না।

সূত্র

২০২৩ · Euler

লেন্ডিং প্রোটোকল

প্রোটোকল দুর্বলতার কারণে Euler থেকে প্রায় $১৯৭ মিলিয়ন সম্পদ স্থানান্তরিত হয় এবং পরবর্তীতে উদ্ধার করা হয়। একটি একক লেনদেনে জটিল সমন্বয় ব্যবসায়িক লজিকের ত্রুটি বাড়িয়ে দিতে পারে।

সূত্র

২০২৩ · Ledger Connect Kit

ওয়ালেট সংযোগ সরঞ্জাম

Ledger Connect Kit সাপ্লাই চেইন আক্রমণের শিকার হয়, এবং ক্ষতিকারক কোড অ্যাপ্লিকেশন ফ্রন্টএন্ডে প্রবেশ করে। হার্ডওয়্যার ডিভাইস নিরাপত্তা লেনদেনের বিষয়বস্তু যাচাইয়ের বিকল্প নয়।

সূত্র

২০২৪ · DMM Bitcoin

CEX

DMM Bitcoin থেকে প্রায় $৩০৮ মিলিয়ন চুরি হয়। FBI এবং অন্যান্য সংস্থা পরবর্তীতে সংশ্লিষ্ট কর্মী এবং স্বাক্ষর শৃঙ্খলকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিং আক্রমণ প্রকাশ করেছে।

সূত্র

২০২৪ · Radiant Capital

লেন্ডিং প্রোটোকল / স্বাক্ষর

Radiant Capital থেকে প্রায় $৫০ মিলিয়ন চুরি হয়, এবং একাধিক ডেভেলপার ডিভাইস ক্ষতিগ্রস্ত হয়। বহুপক্ষীয় স্বাক্ষর এখনও সম্মিলিতভাবে দূষিত লেনদেন তথ্যের উপর নির্ভর করতে পারে।

সূত্র

২০২৫ · Bybit / Safe

CEX / ওয়ালেট ফ্রন্টএন্ড

প্রায় $১.৫ বিলিয়ন Bybit ঘটনায় Safe ডেভেলপার পরিবেশ এবং ফ্রন্টএন্ড জড়িত ছিল, এবং স্বাক্ষরকারীরা এমন একটি লেনদেন অনুমোদন করেন যা ওয়ালেট নিয়ন্ত্রণ লজিক পরিবর্তন করে।

সূত্র ১ · সূত্র ২

২০২৫ · Cetus DEX

DEXSui-তে Cetus-এর প্রায় $২২৩ মিলিয়ন ঘটনা, গবেষকরা একটি গণিত লাইব্রেরির ত্রুটির দিকে ইঙ্গিত করেছেন। নন-EVM পরিবেশকেও একইভাবে তাদের কোড এবং সম্পদ প্রকাশের পরিধি পরীক্ষা করতে হবে।

সূত্র

২০২৬-০৭ · COLDCARD র‍্যান্ডম নম্বর ত্রুটি

হার্ডওয়্যার ওয়ালেট / সিড জেনারেশনএকটি ফার্মওয়্যার ত্রুটি সিড জেনারেশন দুর্বল করে দিয়েছিল, যার ফলে আক্রমণকারীরা ডিভাইসটি অফলাইন থাকা অবস্থায় সংশ্লিষ্ট প্রাইভেট কী পুনর্গঠন করতে সক্ষম হয়েছিল। আপগ্রেড করে ইতিমধ্যে জেনারেট করা দুর্বল সিড ঠিক করা যায় না; অ্যাডভাইজরি অনুযায়ী মাইগ্রেশন এখনও প্রয়োজন।

সূত্র

২০২৬-১০ · লেজার হার্ডওয়্যার ইমপ্ল্যান্ট

হার্ডওয়্যার ওয়ালেট / ডিস্ট্রিবিউশন অ্যাটাক

লেজার নিশ্চিত করেছে যে আসল ডিভাইসগুলো পরিবর্তন করা হয়েছিল এবং দক্ষিণ-পূর্ব এশিয়ার ডিস্ট্রিবিউশন চ্যানেলের মাধ্যমে circulate করা হয়েছিল, যেখানে ইমপ্ল্যান্ট করা কম্পোনেন্টগুলো ইনিশিয়ালাইজেশনের সময় রিকভারি ফ্রেজ চুরি করেছিল। ভেন্ডর বলছে তাদের চিপ, অপারেটিং সিস্টেম এবং সার্ভার আপোষ হয়নি।

সূত্র

২০২৬ · বাইন্যান্স মাল্টি-চেইন ঘটনা

CEX / মাল্টি-চেইন

বাইন্যান্স প্রাথমিকভাবে অনুমান করেছিল যে প্রায় ৬.৩ বিলিয়ন ডলারের সম্পদ ক্ষতিগ্রস্ত হয়েছে, এবং অন্যান্য সম্ভাব্য অনুপ্রবেশ পয়েন্টের তদন্ত এখনও চলছে। একটি একক অপারেটিং সিস্টেম একই সাথে একাধিক নেটওয়ার্কে সম্পদ উন্মুক্ত করতে পারে।

সূত্র ১ · সূত্র ২ · সূত্র ৩

এখানে CEX রয়েছে, তবে ডিসেন্ট্রালাইজড এক্সচেঞ্জ, লেন্ডিং প্রোটোকল এবং ব্রিজও রয়েছে; সম্পদ চুরি হয়েছে, আবার সম্পদ ফ্রিজও করা হয়েছে। আক্রমণ বিভিন্ন স্তরে ঘটে, এবং প্রতিকারের পদ্ধতিও ভিন্ন। আমি এ সবকিছুকে "ব্যবহারকারীরা তাদের প্রাইভেট কী সুরক্ষিত করতে ব্যর্থ হয়েছে" এই একক বাক্যে নামিয়ে আনার বিরোধিতা করি। ব্যবহারকারীরা কীভাবে জানবে যে একটি নির্দিষ্ট টুলের ডেভেলপমেন্ট এনভায়রনমেন্ট, একটি নির্দিষ্ট শেয়ার্ড লাইব্রেরি, বা একটি দুর্বোধ্য অথরাইজেশন তাদের সমস্ত সম্পদের প্রবেশদ্বার হয়ে উঠবে?

ডিস্ট্রিবিউটেড নেটওয়ার্ক ইতিমধ্যে অনেক কিছু করেছে, তবুও সম্পদ নিয়ন্ত্রণের জন্য ফল্ট আইসোলেশন যথেষ্ট থেকে অনেক দূরে। অন-চেইন এক্সিকিউশন বিশ্বস্ততার সাথে একটি লেনদেন সম্পন্ন করে, কিন্তু এটি আমাদের জন্য উত্তর দিতে পারে না কেন সেই লেনদেনের এত বেশি সম্পদ সরানোর অধিকার রয়েছে।

ইথেরিয়ামের অবদান তাৎপর্যপূর্ণ। এটি আরও বেশি মানুষকে অন-চেইন অ্যাপ্লিকেশন লিখতে সক্ষম করেছে এবং সমৃদ্ধ টুল ও ডেভেলপমেন্ট অভিজ্ঞতা গড়ে তুলেছে। কিন্তু আজ, অনেক নতুন চেইন এবং L2 (লেয়ার-২ স্কেলিং নেটওয়ার্ক) EVM সামঞ্জস্যতাকে তাদের প্রাথমিক লক্ষ্য হিসেবে গ্রহণ করেছে। EVM, যে ভার্চুয়াল মেশিনটি ইথেরিয়াম স্মার্ট কন্ট্র্যাক্ট এক্সিকিউট করে, তা একটি ব্যাপকভাবে অনুলিপিকৃত প্রযুক্তিগত পূর্বশর্তে পরিণত হচ্ছে। সামঞ্জস্যতা অ্যাপ্লিকেশন মাইগ্রেশনকে সুবিধাজনক করে তোলে; Unichain-এর মতো প্রকল্পের ডকুমেন্টেশন স্পষ্টভাবে সমতুল্য এক্সিকিউশন এনভায়রনমেন্টের মূল্য হিসেবে ইথেরিয়াম টুলিং পুনরায় ব্যবহারের কথা উল্লেখ করে। [[3]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-evm)

