টাকা ঠিক কীভাবে বের হয় — আর যেকোনো ওয়ালেটে কী দেখবেন
প্রতিটি উপায়ের নিচে: কী ঘটে, বাস্তব ঘটনা, এক মিনিটের যাচাই, আর Mitilena-র সৎ উত্তর। «আমরা কীভাবে করি» ব্লক অ্যাপের কোডের সাথে মিলিয়ে দেখা। «বিশ্বাস করুন» নয়: ওয়েব বিল্ড লোকাল প্রক্সি দিয়ে চালিয়ে সব ট্রাফিক ডিক্রিপ্ট দেখতে পারেন।
কী জন্মায় অন্য জায়গায়
ওয়ালেট সার্ভারে কী তৈরি করে, অথবা তৈরির পরপরই সেখানে পাঠায় — «ক্লাউড ব্যাকআপ» বা «ফোন নম্বর দিয়ে রিস্টোর» বলে। সেই মুহূর্ত থেকে আপনার কয়েন খরচ করতে পারেন একা আপনি নন।
কী র্যান্ডম — কিন্তু অনুমানযোগ্য
কী হলো খুব বড় একটি র্যান্ডম সংখ্যা। RNG দুর্বল হলে আসল কী কম, আর আক্রমণকারী সব গ্রাহককে একসাথে ব্রুট-ফোর্স করে — কখনো বছর পরেও। হার্ডওয়্যার ওয়ালেট বাঁচায় না: জেনারেটর সেখানেও থাকে।
কী লিক হয় লগ ও অ্যানালিটিক্স দিয়ে
কেউ চুরি করতে চায়নি। ক্র্যাশ রিপোর্ট বা অ্যানালিটিক্স ইভেন্ট পুরো স্ক্রিন ধরে ফেলে — সিড ফ্রেজসহ। লগ থাকে থার্ড-পার্টি সার্ভিসে, ডজনখানেক মানুষ আর সেই সার্ভিস হ্যাক করলে সবার কাছে খোলা।
দেখেন একটা, স্বাক্ষর করেন অন্যটা
স্ক্রিনে: মায়ের কাছে ট্রান্সফার। স্বাক্ষরে: চোরের কাছে ট্রান্সফার বা কন্ট্রাক্ট ওনার বদল। ক্লিপবোর্ড ট্রোজান, ব্রাউজার এক্সটেনশন বা হ্যাক করা UI বদলে দেয়। স্বাক্ষর আসল — আপনারই — আর নেটওয়ার্ক গ্রহণ করবে।
ট্রান্সফার স্বাক্ষর করছেন না — অ্যাপ্রুভাল স্বাক্ষর করছেন
সাইট বলে «ওয়ালেট কানেক্ট করে কনফার্ম করুন»। আপনি আনলিমিটেড approve বা Permit স্বাক্ষর করেন — আর বিদেশি কন্ট্রাক্ট যখন খুশি টোকেন টেনে নিতে পারে: এক দিন পরে বা এক মাস পরে।
ব্যাকডোরসহ আপডেট
ওয়ালেট সৎ; লাইব্রেরি বা বিল্ড নয়: হ্যাক করা ডেভেলপার অ্যাকাউন্ট, বদলানো ডিপেনডেন্সি, বিল্ড মেশিনে বিদেশি কোড। পরের আপডেট একসাথে সবার কী তুলে নেয় — আর আপনি শুধু Update ট্যাপ করেছেন।
ওয়ালেটের ছদ্মবেশে নকল
একই নাম ও আইকনের স্টোর ক্লোন, দেখতে-মিল সাইট, আসলের উপরে বিজ্ঞাপন, Telegram-এ «আপডেট»। ভিতরে: ফর্ম বলে «রিস্টোর করতে সিড লিখুন»। যা লিখবেন সোজা চোরের কাছে যায়।
নন-কাস্টোডিয়ালের ছদ্মবেশে কাস্টোডিয়াল
UI ওয়ালেটের মতো, কিন্তু আপনার কী নেই: কয়েন কোম্পানির অ্যাকাউন্টে, আপনি তাদের ডাটাবেসের এক সারি। কোম্পানি ফ্রিজ করতে পারে, কাগজ চাইতে পারে, দেউলিয়া হতে পারে বা উধাও হতে পারে। এটা আলাদা প্রোডাক্ট — আর সেটা সোজাসাপটা বলা উচিত।
কী ডিভাইসে খোলা অবস্থায় থাকে
ওয়ালেট «সুবিধার জন্য» কী সেভ করে — আনএনক্রিপ্টেড ফাইল, iCloud বা Google ব্যাকআপ, স্ক্রিনশট। তারপর ক্রিপ্টোগ্রাফি ভাঙার দরকার নেই — ব্যাকআপ অ্যাক্সেস বা ফোন হাতে পাঁচ মিনিটই যথেষ্ট।
