গত মার্চ মাসে বহুল আলোচিত Euler Finance প্রোটোকলে প্রায় ২০ কোটি ডলারের সমপরিমাণ ক্রিপ্টো সম্পদ হ্যাকিংয়ের ঘটনাটি ব্লকচেইন, ক্রিপ্টোকারেন্সি এবং ওয়েব৩ ইকোসিস্টেমের অন্তর্নিহিত নিরাপত্তা দুর্বলতাগুলোকে পুনরায় সামনে এনেছে। ডিফাই (Decentralized Finance) প্রোটোকলগুলো তার বিকেন্দ্রীভূত কাঠামোর কারণে যেমন নতুন সম্ভাবনার দ্বার খুলেছে, তেমনি স্মার্ট কন্ট্রাক্টের ত্রুটি, ফ্লাশ লোন আক্রমণ, অর‍্যাকল ম্যানিপুলেশন এবং ব্রিজের দুর্বলতার কারণে নিয়মিতভাবে সাইবার হামলার শিকার হচ্ছে। এই ধরনের ঘটনাগুলো কেবলমাত্র আর্থিক ক্ষতির কারণ হচ্ছে না, বরং এই উদীয়মান প্রযুক্তির প্রতি ব্যবহারকারী ও প্রাতিষ্ঠানিক বিনিয়োগকারীদের আস্থাকে প্রশ্নবিদ্ধ করছে, যা ওয়েব৩-এর বৃহত্তর গ্রহণ প্রক্রিয়ায় একটি বড় চ্যালেঞ্জ হয়ে দাঁড়িয়েছে।

ডিফাই প্রোটোকলগুলোর নিরাপত্তা দুর্বলতার মূলে রয়েছে তাদের স্মার্ট কন্ট্রাক্টগুলোর জটিলতা এবং কোডিং ত্রুটি। একটি স্মার্ট কন্ট্রাক্ট একবার ব্লকচেইনে স্থাপন করা হলে, তার কোডে কোনো ত্রুটি থাকলে তা সহজে সংশোধন করা যায় না। হ্যাকাররা প্রায়শই এই ত্রুটিগুলোর সুযোগ নিয়ে প্রোটোকলের লিকুইডিটি পুল থেকে তহবিল সরিয়ে নেয়। উদাহরণস্বরূপ, ক্রস-চেইন ব্রিজগুলো, যা বিভিন্ন ব্লকচেইনের মধ্যে সম্পদ স্থানান্তরে সহায়তা করে, প্রায়শই বড় ধরনের হামলার লক্ষ্যবস্তু হয়। Poly Network ব্রিজে ঘটে যাওয়া ৬১ কোটি ডলারের হ্যাকিং এবং Ronin Bridge-এ ৬২ কোটি ডলারের সাইবার আক্রমণ এই ধরনের দুর্বলতার ভয়াবহতা তুলে ধরে। এই আক্রমণগুলো কেবল কোডিং ত্রুটির কারণে নয়, বরং কেন্দ্রীভূত মাল্টি-সিগ ওয়ালেটগুলোর নিরাপত্তা দুর্বলতা বা ব্যক্তিগত চাবি (private key) লঙ্ঘনের ফলেও ঘটে থাকে। এছাড়া, অর‍্যাকল ম্যানিপুলেশন যেখানে অফ-চেইন ডেটা অন-চেইন স্মার্ট কন্ট্রাক্টে প্রবেশ করানোর সময় মূল্য কারসাজি করা হয়, তাও ডিফাই প্রোটোকলের জন্য একটি বড় হুমকি। এই ধরনের হামলা ইকোসিস্টেমের স্থিতিশীলতাকে মারাত্মকভাবে ক্ষতিগ্রস্ত করে এবং উদ্ভাবনের গতিকে মন্থর করে দেয়।