আমি বিশ্বাস করি যে EVM সামঞ্জস্যতাকে শিল্পের ডিফল্ট উত্তর হিসেবে বিবেচনা করা কাঠামোগত ঝুঁকি কেন্দ্রীভবন তৈরি করছে। নেটওয়ার্কের নাম অনেক হতে পারে, ভ্যালিডেটর ভিন্ন হতে পারে, কিন্তু ডেভেলপাররা একই কন্ট্র্যাক্ট বারবার ডিপ্লয় করতে পারে, একই অথরাইজেশন অভ্যাস ব্যবহার করতে পারে এবং একই সফটওয়্যার লাইব্রেরির উপর নির্ভর করতে পারে। শেয়ার্ড ডিপেন্ডেন্সির ত্রুটি কেবল অন্য চেইনে ডিপ্লয়ment হওয়ার কারণে অদৃশ্য হয় না। এটি প্রযুক্তিগত পথ সম্পর্কে একটি বিচার, প্রতিটি EVM ইমপ্লিমেন্টেশনে অনিবার্যভাবে একই দুর্বলতা রয়েছে এমন দাবি নয়।এখানেই ইথেরিয়ামের প্রতি আমার সমালোচনা নিহিত। সাধারণ-উদ্দেশ্যে চুক্তি সম্পাদনের সক্ষমতা সরাসরি হস্তান্তরযোগ্য সম্পদের সাথে যুক্ত, যা অ্যাপ্লিকেশন কোড এবং ওয়ালেট ইন্টারঅ্যাকশনের উপর বিশাল দায়ভার অর্পণ করে। চুক্তি চুক্তিকে কল করতে পারে, অনুমোদন দীর্ঘ সময় ধরে টিকে থাকতে পারে, এবং আপাত সাধারণ একটি নিশ্চিতকরণ অ্যাকাউন্টের পরবর্তী নিয়ন্ত্রণ পদ্ধতি পরিবর্তন করতে পারে। নিরাপত্তা ক্রমবর্ধমানভাবে নির্ভর করে প্রতিটি ডেভেলপমেন্ট টিমের এই সমন্বয়গুলো সঠিকভাবে বোঝার উপর, এবং প্রতিটি ব্যবহারকারীর তারা কী স্বাক্ষর করেছে তা সঠিকভাবে বোঝার উপর।

EIP-7702 এই সমস্যাটিকে খুব স্পষ্ট করে তোলে। একটি সাধারণ ট্রান্সফার হলো "এবার কতটা, কাকে"; একটি ডেলিগেশন অনুমোদন হতে পারে "এখন থেকে, এই কোডটুকু আমার অ্যাকাউন্টের পক্ষে অপারেশন সম্পাদন করুক।" এর লক্ষ্য ব্যবহারকারীর অভিজ্ঞতা উন্নত করা এবং অনুমতিগুলো সূক্ষ্ম করা, কিন্তু একটি ডেলিগেশন সেটআপ নিজেই বিস্তৃত সম্পাদন সক্ষমতা প্রদান করে, এবং সূক্ষ্ম-দানাদার অনুমতিগুলো এখনও ডেলিগেটেড কোড দ্বারা সঠিকভাবে বাস্তবায়িত হতে হবে। [[4]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-7702) মিনফেং ছি প্রমুখের প্রিপ্রিন্ট "EIP-7702 ফিশিং অ্যাটাক" এমন অনুমোদনে স্বাক্ষর করতে প্ররোচিত করার পর একটি অ্যাকাউন্টকে ধারাবাহিকভাবে নিয়ন্ত্রণ করার পথ অধ্যয়ন করে। [[5]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-phishing) সুবিধা বাড়ার সাথে সাথে নিরাপত্তার দায়ভারও বাড়ে; পূর্ববর্তীটিকে কেবল ব্যবহারকারীদের হাতে তুলে দেওয়া যায় না।

এই বাইন্যান্স ঘটনাটি একাধিক চেইন জুড়ে বিস্তৃত, এবং তদন্ত এখনও সম্পূর্ণ হয়নি, তাই সম্পূর্ণ প্রভাব সরাসরি EIP-7702 বা EVM-কে আরোপ করা যায় না। রিএন্ট্রেন্সি, স্বাক্ষর পরিষেবার আপস, এবং ফ্রন্ট-এন্ড টেম্পারিংও একই ধরনের দুর্বলতা নয়। কিন্তু এই ধরনের পার্থক্যগুলো স্থাপত্যকে প্রশ্ন করা বন্ধ করার অজুহাত হওয়া উচিত নয়: কেন নিম্নস্তরটি উপরের স্তরের ত্রুটির পক্ষে আরও সীমাবদ্ধতা ধরে রাখে না যা সহজে বাইপাস করা যায় না?

MEV-ও আমাকে অসন্তুষ্ট করে। এটি সেই স্থানকে বোঝায় যেখানে অংশগ্রহণকারীরা লেনদেনের অন্তর্ভুক্তি, বর্জন এবং ক্রমবিন্যাসের মাধ্যমে অতিরিক্ত মূল্য অর্জন করে। আমার কাছে, ক্রমবিন্যাস ক্ষমতা ব্যবহার করে ব্যবহারকারীর লেনদেনের মাঝে স্যান্ডউইচ করা এবং তাদের সম্পাদনের ফলাফল খারাপ করা একটি বাগ হিসেবে বিবেচিত হওয়া উচিত যা ঠিক করা প্রয়োজন, কেবল কেউ এর থেকে লাভবান হতে পারে বলে এটিকে সংরক্ষণের যোগ্য একটি বৈশিষ্ট্য হিসেবে প্যাকেজ করা উচিত নয়। ইথেরিয়ামের নিজস্ব ডকুমেন্টেশনও স্পষ্টভাবে ব্যবহারকারীদের প্রতি লেনদেন স্যান্ডউইচিংয়ের ক্ষতি এবং নেটওয়ার্ক স্থিতিশীলতার প্রতি MEV-এর ঝুঁকি স্বীকার করে। [[6]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-mev) MEV ইথেরিয়ামের একচেটিয়া নয় এবং এতে আরবিট্রেজ ও লিকুইডেশনসহ বিভিন্ন কার্যক্রমও অন্তর্ভুক্ত; শিল্পে ইতিমধ্যে প্রশমন গবেষণা রয়েছে। আমার সমালোচনা হলো নেটওয়ার্ক রক্ষণাবেক্ষণের প্রণোদনা ব্যবহারকারীদের লেনদেনের শর্ত বিসর্জন দেওয়ার কারণ হতে পারে না। একটি উন্নততর লেনদেন ব্যবস্থার উচিত অনুমোদনে ন্যূনতম ডেলিভারি ফলাফল এবং অনুমোদিত ফি লিখে রাখা, এবং অর্ডারদাতাদের অসম্পূর্ণ তথ্য ব্যবহার করে ব্যবহারকারীদের ক্ষতি করার স্থান সীমিত করা।আমি সবসময় মনে করেছি, ক্রিপ্টোতে ইথেরিয়ামের প্রভাব অনেকটা ইন্টারনেটে PHP-এর প্রভাবের মতো: এটি অনেককে কিছু তৈরি করার সুযোগ দিয়েছে, আবার এমন প্রকৌশলগত ঋণও রেখে গেছে যা শোধ করতে দীর্ঘ সময় লাগবে। ২০২৬ সালের অক্টোবরে PHP-কে এখনও একটি গুরুতর রিমোট কোড এক্সিকিউশন দুর্বলতা ঠিক করতে হয়েছিল। পরিপক্বতা ও জনপ্রিয়তা ধারাবাহিক হার্ডেনিংয়ের বিকল্প হতে পারে না। [[7]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-php) ইন্টারনেটের মূল্যবান দিক হলো ভাষা, ফ্রেমওয়ার্ক ও ক্লাউড সেবা আলাদাভাবে বিবর্তিত হতে পারে। আমাদেরও ভিন্ন ভিন্ন অ্যাসেট মডেল ও এক্সিকিউশন পদ্ধতিকে ক্রমাগত বিকশিত হতে দেওয়া উচিত, "একই ভার্চুয়াল মেশিনের সাথে সামঞ্জস্য"কে ইকোসিস্টেমে অংশগ্রহণের টিকিট হিসেবে বিবেচনা করা উচিত নয়।

তাই আমি বিটকয়েন, সোলানা ও রিপল/XRP লেজার ইকোসিস্টেম, এবং ArcBlock-সহ নির্মাতাদের প্রতি আহ্বান জানাচ্ছি, একটি সাধারণ নিরাপত্তা ভিত্তি নির্মাণে গুরুত্বের সাথে অংশ নিন। স্ট্যান্ডার্ড ও ইন্টারঅপারেবিলিটিতে অংশ নিতে প্রথমে নিজেকে ইথেরিয়ামে রূপান্তরিত করার প্রয়োজন নেই। বৈচিত্র্যকে অ্যাসেট নিয়ন্ত্রণ ও যাচাইকরণ পদ্ধতিতে বাস্তবায়িত করতে হবে এবং তা জনসাধারণের যাচাইয়ের জন্য উন্মুক্ত হতে হবে। Slope ও Cetus ঘটনা ইতিমধ্যে আমাদের মনে করিয়ে দিয়েছে, নন-EVM-এরও কোনো নিরাপত্তা অব্যাহতি নেই।

আমি যা বাস্তব রূপ নিতে দেখতে চাই তা হলো এমন একটি নিরাপত্তা স্পেসিফিকেশন যা ভিন্ন ভিন্ন এক্সিকিউশন পরিবেশ সবাই গ্রহণ করতে পারে: একই অ্যাসেট সীমা ও যাচাইকরণের প্রয়োজনীয়তা EVM এবং অন্য পথগুলো আলাদাভাবে বাস্তবায়ন করতে পারে, এবং তারপর প্রতিটির নিশ্চয়তা ও ব্যয় প্রকাশ্যে পরীক্ষা করা যাবে।