কী লিক হয় স্বাক্ষরের ভিতর দিয়েই
সবচেয়ে চুপচাপ উপায়। ECDSA স্বাক্ষরে একটা র্যান্ডম সংখ্যা থাকে, আর টুইক করা লাইব্রেরি দুই-তিনটা সাধারণ স্বাক্ষরের ভিতরে আপনার কী-র টুকরো লুকাতে পারে। সব চলে; চেইন পড়ে কেউ কী জোড়া লাগায়।
সোয়াপে চুপচাপ কাটছাঁট
ওয়ালেট «চুরি» করছে না — «আয়» করছে: সোয়াপ চলে নিজের র্যাপার কন্ট্রাক্ট দিয়ে, রেটে মার্কআপ গেঁথে দেওয়া, স্লিপেজ এমন যে টের পান না। টাকা তবু চুপচাপ বের হয়।
ভেতর থেকেই সিড চায়
ওয়ালেট চ্যাটে «সাপোর্ট», পপআপ «রিকভারি ফ্রেজ কনফার্ম করুন», ইমেইল «সিকিউরিটি আপডেট»। ওয়ালেট আসল হতে পারে; উইন্ডো নয়: এক্সটেনশন, ওভারলে পেজ, লিক হওয়া কাস্টমার লিস্টে মেইল।
পাঁচ মিনিটে ওয়ালেট যাচাই করুন
বারো প্রশ্ন। যত বেশি «হ্যাঁ», তত নিশ্চিন্ত। সেভ করে যেকোনো ওয়ালেট দিয়ে চালান — আমাদেরটাসহ।
ওয়ালেট যা আটকাবে না
চুরি হওয়া কী মানেই সঙ্গে সঙ্গে চুরি নয়সবচেয়ে আগে
ওয়ালেট এক বছর আগেই কমপ্রোমাইজড হতে পারে; টাকা বের হয় যেদিন বড় অঙ্ক জমা দেন — আর কোথায় কী ইনস্টল করেছিলেন মনে থাকবে না। তাই মাঝে মাঝে নতুন ওয়ালেট খুলুন, নতুন কী-তে ফান্ড সরান — বিশেষ করে বড় টপ-আপের আগে — আর অ্যাপ আপডেট রাখুন।
আপনার ডিভাইসে ভাইরাস
কীলগার, ক্লিপবোর্ড ট্রোজান, সাপোর্টের «রিমোট অ্যাক্সেস»। স্বাক্ষর হয় যেখান থেকে শুরু করেন: ইনফেক্টেড ফোনে নিরাপদ ওয়ালেট নেই। বড় অঙ্কে — NFC কার্ড অথবা ইন্টারনেটহীন ডিভাইসে স্বাক্ষর।
খোলা সিড
গ্যালারিতে ছবি, ক্লাউডে নোট, মনিটরে স্টিকার। ওয়ালেট কী ঠিকমতো রাখে — কপি আপনি নিজেই দিয়ে দিয়েছেন।
নিজেই স্বাক্ষর করেছেন
স্ক্যাম প্রজেক্ট, «গ্যারান্টিড ইল্ড ম্যানেজার», «উইথড্রয়াল কনফার্ম»। ওয়ালেট দেখাবে কী স্বাক্ষর করছেন — সিদ্ধান্ত আপনারই।
পাবলিক ব্লকচেইন
ঠিকানা, অঙ্ক ও ট্রান্সফারের সময় চিরকাল সবার চোখে। প্রাইভেসি আসে ঠিকানার যত্ন বা Monero-র মতো নেটওয়ার্ক থেকে — ওয়ালেট থেকে নয়।
«ওপেন সোর্স» অন্ধভাবে বিশ্বাস করবেন না
পাবলিক রিপোজিটরি বাঁচায় না: রিলিজে এক ইনজেক্টই যথেষ্ট। আসল যাচাই — লোকাল প্রক্সি স্ট্যান্ডে নিজের ট্রাফিক, সব ডিক্রিপ্ট। Mitilena দেখতে আমরা সেভাবেই ডাকি: এক্সচেঞ্জে কী যায় না — চোখে দেখেন, «GitHub সবুজ বলে» নয়।
সফটওয়্যার যথেষ্ট নয় — বোবা ক্যারিয়ার ও এয়ার-গ্যাপ নিন
«ফ্যাক্টরির জাদু চিপ» নয়। Mitilena NFC কার্ড শুধু মেমোরি — কী আপনি নিজে এনক্রিপ্ট করেন। আলটিমেট কিটে যোগ হয় ইন্টারনেটহীন ডিভাইসে জেনারেশন ও স্বাক্ষর: নেটওয়ার্ক দিয়ে কী লিক হওয়ার জায়গা নেই। কার্ড আসে খালি — কুরিয়ার ও ওয়্যারহাউস হিসাবের বাইরে।