বাংলাদেশের প্রেক্ষাপটে, ব্লকচেইন এবং ওয়েব৩ প্রযুক্তিকে ঘিরে আগ্রহ বাড়লেও এর নিরাপত্তা ও নিয়ন্ত্রক কাঠামো এখনো প্রাথমিক পর্যায়ে রয়েছে। ICT Division এবং a2i যৌথভাবে ব্লকচেইন কৌশল নিয়ে কাজ করলেও, ডিফাই প্রোটোকলের সুনির্দিষ্ট নিরাপত্তা মান এবং ঝুঁকি ব্যবস্থাপনার বিষয়ে স্পষ্ট নীতিমালার অভাব রয়েছে। BHTPA (বাংলাদেশ হাই-টেক পার্ক কর্তৃপক্ষ) বিভিন্ন ব্লকচেইন স্টার্টআপকে সহায়তা করলেও, তাদের প্ল্যাটফর্মগুলোর নিরাপত্তা নিরীক্ষা এবং কোড স্ট্যান্ডার্ডাইজেশনের জন্য কঠোর নিয়মকানুন এখনো সেভাবে প্রতিষ্ঠিত হয়নি। BASIS (বাংলাদেশ অ্যাসোসিয়েশন অফ সফটওয়্যার অ্যান্ড ইনফরমেশন সার্ভিসেস) যদিও ডিজিটাল অর্থনীতির প্রসারে ভূমিকা রাখছে, ক্রিপ্টোকারেন্সি ও ডিফাই-এর মতো উচ্চ-ঝুঁকিপূর্ণ খাতে নিরাপত্তা প্রোটোকল এবং ব্যবহারকারী সুরক্ষার বিষয়ে তাদের নীতিগত অবস্থান আরও স্পষ্ট হওয়া প্রয়োজন। আন্তর্জাতিকভাবে, বিশেষ করে ইউরোপীয় ইউনিয়ন এবং সিঙ্গাপুরের মতো দেশগুলো ডিফাই নিয়ন্ত্রণের জন্য স্যান্ডবক্স এবং লাইসেন্সিং ফ্রেমওয়ার্ক নিয়ে পরীক্ষা-নিরীক্ষা চালাচ্ছে, যা আমাদের জন্য একটি গুরুত্বপূর্ণ শিক্ষণীয় বিষয় হতে পারে। ওয়েব৩-এর ভবিষ্যৎ কেবল প্রযুক্তির উদ্ভাবনের উপর নির্ভরশীল নয়, বরং এই প্রযুক্তির মাধ্যমে সৃষ্ট ঝুঁকিগুলো কতটা কার্যকরভাবে মোকাবিলা করা যায় তার উপরও নির্ভরশীল।

উৎস: CertiK, Chainalysis, DeFillama (২০২২ সালের শেষ পর্যন্ত সংগৃহীত তথ্য)

সুপারিশ

• BTRC (বাংলাদেশ টেলিযোগাযোগ নিয়ন্ত্রণ কমিশন) এবং ICT Division-কে যৌথভাবে ব্লকচেইন ও ডিফাই প্রোটোকলের জন্য একটি জাতীয় সাইবার নিরাপত্তা মানদণ্ড (Cybersecurity Standard) প্রণয়ন করতে হবে, যেখানে স্মার্ট কন্ট্রাক্ট অডিট, থার্ড-পার্টি ভেরিফিকেশন এবং ঝুঁকি ব্যবস্থাপনার সুস্পষ্ট নির্দেশনা থাকবে। এটি ডিফাই প্রকল্পগুলোকে বাধ্যতামূলকভাবে অনুসরণ করতে হবে।
• a2i-কে একটি বিশেষায়িত 'ব্লকচেইন নিরাপত্তা গবেষণা ল্যাব' প্রতিষ্ঠা করতে হবে, যা ডিফাই প্রোটোকলের দুর্বলতা বিশ্লেষণ, নতুন আক্রমণ ভেক্টর শনাক্তকরণ এবং দেশীয় ব্লকচেইন ডেভেলপারদের জন্য নিয়মিত নিরাপত্তা প্রশিক্ষণ আয়োজন করবে। এই ল্যাবকে দেশীয় বিশ্ববিদ্যালয় এবং আন্তর্জাতিক ব্লকচেইন নিরাপত্তা সংস্থাগুলির সাথে অংশীদারিত্ব স্থাপন করতে হবে।
• BASIS এবং BHTPA-কে যৌথভাবে একটি 'ডিফাই রেগুলেটরি স্যান্ডবক্স' চালু করতে হবে, যেখানে ব্লকচেইন স্টার্টআপগুলো নিয়ন্ত্রিত পরিবেশে তাদের ডিফাই প্রোটোকল পরীক্ষা করতে পারবে। এই স্যান্ডবক্সের মাধ্যমে ICT Division-এর তত্ত্বাবধানে নিরাপত্তা মান পূরণের পর প্রকল্পগুলোকে আনুষ্ঠানিক অনুমোদন দেওয়ার ব্যবস্থা করতে হবে, যা উদ্ভাবনকে উৎসাহিত করার পাশাপাশি ব্যবহারকারী সুরক্ষাও নিশ্চিত করবে।