1. অন্তর্নিহিত ঝুঁকি নিয়ন্ত্রণ অ্যাসেট নিষ্পত্তির ক্ষমতাকে সীমাবদ্ধ করুক

বড় ওয়ালেটগুলো প্রাপকের হোয়াইটলিস্ট, ক্রমপুঞ্জিত ব্যয়ের সীমা এবং নতুন প্রাপকের জন্য অপেক্ষার সময় নির্ধারণ করতে সক্ষম হওয়া উচিত। মূল বিষয় হলো, এই নিয়মগুলো একই দৈনন্দিন লেনদেনের কী দিয়ে তাৎক্ষণিকভাবে বাতিল করা যাবে না। নিয়ম পরিবর্তনের জন্য স্বাধীন অনুমোদন প্রয়োজন এবং পর্যবেক্ষণ ও প্রত্যাহারের জন্য সময় রাখতে হবে।বিদ্যমান স্মার্ট অ্যাকাউন্টগুলোর ইতিমধ্যে একটি বাস্তবায়ন ভিত্তি রয়েছে, উদাহরণস্বরূপ Safe Guards মাল্টিসিগের বাইরেও লেনদেনের সীমাবদ্ধতা যোগ করতে পারে। [[8]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-guards) আমাদের এটিকে আরও সহজে গ্রহণযোগ্য একটি মৌলিক সক্ষমতায় পরিণত করতে হবে যা সব সম্পদ নিয়ন্ত্রণ পথকে অন্তর্ভুক্ত করে। যদি কেবল সরাসরি স্থানান্তর সীমাবদ্ধ করা হয় কিন্তু আনলিমিটেড অ্যাপ্রুভাল, মডিউল বা আপগ্রেডের মাধ্যমে বাইপাস অনুমোদিত থাকে, তাহলে সুরক্ষা ব্যর্থ হবে। হোয়াইটলিস্ট কন্ট্রাক্ট আপগ্রেড করা যায় কিনা এবং প্রাপকের অনুমতিগুলো পরিবর্তিত হয়েছে কিনা তাও যাচাইয়ের আওতায় আসতে হবে। Apple-এর Activation Lock দৈনন্দিন জীবনের একটি অনুপ্রেরণা দেয়: এটি চুরি হওয়া ডিভাইসের পুনরায় সক্রিয়করণ সীমাবদ্ধ করে এবং নির্দিষ্ট চুরি হওয়া যন্ত্রাংশের ক্যালিব্রেশন সীমিত করে, যার লক্ষ্য চুরির পর যে মূল্য কাজে লাগানো যায় তা হ্রাস করা। [[9]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-apple) ওয়ালেটগুলোও এই দিকেই ডিজাইন করা উচিত। যদি কোনো আক্রমণকারী একটি কী পেয়ে যায়, তবুও নগদীকরণযোগ্য সম্পদের পরিসর সীমিত থাকবে, এবং আক্রমণ থেকে প্রত্যাশিত রিটার্ন কমতে পারে; সেবা ব্যাহত করার মতো ঝুঁকিগুলো আলাদাভাবে মোকাবেলা করতে হবে।

এটাকেই আমি সম্পদ নিরাপত্তার "সংবিধান" বলি: পরিচালনাগত কর্তৃত্ব ক্ষতিগ্রস্ত হতে পারে, কিন্তু সীমানা পরিবর্তনের কর্তৃত্ব স্বাধীন থাকা উচিত। পুনরুদ্ধার প্রক্রিয়াও সীমাবদ্ধ থাকতে হবে, যাতে একটি একক ভুল কনফিগারেশন সম্পদকে স্থায়ীভাবে লক করে না ফেলে।

II. ওয়ালেটকে নিরাপত্তার দায় বহন করতে দিন, কেবল ম্নেমোনিক শব্দ হস্তান্তর নয়

আজকের ওয়ালেট সিস্টেমের প্রতি আমার তীব্র অসন্তোষ রয়েছে: যদি কোনো পণ্য সাধারণ মানুষকে একগুচ্ছ শব্দ কপি করতে বলে, সেগুলো কখনো ফাঁস, হারানো বা প্রতারিত হয়ে প্রকাশ না করার দাবি করে, এবং পরবর্তী সব ব্যর্থতার দায় ব্যবহারকারীর উপর আরোপ করে, তাহলে আমি এটিকে একটি দায়িত্বহীন ডিজাইন মনে করি। স্ব-সংরক্ষণ মানুষের নিয়ন্ত্রণ দেওয়া উচিত, এবং এটি মানুষের জন্য ব্যবহারযোগ্য সুরক্ষা ও পুনরুদ্ধার সক্ষমতাও দেওয়া উচিত। এটি প্রত্যেক ব্যবহারকারীকে প্রথমে নিরাপত্তা বিশেষজ্ঞ হতে বাধ্য করা উচিত নয়। এটি এমন একটি সীমাও যা Crypto-কে আরও সাধারণ ব্যবহারকারীর কাছে পৌঁছাতে অতিক্রম করতে হবে।সাম্প্রতিক ঘটনাগুলো এই সমস্যাটিকে সরাসরি আলোচনার টেবিলে নিয়ে এসেছে। ২০২৬ সালের অক্টোবরে, Ledger নিশ্চিত করেছে যে আক্রমণকারীরা আসল ডিভাইস পরিবর্তন করে এবং তারপর দক্ষিণ-পূর্ব এশিয়ার বিতরণ চ্যানেলের মাধ্যমে সেগুলো পুনরায় বাজারে পাঠায়, যেখানে সংযোজিত উপাদানগুলো ইনিশিয়ালাইজেশনের সময় রিকভারি শব্দ চুরি করে। Ledger এটিকে ডিভাইস কারখানা ছাড়ার পর একটি স্থানীয় বিতরণ আক্রমণ হিসেবে সংজ্ঞায়িত করেছে, এর চিপ, অপারেটিং সিস্টেম বা সার্ভারের সাথে আপস হিসেবে নয়। [[10]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-ledgerimplant) COLDCARD-এর জুলাইয়ের ঘটনাটি সিড জেনারেশন দুর্বলকারী ফার্মওয়্যার জড়িত ছিল: আক্রমণকারীর জন্য সংশ্লিষ্ট প্রাইভেট কী পুনর্গঠন করতে ডিভাইসটিকে দূর থেকে নিয়ন্ত্রণ করার প্রয়োজন ছিল না। ফার্মওয়্যার আপডেট করা ভবিষ্যতে জেনারেশন প্রক্রিয়াটি ঠিক করে, কিন্তু ইতিমধ্যে তৈরি হওয়া দুর্বল সিডগুলো এখনও মাইগ্রেট করতে হবে। [[11]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-coldcard)

এই দুটি ঘটনা একই ধরনের দুর্বলতা নয়, তবুও একসাথে তারা দেখায়: এমনকি যদি ব্যবহারকারীরা সাবধানে শব্দগুলো কপি করে এবং ডিভাইসটি অফলাইনে রাখে, তবুও তারা নির্মাতার পক্ষে র‍্যান্ডমনেস এবং সাপ্লাই চেইনের অখণ্ডতা যাচাই করতে পারে না। ডিভাইসে ব্যাকআপ শব্দ প্রদর্শনের উদ্দেশ্য অফলাইন রিকভারি, কিন্তু এটি সম্পূর্ণ রিকভারি সিক্রেটকে একটি প্রদর্শন এবং ব্যাকআপ পথের মধ্য দিয়ে যেতে বাধ্য করে যা সুরক্ষা প্রয়োজন। চিপ নিরাপত্তা সম্পূর্ণ ডিভাইস এবং ডেলিভারি প্রক্রিয়ার যাচাইকরণের বিকল্প হতে পারে না।

উন্নতির লক্ষ্য হওয়া উচিত সম্পূর্ণ ওয়ালেট লাইফসাইকল: কী কীভাবে তৈরি হয়, লেনদেন কীভাবে ব্যাখ্যা করা হয়, অনুমতি কীভাবে পৃথক করা হয় এবং ডিভাইস হারানোর পরে রিকভারি কীভাবে কাজ করে। অ্যাকাউন্ট অ্যাবস্ট্রাকশন, অর্থাৎ অ্যাকাউন্টগুলোকে প্রোগ্রামেবল নিয়মের মাধ্যমে অনুমোদন যাচাই করার অনুমতি দেওয়া, এবং SLIP-39-এর মতো থ্রেশহোল্ড ব্যাকআপ, উভয়েরই ইতিমধ্যে মান এবং বাস্তবায়ন ভিত্তি রয়েছে, তাই বলা যায় না যে শিল্পে কেউ এগুলো নিয়ে কাজ করছে না। [[12]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-walletstandards) কিন্তু আমাদের এই সক্ষমতাগুলোকে পরীক্ষিত, সহজে ব্যবহারযোগ্য সুরক্ষায় পরিণত করতে হবে, ব্যবহারকারীদের নিজেদের জটিল স্কিম একত্রিত করতে দেওয়ার পরিবর্তে।