আপনার ডিভাইসে ভাইরাস
সিম ও ইন্টারনেটহীন আলাদা ফোনে স্বাক্ষর: ট্রানজেকশন QR দিয়ে যায়, স্বাক্ষরিত ফিরে আসে; কী নেটওয়ার্কযুক্ত ডিভাইসে থাকে না। সহজ স্তর — মেইন ফোনে কার্ড: স্বাক্ষরের সেকেন্ডে আইসোলেটেড এনভায়রনমেন্টে কী দেখা যায়, তারপর মুছে যায়।
খোলা সিড ও স্ক্রিনশট
সিড নেই: কী জন্মায় Mitilena Air-এ অফলাইনে, কার্ডে এনক্রিপ্টেড লেখা হয়। ছবি তোলার কিছু নেই; পাওয়া কার্ড বা স্টিকার পাসওয়ার্ড ছাড়া অকেজো প্লাস্টিক।
হারিয়ে, ভিজে, পুড়ে
বক্সে পাঁচ মিরর কপি: দুই NFC কার্ড ও তিন স্টিলথ স্টিকার, ১০+ বছরের ওয়াটারপ্রুফ প্লাস্টিকে। একটা গেলে — বাকি চলে।
যে স্ক্যাম নিজেই কনফার্ম করেছেন
কোনো ক্যারিয়ার চোখের জায়গা নেয় ��া: স্ক্রিনে অঙ্ক ও ঠিকানা আপনার। অফলাইন স্বাক্ষর আলাদা ডিভাইসে ট্রান্সফার চেক করার এক সেকেন্ড দেয়, কিন্তু বাটনের হয়ে ভাবে না। পাবলিক চেইনও লুকায় না — সেজন্যই Monero ও ঠিকানার যত্ন।
এতদূর পড়ার পর মানুষ যা জিজ্ঞেস করে
«সিকিউর চিপ»-সহ হার্ডওয়্যার ওয়ালেট — তাহলেই কোল্ড, তাই তো?
প্রায়ই না। সিকিউর এলিমেন্ট হলো ক্লোজড কোডের মিনি-কম্পিউটার: নিজেই কী তৈরি ও স্বাক্ষর করে, সিলিকনে কী আছে দেখা যায় না। Coldcard ইতিমধ্যে দেখিয়েছে: ফার্মওয়্যারে দুর্বল RNG, ডিভাইস অ্যাক্সেস ছাড়াই কী ব্রুট-ফোর্স। Ledger পুলিশের অনুরোধে অ্যাক্সেস নিয়ে খোলাখুলি বলেছে। আসল কোল্ড তখনই যখন ক্যারিয়ার বোবা আর এনক্রিপ্ট ও স্বাক্ষর আপনি করেন। সেভাবেই কাজ করে Mitilena NFC কার্ড: আপনার সিফারটেক্সটের খালি মেমোরি, অন্য কারোর মাইক্রোকম্পিউটার নয়।
ওয়ালেটের কাছে আমার কী আছে কি করে জানব?
সরাসরি — পারবেন না: ট্রাফিক এনক্রিপ্টেড। পরোক্ষে — তৈরির সময় এয়ারপ্লেন মোড, কী এক্সপোর্ট, সার্ভার ছাড়া কাজ, নাম করা লাইব্রেরি, ট্র্যাকার নেই। ওয়ালেট ইমেইল বা ফোন নম্বর দিয়ে কী «রিস্টোর» করলে — কী অবশ্যই তাদের কাছে।
স্ক্যামারের জন্য অ্যাপ্রুভাল স্বাক্ষর করে ফেললে?
সঙ্গে সঙ্গে revoke করুন (revoke.cash বা আপনার নেটওয়ার্কের সমতুল্য) এবং টোকেন নতুন ঠিকানায় সরান। সাইট উধাও হলেও অ্যাপ্রুভাল revoke না করা পর্যন্ত থাকে।
কী সার্ভারে যায় না — কীভাবে যাচাই করব?
«আমাদের GitHub খুলুন» দিয়ে নয়। স্ট্যান্ড দিয়ে: লোকাল প্রক্সি সব অ্যাপ ট্রাফিক ডিক্রিপ্ট করে — প্যাকেট নিজে দেখুন। এক্সচেঞ্জে কী না থাকলে চোখেই দেখেন। গাইড: mitelena.com/our-code-is-open-for-verification.