সফটওয়্যার সাপ্লাই-চেইন নিরাপত্তা প্রতিষ্ঠান সকেটের এই সপ্তাহে প্রকাশিত এক রিপোর্ট অনুসারে, 'TrapDoor' নামে একটি নতুন সাপ্লাই-চেইন আক্রমণ ক্রিপ্টো ডেভেলপারদের লক্ষ্য করে দূষিত প্যাকেজ স্থাপন করছে যা জনপ্রিয় এআই কোডিং অ্যাসিস্ট্যান্ট হাইজ্যাক করে। এই অভিযান সরাসরি ভুক্তভোগীদের ওয়ালেট থেকে ক্রিপ্টোকারেন্সি চুরি করে, ডেভেলপারদের স্বয়ংক্রিয় কোডিং টুলের প্রতি আস্থার সুযোগ নিয়ে।
TrapDoor কীভাবে কাজ করে
সকেটের গবেষকরা পাবলিক রিপোজিটরিতে আপলোড করা দূষিত প্যাকেজের একটি ক্লাস্টার শনাক্ত করেছেন। একবার ইনস্টল হলে, ম্যালওয়্যারটি এআই কোডিং অ্যাসিস্ট্যান্টের আউটপুটে লুকানো নির্দেশনা প্রবেশ করায় — যে টুলগুলোর উপর অনেক ডেভেলপার পরামর্শ এবং অটো-কমপ্লিশনের জন্য নির্ভর করে। সেই নির্দেশনা পরে ডেভেলপারকে লেনদেন অনুমোদন করতে বা প্রাইভেট কি প্রকাশ করতে প্রতারিত করে, কার্যকরভাবে এআই সহায়কটিকে চুরির একটি ভেক্টরে পরিণত করে।
অভিযানটি তার লক্ষ্য সম্পর্কে গোপন নয়: প্যাকেজগুলি বিশেষভাবে ক্রিপ্টো ডেভেলপমেন্ট এনভায়রনমেন্টের সাথে যোগাযোগের জন্য ডিজাইন করা হয়েছে। সকেট জানিয়েছে, ম্যালওয়্যারটি সক্রিয় হওয়ার আগে ওয়ালেট সফটওয়্যার এবং সাধারণ ব্লকচেইন লাইব্রেরি চেক করে।
কেন এআই টুল নতুন টার্গেট
এআই অ্যাসিস্ট্যান্টকে হাইজ্যাক করে, TrapDoor ঐতিহ্যগত কোড-রিভিউ সুরক্ষা ব্যবস্থাকে বাইপাস করে। একজন ডেভেলপার একটি স্বাভাবিক দেখতে পরামর্শ দেখে, তা গ্রহণ করে, এবং অ্যাসিস্ট্যান্ট আক্রমণকারীর পেলোড সম্পাদন করে। আক্রমণটির জন্য এআই টুলে জিরো-ডে শোষণের প্রয়োজন হয় না — শুধু সেই মানুষটিকে প্রতারিত করা যে এটিকে বিশ্বাস করে।
সকেটের রিপোর্টে কোন এআই কোডিং অ্যাসিস্ট্যান্ট প্রভাবিত হয়েছে তা উল্লেখ করা হয়নি, তবে কৌশলটি যে কোনো অ্যাসিস্ট্যান্টের উপর কাজ করে যা ব্যবহারকারীর ইনস্টল করা প্যাকেজ প্রক্রিয়া করে। সংস্থাটি সতর্ক করেছে যে আক্রমণটি তহবিল শূন্য না হওয়া পর্যন্ত অলক্ষিত থাকতে পারে।
ডেভেলপাররা এখন কী করতে পারেন
সকেট গত ৩০ দিনে ইনস্টল করা সমস্ত নির্ভরতা অডিট করার পরামর্শ দেয়, বিশেষ করে ওয়ালেট ইন্টিগ্রেশন বা লেনদেন সই সম্পর্কিত প্যাকেজ। তারা সম্পূর্ণ ইনভেন্টরি শেষ না হওয়া পর্যন্ত কোডিং অ্যাসিস্ট্যান্ট থেকে অটো-একসেপ্ট পরামর্শ নিষ্ক্রিয় করারও পরামর্শ দেয়। সংস্থাটি তার ব্লগে পরিচিত দূষিত প্যাকেজ নামের একটি তালিকা প্রকাশ করেছে।
আক্রমণটি একটি ক্রমবর্ধমান ঝুঁকি তুলে ধরে: ক্রিপ্টো ডেভেলপাররা যত বেশি এআই টুলিংয়ের উপর নির্ভর করছে, সাপ্লাই-চেইন তত নরম টার্গেট হয়ে উঠছে। TrapDoor হলো প্রথম সর্বজনীনভাবে নথিভুক্ত অভিযান যা ক্রিপ্টো চুরির জন্য এআই কোডিং অ্যাসিস্ট্যান্টকে অস্ত্র হিসেবে ব্যবহার করে, তবে এটি শেষ হবে না।