মনে রাখার শব্দগুলোর সাধারণ অস্পষ্টীকরণ যথেষ্ট নয়। আরও নির্ভরযোগ্য দিকগুলোর মধ্যে রয়েছে পর্যালোচিত এনক্রিপ্টেড ব্যাকআপ, থ্রেশহোল্ড রিকভারি এবং স্বাধীন ডিভাইস অনুমোদন, এবং বড় পরিমাণ সম্পদ জমা করার আগে ব্যবহারকারীদের রিকভারি ড্রিল সম্পন্ন করা। ব্যাকআপ শার্ড এবং মাল্টিসিগ ভিন্ন স্তর: পূর্বেরটি রিকভারির সময় একই সিক্রেটে পুনরায় একত্রিত হতে পারে, অন্যদিকে পরেরটির জন্য একটি লেনদেন অনুমোদনের জন্য একাধিক স্বাধীন স্বাক্ষরকারীর প্রয়োজন। রিকভারি পরিষেবাগুলোকে নীরবে একটি নতুন মাস্টার কী হয়ে ওঠা উচিত নয়, এবং একটি অতিরিক্ত পাসওয়ার্ডও আরেকটি ফাঁদ হয়ে ওঠা উচিত নয় যেখানে এটি হারানো মানে অপূরণীয় ক্ষতি।ব্যক্তিগত ওয়ালেট এবং এক্সচেঞ্জ ওয়ালেট সিস্টেম লেনদেনের বিবরণ, স্বাক্ষরের অনুরোধ, সম্পদ সীমাবদ্ধতা এবং পুনরুদ্ধার প্রক্রিয়ার জন্য নিরাপত্তা স্পেসিফিকেশন শেয়ার করতে পারে, একই সাথে ভিন্ন সীমা ও অনুমোদন নীতি গ্রহণ করতে পারে। বিটকয়েনের PSBT ইতিমধ্যে টুলগুলির মধ্যে অস্বাক্ষরিত লেনদেন আদান-প্রদানের একটি ফরম্যাট প্রদান করে, এবং এই সাধারণ ইন্টারফেসটি আরও এগিয়ে নেওয়া মূল্যবান। [[13]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-psbt) যা সাধারণ তা হলো যাচাইযোগ্য নিরাপত্তা প্রয়োজনীয়তা; প্রতিটি চেইনকে এখনও তার নিজস্ব অভিযোজন নিয়ম স্পষ্ট করতে হবে। ওয়ালেটগুলিকে স্পষ্টভাবে উপস্থাপন করা উচিত যে এই স্বাক্ষরটি কী স্থানান্তর করবে এবং পরবর্তীতে কাকে কতটা কর্তৃত্ব প্রদান করবে, এবং স্বাধীন নীতিগুলি সীমা-লঙ্ঘনকারী কার্যক্রম প্রত্যাখ্যান করা উচিত; একটি সুন্দর নিশ্চিতকরণ পৃষ্ঠা যথেষ্ট নয়।

III. ন্যূনতম প্রয়োজনীয় প্রকাশের মাধ্যমে যাচাইযোগ্যতা অর্জন করুন

কোনো শর্ত পূরণ হয়েছে তা প্রমাণ করার জন্য সর্বদা ব্যবহারকারীদের সমস্ত অন্তর্নিহিত ডেটা প্রকাশ করতে হওয়া উচিত নয়। নির্বাচনী প্রকাশ, শূন্য-জ্ঞান প্রমাণ, এবং চাহিদা অনুযায়ী প্রদত্ত অডিট অ্যাক্সেস অবকাঠামোতে স্বাভাবিক বিকল্প হয়ে ওঠা উচিত। এটি সম্পদ নিরাপত্তার সাথেও সম্পর্কিত: প্রকাশ্য পরিচয় এবং সম্পদ সম্পর্ক লক্ষ্যযুক্ত প্রতারণার জন্য সূত্র প্রদান করতে পারে; ব্যবসার যে ডেটা প্রয়োজন নেই তা যতটা সম্ভব কম প্রকাশ করা উচিত।

W3C-এর যাচাইযোগ্য ক্রেডেনশিয়াল সিস্টেমে ইতিমধ্যে নির্বাচনী প্রকাশের জন্য একটি প্রযুক্তিগত পথ রয়েছে; তবে, ইনপুটগুলি খাঁটি, ক্রেডেনশিয়ালগুলি বৈধ থাকে এবং স্ট্যাটাস কীভাবে প্রত্যাহার করা হয় তা প্রমাণ করা এখনও স্পষ্ট করা প্রয়োজন। [[14]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-privacy) শূন্য-জ্ঞান প্রমাণ (ZK) গ্রহণ করা স্বয়ংক্রিয়ভাবে লেনদেনের পরিমাণ এবং সম্পর্ক লুকায় না; স্কেলিং প্রমাণ এবং গোপনীয়তা সুরক্ষা ভিন্ন লক্ষ্য।

উদাহরণস্বরূপ, যখন একটি ব্যবসার শুধুমাত্র অংশগ্রহণের যোগ্যতা যাচাই করা প্রয়োজন, তখন একজন ব্যবহারকারী সম্পূর্ণ আর্থিক উপকরণ প্রকাশ না করেই একটি বিশ্বস্ত প্রতিষ্ঠান দ্বারা জারি করা একটি বৈধ যোগ্যতা উপসংহার উপস্থাপন করতে পারেন। যখন একটি লুকানো মান কোনো শর্ত পূরণ করে তা প্রমাণ করা প্রয়োজন, তখন একটি উপযুক্ত প্রমাণ ব্যবস্থা ব্যবহার করা যেতে পারে। ক্রেডেনশিয়ালের বিশ্বস্ত উৎস এবং এর প্রত্যাহার স্ট্যাটাস এখনও যাচাই করা প্রয়োজন।

আমার উদ্যোগ হলো প্রথমে "কে কী যাচাই করতে হবে" তা স্পষ্ট করা, এবং তারপর যে ডেটা প্রকাশ্য করতে হবে তা ডিজাইন করা। যারা যোগ্যতা যাচাই করেন তাদের শুধুমাত্র যোগ্যতা উপসংহার প্রয়োজন হতে পারে; যারা নির্দিষ্ট অডিট দায়িত্ব বহন করেন তারা সীমাবদ্ধ প্রমাণ পেতে পারেন। প্রকাশ্যে যাচাইযোগ্য সীমাবদ্ধতাগুলি সবার কাছে স্থায়ীভাবে প্রকাশিত ব্যক্তিগত তথ্য ন্যূনতম করা উচিত।

IV. লেনদেন পরিষেবাগুলিকে যতটা সম্ভব কেন্দ্রীভূত হেফাজতমুক্ত করুনট্রেড ম্যাচিং, পাথ ফাইন্ডিং এবং অ্যাসেট সেটেলমেন্ট আলাদাভাবে ডিজাইন করা উচিত। একটি ট্রেডিং এন্ট্রি পয়েন্ট প্রদানকারী সার্ভিসের কেবল বর্তমান সেটেলমেন্ট যতটা সম্ভব সম্পন্ন করার জন্য প্রয়োজনীয় অনুমতিই পাওয়া উচিত, যাতে বাকি সময়ে ব্যবহারকারীর সম্পদ তাদের নিজ নিজ নিয়ন্ত্রণে থাকে। বিদ্যমান ইনটেন্ট-ভিত্তিক লেনদেন প্রোটোকল ইতিমধ্যে পথের একটি অংশ অন্বেষণ করেছে, এবং শিল্প এটি সম্পূর্ণ করতে continue করতে পারে। [[15]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-routing)

ব্যবহারকারীরা যা সম্মত হন তা হওয়া উচিত স্পষ্ট সেটেলমেন্ট শর্তাবলি, যার মধ্যে রয়েছে কী প্রদান করা হচ্ছে, ন্যূনতম কী পাওয়া যাবে, কখন মেয়াদ শেষ হবে এবং অনুমোদিত ফি। একটি ট্রেডিং সার্ভিস আপসহীন হওয়ার পরে, আক্রমণকারী পরিষেবা অস্বীকার করতে পারে, কিন্তু এই শর্তাবলি ইচ্ছামতো পরিবর্তন করতে পারে না। যে ব্যবসাগুলির এখনও কেন্দ্রীভূত হেফাজত প্রয়োজন, তাদেরও রিজার্ভ এবং অপারেশনাল অনুমতিগুলি আলাদা করা উচিত এবং হট ওয়ালেট এক্সপোজার এবং স্বয়ংক্রিয় রিপ্লেনিশমেন্ট সীমা সীমিত করা উচিত।

IBIT হলো iShares-এর বিটকয়েন এক্সচেঞ্জ-ট্রেডেড প্রোডাক্ট, এবং বাজারে যা লেনদেন হয় তা হলো এর শেয়ার। এর ব্যবস্থা আংশিক বিচ্ছিন্নতার একটি উদাহরণ প্রদান করে: শেয়ার এবং অন্তর্নিহিত বিটকয়েন আলাদাভাবে রেকর্ড করা হয়, এবং Vault Balance (হেফাজত ব্যালেন্স)-এর সংশ্লিষ্ট প্রাইভেট কী ঠান্ডা স্টোরেজে রাখা হয়। শেয়ার ট্রেডিং রেকর্ডের পরিবর্তনের জন্য প্রতিটি লেনদেনের সাথে অন্তর্নিহিত বিটকয়েন সরানোর প্রয়োজন হয় না। [[16]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-ibit) এ থেকে যা শেখা যায় তা হলো ট্রেডিং অধিকার এবং রিজার্ভ নিষ্পত্তি অধিকারের বিচ্ছিন্নতা। এর Trading Balance (ট্রেডিং সার্ভিস ব্যালেন্স)-এর ভিন্ন ব্যবস্থা রয়েছে, এবং হেফাজত নিজেই ঝুঁকি বহন করে; ঠান্ডা স্টোরেজকে অবশ্যই স্বাধীন নির্দেশ এবং স্বাক্ষর যাচাইয়ের সাথে যুক্ত করতে হবে।

আমি ট্রেডিং এন্ট্রি পয়েন্টকে একটি রাউটারের সাথে তুলনা করি এই আশায় যে এটি সমস্ত ব্যবহারকারীর সম্পদের উপর একটি মাস্টার সুইচ বহন না করেই প্রতিস্থাপন করা যেতে পারে। সেটেলমেন্ট প্যাকেট ফরওয়ার্ডিংয়ের চেয়ে বেশি জটিল, এবং অ্যাসেট ডেলিভারি এবং অনুমোদন এখনও স্বাধীনভাবে যাচাই করা প্রয়োজন। একটি সার্ভিসকে নন-কাস্টডিয়াল করা এবং তারপর তাকে সীমাহীন উত্তোলন অধিকার প্রদান করা কেবল কেন্দ্রীভূত ঝুঁকি ফিরিয়ে আনবে।

V. ব্যর্থতা বিচ্ছিন্ন করতে এবং প্রতিস্থাপনযোগ্যতা সংরক্ষণ করতে একটি স্তরযুক্ত আর্কিটেকচার ব্যবহার করুনআমাদের পরিচয় ও অনুমোদন ইন্টারফেস, সম্পদ নীতি এবং নিষ্পত্তি যাচাইকরণ পদ্ধতি প্রয়োজন যা স্বাধীনভাবে বিবর্তিত হতে পারে। বিভিন্ন চেইন তাদের নিজস্ব এক্সিকিউশন মডেল ধরে রাখতে পারে এবং স্পষ্ট ইন্টারফেসের মাধ্যমে সংযুক্ত হতে পারে। ইন্টারফেসগুলিতে নিরাপত্তা গ্যারান্টি এবং তাদের শর্তাবলী উল্লেখ করা উচিত, শুধু "কলটি সফল হয়েছে" বলা নয়।ইন্টারনেট অভিজ্ঞতা এই পদ্ধতিকে সমর্থন করে। RFC 9518, "কেন্দ্রীকরণ, বিকেন্দ্রীকরণ এবং ইন্টারনেট মানদণ্ড"-এ মার্ক নটিংহ্যাম বিশেষভাবে সেই পরিস্থিতি নিয়ে আলোচনা করেছেন যেখানে কেন্দ্রীকরণ সহায়ক হতে পারে, এবং এটি যে ক্ষমতা ও ঝুঁকি নিয়ে আসে তাও বিশ্লেষণ করেছেন। [[17]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-layers) এটি ঠিক সেই মনোভাব যা থেকে শেখা উচিত: স্থাপত্যকে উত্তর দিতে দিন কোন দায়িত্বগুলি কেন্দ্রীভূত করা যায়, কোন মাত্রায়, এবং সেই ক্ষমতা কীভাবে সম্প্রসারণ থেকে বিরত রাখা যায়। একটি পরিষেবাকে অসঙ্গতি কেন্দ্রীয়ভাবে শনাক্ত করার অনুমতি দেওয়া যেতে পারে যখন সম্পদ স্পর্শ করার তার অনুমতি সীমিত; ব্যবহারকারীদের তাদের নিজস্ব সম্পদ নীতি এবং যাচাইকরণ রেকর্ড না হারিয়ে পরিষেবা পরিবর্তন করতে সক্ষম হওয়া উচিত।

সবচেয়ে গুরুত্বপূর্ণ গ্রহণযোগ্যতার প্রশ্ন হল: একটি ব্যবসায়িক পরিষেবা আপস হওয়ার পরে, কোন স্বাধীন স্তর এখনও এটি প্রত্যাখ্যান করতে পারে? যদি সমস্ত স্তর একটি প্রশাসনিক কী শেয়ার করে, তথাকথিত স্তরবিন্যাস শুধুমাত্র একটি স্থাপনা ডায়াগ্রামে স্তরবিন্যাস।

এই লক্ষ্যকে দায়িত্বের পাঁচটি স্তর হিসেবে দেখা যেতে পারে: লেনদেন পরিষেবা অনুরোধ জমা দেয়, ওয়ালেট ব্যবহারকারীর অভিপ্রায় প্রকাশ করে, স্বাধীন নীতি সম্পদ নিষ্পত্তির উপর কর্তৃত্ব সীমিত করে, যাচাইকরণ উপাদান পরিচালনা ও প্রমাণ পরীক্ষা করে, এবং নিষ্পত্তি স্তর সীমাবদ্ধতা প্রয়োগ করে এবং যাচাইযোগ্য রেকর্ড প্রদান করে। এগুলি বিভিন্ন দল দ্বারা বাস্তবায়িত হতে পারে, এবং তাদের নির্ভরতা ও ব্যর্থতার শর্তগুলিও আলাদাভাবে বর্ণনা করতে হবে।

এই নিবন্ধে প্রস্তাবিত লক্ষ্য স্থাপত্য। নিষ্পত্তি স্তরকে অবশ্যই সম্পদ নীতি প্রয়োগ করতে হবে; ওয়ালেটে প্রম্পট এই সীমাবদ্ধতা প্রতিস্থাপন করতে পারে না। দৈনিক স্বাক্ষর, নিয়ম পরিবর্তন এবং পুনরুদ্ধার কর্তৃত্ব বিচ্ছিন্ন করা এবং বাইপাস পরীক্ষার অধীন করা প্রয়োজন।

6. ব্যবহারকারীদের তাদের নিজস্ব সম্পদ হালকাভাবে যাচাই করতে দিন

সাধারণ মানুষকে তাদের নিজস্ব ব্যালেন্স এবং রসিদ যাচাই করার জন্য পুরো চেইনের সম্পূর্ণ ইতিহাস সংরক্ষণ ও সম্পাদন করতে হবে না; তাদের শুধুমাত্র ওয়ালেটের পিছনে একটি একক সার্ভারে বিশ্বাস করতেও হবে না। সাতোশি নাকামোতো ইতিমধ্যে শ্বেতপত্রের 8 নম্বর বিভাগে SPV, সরলীকৃত পেমেন্ট যাচাইকরণ প্রস্তাব করেছিলেন। বিটকয়েনের BIP-157 ক্লায়েন্টদের ফিল্টার ডাউনলোড করতে এবং নিজেদের সাথে সম্পর্কিত ব্লক খুঁজে পেতে দেওয়ার অন্বেষণ চালিয়ে যাচ্ছে; ইথেরিয়ামেও লাইট ক্লায়েন্ট ডিজাইন রয়েছে। [[18]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-lightclients) সুতরাং সমস্যা এই নয় যে কেউ কখনও এটি ভাবেনি, বরং আমরা এখনও ব্যবহারকারীদের প্রতিদিন ব্যবহার করা ওয়ালেটে স্পষ্ট নিরাপত্তা শর্তসহ যাচাইকরণ ক্ষমতা তৈরি করতে পারিনি।একটি চেইনকে উদাহরণ হিসেবে নিন যা অ্যাকাউন্ট স্টেট প্রুফ সমর্থন করে: ব্যালেন্স কোয়েরি করার সময়, সার্ভারের উচিত ব্যালেন্স এবং একটি প্রুফ উভয়ই ফেরত দেওয়া। ওয়ালেট প্রথমে সেই চেইনের নিয়ম অনুযায়ী একটি সংক্ষিপ্ত ব্লক ডাইজেস্ট, অর্থাৎ ব্লক হেডার, যাচাই করে, তারপর পরীক্ষা করে যে এই ব্যালেন্সটি ডাইজেস্ট দ্বারা কমিট করা ডেটার সাথে সামঞ্জস্যপূর্ণ কিনা। সার্ভার উত্তর প্রদান করে, এবং ওয়ালেট উত্তরটি যাচাই করতে পারে। বিটকয়েনের SPV প্রমাণ করে যে সংশ্লিষ্ট লেনদেনগুলি অন্তর্ভুক্ত ছিল; এটি সরাসরি ব্যালেন্স প্রুফ হিসেবে কপি করা যায় না। ওয়ালেটের উচিত স্পষ্টভাবে প্রদর্শন করা যে এটি কোথায় সিঙ্ক্রোনাইজ হয়েছে এবং কোন তথ্য যাচাই করা হয়েছে; যখন প্রুফ অনুপস্থিত, ডেটা পুরনো, বা উৎসগুলি পরস্পরবিরোধী, তখন এটি সতর্ক করা বা এই তথ্যের উপর নির্ভর করে উচ্চ-ঝুঁকিপূর্ণ অপারেশন বন্ধ করা উচিত, এবং অবশ্যই নীরবে অন্ধ বিশ্বাসে ফিরে যাওয়া উচিত নয়।

লাইট ভেরিফিকেশনের এখনও শর্ত রয়েছে। একটি লেনদেন একটি ব্লকে অন্তর্ভুক্ত ছিল তা প্রমাণ করা ব্লকের সমস্ত লেনদেন বৈধ কিনা তা নিজে পরীক্ষা করার সমান নয়। বিভিন্ন স্কিম সংখ্যাগরিষ্ঠ হ্যাশ পাওয়ার সৎ থাকার উপর নির্ভর করতে পারে, বা একটি বিশ্বস্ত প্রাথমিক রেকর্ড, অর্থাৎ একটি চেকপয়েন্টের উপর; তাদের সার্ভারগুলি ডেটা গোপন করা বা পুরনো চেইন রেকর্ডে ব্যবহারকারীদের বিচ্ছিন্ন করার বিরুদ্ধেও সতর্ক থাকতে হবে। কোয়েরিটি নিজেই ব্যবহারকারীর关心的 ঠিকানাগুলি প্রকাশ করে কিনা তাও পরিচালনা করা প্রয়োজন। ফুল নোড এবং ব্লক প্রোডিউসার একই ভূমিকা নয়; আজ Ethereum ব্লক উৎপাদনের জন্য মাইনারদের পরিবর্তে ভ্যালিডেটর ব্যবহার করে।

আরও গুরুত্বপূর্ণভাবে, "এই স্থানান্তরটি সত্যিই অন-চেইনে ঘটেছে" প্রমাণ করা "এটি ঠিক সেই স্থানান্তর যা ব্যবহারকারী চেয়েছিলেন" প্রমাণ করতে পারে না। লাইট ক্লায়েন্টরা পূর্ববর্তী অ্যাসেট লিমিট এবং সিগনেচার চেক প্রতিস্থাপন করতে পারে না। তারা ব্যবহারকারীদের একটি অযাচাইযোগ্য উত্তরের উপর কম নির্ভর করতে দেয়, যখন অ্যাসেট পলিসি নিশ্চিত করে যে একটি বৈধ সিগনেচারও সীমাহীনভাবে অ্যাসেট নিষ্পত্তি করতে পারে না। উভয় স্তর একসাথে তৈরি করলেই ভেরিফিকেশন ক্ষমতা অংশগ্রহণকারীদের মধ্যে বিতরণ করা যায়।

৭. অসঙ্গতি শনাক্তকরণ এবং নিরাপত্তা যাচাইকরণ পাবলিক অবকাঠামো হিসেবে গড়ে তুলুন

একটি লেনদেনের আগে, কারও পরীক্ষা করা উচিত যে অপারেশনটি অ্যাসেট পলিসি মেনে চলে কিনা এবং এটি হঠাৎ ঐতিহাসিক আচরণ পরিবর্তন করে কিনা। স্পষ্ট অসঙ্গতিগুলি একটি বিরতি বা বর্ধিত পর্যালোচনা ট্রিগার করতে পারে; অনুমতি সম্প্রসারণের জন্য আরেকটি স্বাধীন পথ প্রয়োজন। AI বিচারে অংশগ্রহণ করতে পারে, কিন্তু কঠোর নিয়মকে অগ্রাহ্য করার অনুমতি পাওয়া উচিত নয়।

একই সময়ে, আমাদের যৌথভাবে আক্রমণ কেস, অনুমতি পরীক্ষা, এবং বারবার চালানো যায় এমন ভেরিফিকেশন টুল বজায় রাখতে হবে। শুধুমাত্র স্পেসিফিকেশন শেয়ার করে এবং স্বাধীন বাস্তবায়ন ও স্বাধীন যাচাইকরণ সংরক্ষণ করে সাধারণ-মোড ব্যর্থতা কমানো যায়। ফাউন্ডেশন এবং এক্সচেঞ্জগুলির ইতিমধ্যে নিরাপত্তা বিনিয়োগ রয়েছে, যেমন Ethereum Foundation-এর Trillion Dollar Security Initiative। [[19]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-initiative) পরবর্তী প্রশ্ন হল এই বিনিয়োগকে পাবলিক অবকাঠামোতে রূপান্তরিত করা যায় কিনা যা অন্যান্য দলগুলিও গ্রহণ এবং পরিদর্শন করতে পারে।এই সাতটি কাজের আইটেমের কোনোটিই নিখুঁত নিরাপত্তার নিশ্চয়তা দিতে পারে না। তাদের যা সরবরাহ করতে হবে তা হলো পরিদর্শনযোগ্য সীমানা: অনুমতি ভঙ্গের কোন পরিস্থিতিতে সর্বোচ্চ কত সম্পদ উন্মোচিত হয়, অস্বাভাবিকতা কত দ্রুত শনাক্ত করা যায়, এবং পুনরুদ্ধার এখনও কার উপর নির্ভর করে।

এই পর্যায়ে কেউ হয়তো বলতে পারেন: দিকটি সঠিক শোনাচ্ছে, কিন্তু শিল্পটি ইতিমধ্যে এত বছর ধরে চলছে; পুনর্গঠনের জন্য কত মানুষ এবং কত সময় লাগবে? এটি কি এখনও আদর্শবাদ নয়?

অতীতে সফটওয়্যার উৎপাদনের পদ্ধতি অনুযায়ী অনুমান করলে, এই সন্দেহটি খুবই বাস্তবসম্মত। কিন্তু ২০২৬ সালের মধ্যে, আমি বিশ্বাস করি কোডিং এজেন্ট এবং AI-সক্রিয় সফটওয়্যার ইঞ্জিনিয়ারিং ইতিমধ্যে আমাদের যে নির্মাণ সক্ষমতা সংগঠিত করতে পারি তা পরিবর্তন করেছে। এখানে উল্লিখিত কোডিং এজেন্ট হলো AI প্রোগ্রামিং সহায়ক যা কোড পড়তে ও লিখতে, টুল কল করতে, পরীক্ষা চালাতে এবং একটি উন্নয়ন পরিবেশে প্রতিক্রিয়ার ভিত্তিতে কাজ চালিয়ে যেতে পারে। নির্মাতারা লক্ষ্য নির্ধারণ করেন, নিরাপত্তা সীমানা সংজ্ঞায়িত করেন, এই টুলগুলি ব্যবহার করে সিস্টেম বাস্তবায়ন ও যাচাই করেন এবং ফলাফলের দায়িত্ব নেন।

পূর্বে যে কাজের জন্য বড় দলগুলিকে বারবার বাস্তবায়ন, অভিযোজন এবং রক্ষণাবেক্ষণ করতে হতো, এখন এই নতুন ইঞ্জিনিয়ারিং পদ্ধতির মাধ্যমে ছোট দলগুলি তা চেষ্টা করতে পারে। একটি দল একটি স্তর ধারণ করে, স্পষ্ট ইন্টারফেসের চারপাশে উপাদান সরবরাহ করে, এবং তারপর অন্য দলগুলি সেগুলি পরিদর্শন ও সংযুক্ত করে। মানব স্থাপত্য বিচার, কোডিং এজেন্টের বাস্তবায়ন ক্ষমতা এবং স্বাধীন নিরাপত্তা যাচাইয়ের সংগঠন করা, আমার মতে, হলো সেই নির্মাণ পথ যা গুরুত্বের সাথে পুনর্মূল্যায়ন করা উচিত।

Anthropic এবং PNNL-এর গবেষণা একটি নির্দিষ্ট উদাহরণ দেয়: একটি সীমিত গুরুত্বপূর্ণ অবকাঠামো সিমুলেশন পরিবেশে, গবেষকরা রিপোর্ট করেছেন যে আক্রমণ পুনর্গঠন সম্ভবত কয়েক সপ্তাহ থেকে প্রায় তিন ঘণ্টায় সংক্ষিপ্ত করা হয়েছে। [[20]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-ai) এটি প্রমাণ করতে পারে না যে একটি ছোট দল ইতিমধ্যে নিরাপদে সমগ্র শিল্প পুনর্লিখন করতে পারে, তবে এটি দেখায় যে পূর্বে ব্যয়বহুল যাচাইকরণ এবং আক্রমণ-প্রতিরক্ষা কাজের নতুন ব্যয়ের শর্ত থাকতে পারে।

এখনই শুরু করা যেতে পারে এমন একটি সাংগঠনিক পদ্ধতি হলো যৌথভাবে একটি Build in Public AI Factory নির্মাণ করা। শিল্প বিশেষজ্ঞ, পণ্ডিত এবং অনুশীলনকারীরা প্রকাশ্যে প্রয়োজনীয়তা এবং গ্রহণযোগ্যতা স্পেসিফিকেশন (spec) লেখেন, ব্যাখ্যা করেন কী সুরক্ষিত করতে হবে, কোন অপারেশন অনুমোদিত, এবং কোন অনুমতি ভঙ্গের পরে কোন সীমানা এখনও বজায় থাকতে হবে, এবং তারপর এই প্রয়োজনীয়তাগুলিকে গ্রহণযোগ্যতা পরীক্ষায় রূপান্তরিত করেন। কোডিং এজেন্টের দলগুলি প্রধান কোডিং, পরীক্ষা এবং ডিবাগিং কাজ গ্রহণ করে; বিভিন্ন দল নকশা এবং ফলাফল পরিদর্শন করে, এবং মানুষ বিচার ও গ্রহণযোগ্যতার দায়িত্ব বহন করে।অংশগ্রহণকারীরা ধারণা, মেশিন, কম্পিউটিং শক্তি এবং মডেল আহ্বান কোটা, অর্থাৎ AI টোকেন অবদান রাখতে পারেন। AI ও ক্লাউড কম্পিউটিং কোম্পানিগুলোও মডেল কোটা, কম্পিউটিং রিসোর্স ও টুলের মাধ্যমে এই পাবলিক নির্মাণকে সহায়তা করতে পারে। স্পেক, প্রোটোটাইপ কোড, এজেন্ট ওয়ার্কফ্লো, টেস্ট এনভায়রনমেন্ট এবং ভেরিফিকেশন ফলাফল—সবই সাধারণভাবে রক্ষণাবেক্ষণ করা زیرস্ট্রাকচার হয়ে উঠতে পারে, যাতে পরবর্তী দল সরাসরি সেখান থেকেই কাজ চালিয়ে যেতে পারে। লক্ষ্য হলো ডেভেলপমেন্ট সক্ষমতাকে পুনরায় ব্যবহারযোগ্য পাবলিক সুবিধায় পরিণত করা এবং কোনো একক ব্যক্তির সময় বা কোনো একক দলের ওপর নির্ভরতা কমানো।

আক্রমণকারীরাও AI ব্যবহার করছে, এবং প্রতিরক্ষাকে অতীতের উৎপাদন পদ্ধতিতে ফেলে রাখার আর আমাদের কোনো কারণ নেই। [[21]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-aiattacks) কিন্তু কোড জেনারেশন দ্রুত হওয়া কেবল সূচনা বিন্দু। সীমাবদ্ধতাগুলো স্পষ্টভাবে লিখে, টেস্টগুলো বারবার চালানোর উপযোগী করে এবং একটি কম্পোনেন্টকে পরিদর্শনযোগ্য ও প্রতিস্থাপনযোগ্য করে তবেই AI সক্ষমতাকে ইনফ্রাস্ট্রাকচার উন্নয়নে রূপান্তরিত করা যায়।

স্বাধীন নির্মাতারা কোডিং এজেন্ট ও AI টুলের সহায়তায় একসাথে কাজ করেন। স্পেস ওয়ার্কশপ হলো পাবলিক নির্মাণের একটি রূপক। আমি বিশেষভাবে এই আহ্বানটি তাদের প্রতি জানাতে চাই যারা এখনও নির্মাণ করতে ভালোবাসেন। এখানে "হ্যাকার" বলতে এমন কাউকে বোঝায় যে একটি সিস্টেম কীভাবে কাজ করে তা বের করতে ইচ্ছুক, যা খুঁজে পান তা ভাগ করতে ইচ্ছুক এবং অন্যদের তার কাজ পরীক্ষা করতে দিতে ইচ্ছুক। সেই চেতনা একসময় ইন্টারনেটকে এগিয়ে নিয়েছিল, আজ তা ক্রিপ্টোকেও এগিয়ে নিতে পারে।

আমি বিশ্বাস করি না যে এই ইন্ডাস্ট্রিতে বুদ্ধিমান মানুষের অভাব আছে, এবং আমি বিশ্বাস করি না যে ক্রিপ্টো ও AI ইন্ডাস্ট্রি এই কাজকে সহায়তা করার সম্পদ খুঁজে পাবে না। আরও কঠিন হলো প্রতিভা, অর্থায়ন এবং দীর্ঘস্থায়ী দায়িত্ব একসাথে সংগঠিত করা। ফাউন্ডেশন এবং সক্ষম কোম্পানিগুলোর এমন মৌলিক কাজের দীর্ঘমেয়াদি ব্যয় বহন করতে ইচ্ছুক হওয়া উচিত যা সরাসরি আয় তৈরি করে না কিন্তু সবার উপকারে আসে।

আমি আশা করি সবাই একসাথে একটি বিশ্বব্যাপী শেয়ার্ড ক্রিপ্টোগ্রাফিক ইনফ্রাস্ট্রাকচার গড়ে তুলতে পারবেন। বিভিন্ন নেটওয়ার্ক ও দল শেয়ার্ড নিরাপত্তা সীমাবদ্ধতার অধীনে সহযোগিতা করতে পারে, প্রত্যেকে নিজেদের সমাধান বাস্তবায়ন ও একে অপরের সমাধান পরীক্ষা করতে পারে, এবং ব্যবহারকারীরা বেছে নিতে ও মাইগ্রেট করতে পারেন। এটি একটি একক কম্পোনেন্ট দিয়ে শুরু হতে পারে, কিন্তু দিকটি যথেষ্ট বড় হওয়া উচিত যাতে পুরো ইন্ডাস্ট্রি একসাথে নির্মাণ করতে পারে। সব অংশগ্রহণকারী, ArcBlock সহ, যাচাইযোগ্য কাজে অবদান রাখা উচিত।

আমাদের যৌথভাবে এমন এক ধরনের ইনফ্রাস্ট্রাকচার গড়ে তোলা উচিত যেখানে কোনো অংশ আপস হলেও সম্পদের সীমা থাকবে, অন্যান্য সিস্টেম এখনও ত্রুটি প্রত্যাখ্যান করতে পারবে, এবং ব্যবহারকারীদের পুনরুদ্ধার ও প্রস্থানের পথ থাকবে। স্টার ওয়ার্স থেকে নাম ধার করে, এটাই আমাদের A New Hope। [[22]](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fn-starwars) আশাটি আসে সাধারণ নির্মাতাদের কাছ থেকে যারা কাজ করতে ইচ্ছুক, এবং এই মুহূর্ত থেকেও যখন কোডিং এজেন্ট ও নতুন ইঞ্জিনিয়ারিং পদ্ধতি তাদের আরও নির্মাণ কাজ নিতে সক্ষম করে তুলছে।আমি Ethereum, Solana, Bitcoin এবং XRP Ledger-এর মতো প্রকল্পের নির্মাতাদের, Binance, Coinbase এবং Kraken-এর মতো এক্সচেঞ্জগুলোর, এবং সেইসঙ্গে ওয়ালেট, প্রোটোকল, নিরাপত্তা গবেষণা, AI এবং ক্লাউড কম্পিউটিং দলগুলোর প্রতি আমন্ত্রণ জানাতে চাই: একটি স্পষ্টভাবে নির্ধারিত পরিধিসহ পাইলট দিয়ে শুরু করুন এবং যৌথভাবে এমন উন্নতি তৈরি করুন যা অন্য দলগুলো গ্রহণ ও পরীক্ষা করতে পারে।

উল্লিখিত নামগুলো কেবল উদাহরণ, কোনো নির্দিষ্ট ক্রম ছাড়াই। আকার বা আপনি যে প্রযুক্তিগত পথই বেছে নিন না কেন, আপনাকে স্বাগতম। এই আমন্ত্রণে এই নিবন্ধে সমালোচিত প্রযুক্তিগত পথগুলোর নির্মাতারাও অন্তর্ভুক্ত; সম্পদের নিরাপত্তা যৌথভাবে উন্নত করা আমাদের নিজ নিজ ইকোসিস্টেমের সীমানা অতিক্রম করার যোগ্য।

আমি নিজে অংশগ্রহণ করতে এবং আমাদের বিদ্যমান অবকাঠামো, সফটওয়্যার ইঞ্জিনিয়ারিং এবং AI সহযোগিতা অনুশীলনে অবদান রাখতে ইচ্ছুক। আমরা শিল্পে একটি ছোট দল, এবং আমরা যা করতে পারি তা সীমিত। আমি একটি প্রোটোটাইপ এবং একগুচ্ছ পুনরাবৃত্তিযোগ্য পরীক্ষা দিয়ে শুরু করতে চাই।

ব্যবহারিক পরিচালন অভিজ্ঞতাসম্পন্ন ব্যক্তিরা ডিসেনসিটাইজড আক্রমণ পরিস্থিতি প্রদান করতে পারেন, ওয়ালেট ও প্রোটোকল দলগুলো সুরক্ষা বাস্তবায়ন করতে পারে, এবং স্বাধীন গবেষকরা সেগুলো বাইপাস করার চেষ্টা করতে পারেন। প্রতিটি দল তার সামর্থ্যের অংশটি গ্রহণ করবে, যৌথভাবে সমাধানটি পরীক্ষা করবে এবং পরবর্তী পদক্ষেপ নির্ধারণ করবে।

আমি এই নিবন্ধে বর্ণিত সম্পদ সীমাবদ্ধতা ও পুনরুদ্ধারের প্রয়োজনীয়তাগুলোকে প্রথম পাবলিক স্পেক-এ সংগঠিত করতে অংশগ্রহণ করতে ইচ্ছুক, এবং এই পাইলটের জন্য অন্যান্য অংশগ্রহণকারীদের সঙ্গে মিলে একটি পাবলিক AI Factory নির্মাণে প্রাসঙ্গিক প্রযুক্তিগত ও প্রকৌশল অনুশীলনে অবদান রাখতেও ইচ্ছুক। প্রথমে একটি খুব নির্দিষ্ট সমস্যা বেছে নিন: দৈনন্দিন লেনদেনের কী একবার compromised হয়ে গেলে, কীভাবে এখনও আক্রমণকারীকে ওয়ালেট একবারে খালি করা থেকে বিরত রাখা যায়? অনুমোদিত ক্ষতির পরিসর, নিয়ম পরিবর্তনের কর্তৃত্ব এবং পুনরুদ্ধারের শর্তগুলো acceptance test-এ লিখুন, তারপর development agent দিয়ে একটি প্রোটোটাইপ বাস্তবায়ন করুন, এবং আরেক দল agent ও স্বাধীন গবেষককে বাইপাস পথ খুঁজতে দিন। ভুল ব্যালেন্স ফেরত দেওয়া ডেটা সার্ভার, এবং ডিভাইস হারানোর পর পুনরুদ্ধারও ধীরে ধীরে পরীক্ষায় যোগ করা যেতে পারে। প্রোটোটাইপ কী অর্জন করেছে, কোথায় ব্যর্থ হয়েছে এবং কী কী নির্ভরতা রয়ে গেছে তা সবই প্রকাশ্যে ব্যাখ্যা করা উচিত, এবং প্রমাণের ভিত্তিতে পরবর্তী পদক্ষেপ নির্ধারণ করা উচিত।

যারা অংশগ্রহণ করতে ইচ্ছুক তাদের স্বাগতম X-এ এই উদ্যোগটি প্রকাশ্যে রিপোস্ট বা উদ্ধৃত করতে এবং @mave99a-কে মেনশন করতে, এবং আপনি যে সমস্যাটি সমাধান করতে চান, ডিসেনসিটাইজড আক্রমণের ঘটনা, বা আপনি যে সম্পদ অবদান রাখতে পারেন সে সম্পর্কে কথা বলতে। আমি চাই আলোচনা প্রকাশ্যে 진행 হোক, যাতে আরও নির্মাতা এটি দেখতে এবং যোগ দিতে পারেন।

Crypto এভাবে চলতে পারে না। যারা একসঙ্গে কাজ করতে ইচ্ছুক, আসুন আমরা এখনই কাজ করি, এমন একটি উন্নতি দিয়ে শুরু করি যা তৈরি করা যায় এবং পরীক্ষা সহ্য করতে পারে।Binance, প্রাথমিক ঘোষণার অফিসিয়াল পোস্ট এবং ফলো-আপ তদন্তের অফিসিয়াল আপডেট, 2026-10-30; TRM মাল্টি-চেইন বিশ্লেষণ। এই খসড়াটি 2026-10-30 তারিখে যাচাই করা হয়েছে; তদন্ত ও পুনরুদ্ধারের অবস্থা পরিবর্তিত হতে পারে। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-binance)

Satoshi Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, 2008। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-bitcoin)

Uniswap, Unichain EVM Equivalence। শেয়ারড ডিপেন্ডেন্সির ঝুঁকি ঘনত্ব এই নিবন্ধে লেখকের বিচার, ওই নথির সিদ্ধান্ত নয়। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-evm)

Vitalik Buterin, Sam Wilson, Ansgar Dietrichs, lightclient, EIP-7702: Set Code for EOAs, তৈরি 2024-05-07। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-7702)

Minfeng Qi, Qin Wang, Ruiqiang Li, Tianqing Zhu, Shiping Chen, EIP-7702 Phishing Attack, 2025-12-13, arXiv v1 প্রিপ্রিন্ট; এটি এই Binance ঘটনার শনাক্তকরণ নয়। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-phishing)

Ethereum, Maximal extractable value (MEV), অর্ডারিং মেকানিজম, বিভিন্ন ধরন এবং নেতিবাচক প্রভাব; "একটি বাগ হিসেবে ঠিক করা উচিত" হলো ব্যবহারকারীদের ক্ষতি করে এমন আচরণের প্রতি লেখকের প্রকৌশলগত অবস্থান। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-mev)

PHP অফিসিয়াল 2026 সংবাদ আর্কাইভ; CISA 2026-10-26 Known Exploited Vulnerabilities আপডেট, CVE-2026-109618, CVE-2026-109619। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-php)

Safe, Guards and Modules, কার্যকারিতা এবং অনুমতি ঝুঁকির বিবরণ। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-guards)

Apple, Apple to expand repair options with support for used genuine parts, 2024-04-11; বর্তমান পার্টস পেয়ারিং সমর্থন বিবরণ। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-apple)Ledger, Ledger's Response to the Hardware Implant Attack, 2026-10, ডিস্ট্রিবিউশন চেইনে একটি আক্রমণ সম্পর্কে ভেন্ডর বিবৃতি; Joe Grand, হার্ডওয়্যার ইমপ্ল্যান্ট নিয়ে রিভার্স ইঞ্জিনিয়ারিং গবেষণা। অযাচাইকৃত নেটওয়ার্ক ক্ষতির অনুমানকে চূড়ান্ত সিদ্ধান্ত হিসেবে উপস্থাপন করবেন না। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-ledgerimplant)

Coinkite, Current COLDCARD Security Status, অ্যাক্সেস 2026-10-30, জুলাই 2026 ঘটনা এবং প্রতিকারের ধারাবাহিকভাবে আপডেট করা রেকর্ড; আপগ্রেড এবং সিড মাইগ্রেশন দুটি পৃথক অপারেশন। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-coldcard)

ERC-4337: Account Abstraction Using Alt Mempool; Trezor, SLIP39 FAQs, থ্রেশহোল্ড রিকভারি, সামঞ্জস্যতা এবং অতিরিক্ত পাসফ্রেজ ঝুঁকি। বিদ্যমান মেকানিজম হলো নির্মাণের ভিত্তি, এবং এর অর্থ এই নয় যে প্রতিটি ডিপ্লয়মেন্ট নির্ভরযোগ্য। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-walletstandards)BIP-174: আংশিকভাবে স্বাক্ষরিত বিটকয়েন লেনদেনের ফরম্যাট, যা অস্বাক্ষরিত লেনদেনের জন্য একটি বিনিময় ফরম্যাট, কোনো ক্রস-চেইন সাধারণ সম্পদ কৌশল স্পেসিফিকেশন নয়। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-psbt)

W3C, যাচাইযোগ্য ক্রেডেনশিয়াল ওভারভিউ v1.0, 2026-07-30 গ্রুপ নোট; ইথেরিয়াম গোপনীয়তা নোট। ওভারভিউতে বর্ণিত প্রযুক্তিগুলোর মানদণ্ডের অবস্থা প্রতিটি ক্ষেত্রে স্বতন্ত্র। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-privacy)

CoW Protocol ডকুমেন্টেশন, লেনদেনের অভিপ্রায় ও সলভার মেকানিজম; এই নিবন্ধটি কোনো নির্দিষ্ট ডিপ্লয়মেন্টের জন্য সম্পূর্ণ নিরাপত্তা সমর্থন প্রদান করে না। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-routing)

iShares, IBIT 2025 বার্ষিক প্রতিবেদন, PDF পৃষ্ঠা ৮–১০ কাস্টডি ব্যবস্থা এবং পৃষ্ঠা ৪৫ ঝুঁকি প্রকাশ। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-ibit)

Mark Nottingham, RFC 9518: কেন্দ্রীকরণ, বিকেন্দ্রীকরণ এবং ইন্টারনেট মানদণ্ড, 2023-12, স্বাধীনভাবে জমা দেওয়া, তথ্যমূলক RFC, মানদণ্ড-ট্র্যাক স্পেসিফিকেশন নয়। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-layers)

বিটকয়েন শ্বেতপত্রের অনুচ্ছেদ ৮ সরলীকৃত পেমেন্ট যাচাইকরণ; BIP-157: ক্লায়েন্ট সাইড ব্লক ফিল্টারিং; ইথেরিয়াম, লাইট ক্লায়েন্ট। বিভিন্ন লাইট ক্লায়েন্টের যাচাইকরণের পরিধি ও বিশ্বাসের শর্ত ভিন্ন। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-lightclients)

ইথেরিয়াম ফাউন্ডেশন, ট্রিলিয়ন ডলার সিকিউরিটি ইনিশিয়েটিভ ঘোষণা, 2025-05-14। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-initiative)

Anthropic, গুরুত্বপূর্ণ অবকাঠামো রক্ষায় AI, 2026-01-08, PNNL-এর সাথে সহযোগিতায় সীমিত-পরিবেশ গবেষণা। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-ai)

Anthropic, AI-সক্ষম সাইবার হুমকির ম্যাপিং, প্রকৃত অপব্যবহারের নমুনার উপর গবেষণা। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-aiattacks)

Lucasfilm, স্টার ওয়ার্স: আ নিউ হোপ (এপিসোড IV), 1977; এই নিবন্ধটি শিরোনাম এবং যৌথ আত্মরক্ষার চিত্রকল্প ধার করেছে। [↩](https://www.arcblock.io/zh/articles/crypto-security-rebuild/" \l "fnref-starwars)