কোড ম্যানিপুলেশন: ট্রোজান ঘটনার মাধ্যমে ডিজিটেইনের ক্র্যাশ গেমগুলি ঝুঁকিতে

অনলাইন ক্যাসিনো শিল্প একটি উল্লেখযোগ্য প্রযুক্তিগত কেলেঙ্কারীর মুখোমুখি হয়েছে কারণ সাইবার নিরাপত্তা গবেষকরা সফটওয়্যার সরবরাহকারী Digitain-এর FG-Crash গেম ইঞ্জিনে একটি অত্যাধুনিক আক্রমণ উন্মোচন করেছেন। এটি কোনো সাধারণ বাহ্যিক হ্যাক ছিল না, বরং একটি সংক্রমিত সফটওয়্যার লাইব্রেরির মাধ্যমে সোর্স কোডের গভীর কারসাজি। এই ঘটনাটি সমগ্র iGaming সরবরাহ শৃঙ্খলের নিরাপত্তার উপর আলোকপাত করে, কারণ এটি জনপ্রিয় ক্র্যাশ গেমগুলির মূল র্যান্ডম নম্বর জেনারেশন প্রক্রিয়াগুলিকে লক্ষ্য করেছিল।

সমস্যাটি একটি ট্রোজানাইজড সফটওয়্যার প্যাকেজের উপর কেন্দ্র করে ছিল। আক্রমণকারীরা টাইপোসকোয়াটিং নামক একটি কৌশল ব্যবহার করেছিল, NuGet প্ল্যাটফর্মে Newtonsoftt.Json.Net নামে একটি প্যাকেজ তৈরি করে। নামের অতিরিক্ত "t" এতটাই সূক্ষ্ম ছিল যে অনেক ডেভেলপার সম্ভবত ত্রুটিটি উপেক্ষা করেছিল, বিশ্বাস করে যে তারা বৈধ এবং বিশ্বব্যাপী ব্যবহৃত Newtonsoft.Json লাইব্রেরি ব্যবহার করছে। যারা এই কারসাজি করা লাইব্রেরিটি তাদের ডেভেলপমেন্ট পরিবেশে একত্রিত করেছিল তারা কার্যকরভাবে আক্রমণকারীদের গেম গণনা ব্যাকএন্ডে অ্যাক্সেস দিয়েছিল।

সংখ্যা এবং তথ্য

JFrog দলের বিস্তারিত প্রযুক্তিগত বিশ্লেষণ উদ্বেগজনক তথ্য প্রকাশ করেছে। দূষিত সফটওয়্যারটি 2025 সালের 13ই আগস্ট থেকে 10ই অক্টোবর এর মধ্যে প্রকাশিত সাতটি ভিন্ন সংস্করণে বিদ্যমান ছিল। এটি প্রকাশ্যে আসার সময়, প্রায় 1,200 ডাউনলোড রেকর্ড করা হয়েছিল। ম্যালওয়্যারটি বিশেষভাবে বিপজ্জনক ছিল কারণ এটি অবিলম্বে সক্রিয় হয়নি। এটি Digitain-এর FG-Crash ব্যাকএন্ডে একটি নির্দিষ্ট পদ্ধতি প্রকাশ করে এমন একটি পরিবেশের জন্য অপেক্ষা করেছিল। এই বিলম্বিত সক্রিয়করণ রুটিন স্টার্টআপ পরীক্ষার সময় সনাক্তকরণের সম্ভাবনা উল্লেখযোগ্যভাবে হ্রাস করে।

একবার সক্রিয় হলে, ট্রোজানটি রানটাইম প্যাচিং ব্যবহার করে গণনাকৃত খেলার ফলাফলকে একটি ম্যানিপুলেটেড মান দিয়ে প্রতিস্থাপন করে। পরবর্তী সংস্করণগুলি এমনকি এই ফলাফলগুলি একটি বাহ্যিক সার্ভারে পাঠানোর জন্য ডিজাইন করা হয়েছিল, যা নিয়ন্ত্রকদের খেলোয়াড়রা রাউন্ড শুরু হওয়ার আগেই জয়ের গুণকগুলি দেখতে সক্ষম করে। প্যাকেজের মেটাডেটা একটি অভ্যন্তরীণ Digitain রিপোজিটরির ঠিকানা অন্তর্ভুক্ত করে, যা থেকে বোঝা যায় আক্রমণকারী একজন অভ্যন্তরীণ ব্যক্তি বা ব্যক্তিগত সোর্স কোডে অননুমোদিত অ্যাক্সেসপ্রাপ্ত কেউ হতে পারে।

"দূষিত কোডের সুনির্দিষ্টতা থেকে বোঝা যায় যে আক্রমণকারী একজন অভ্যন্তরীণ ব্যক্তি বা Digitain-এর অভ্যন্তরীণ রিপোজিটরিতে প্রবেশাধিকার পেয়েছিল।" - গবেষণা প্রতিবেদন, JFrog সাইবারসিকিউরিটি টিম

পটভূমি

Digitain গবেষকদের কাছে ২০২৬ সালের ৭ই জুলাই প্রতিক্রিয়া জানায়, দুই দিন পর তারা বলে যে তারা ইতিমধ্যেই পরিস্থিতি সম্পর্কে অবগত এবং এটি সমাধান করা হয়েছে। তবে, গুরুত্বপূর্ণ প্রশ্নগুলি অনুত্তরিত রয়ে গেছে। বর্তমানে কোন ক্যাসিনো অপারেটররা প্রভাবিত হয়েছিল বা খেলোয়াড়রা ব্যক্তিগত আর্থিক ক্ষতির শিকার হয়েছিল কিনা সে সম্পর্কে কোন বিবরণ নেই। B2B গেমিং বিশ্বে, অপারেটররা প্রায়শই তাদের সরবরাহকারীদের দ্বারা প্রদত্ত শংসাপত্রগুলির উপর অত্যন্ত নির্ভর করে। এই ঘটনাটি প্রমাণ করে যে ম্যানিপুলেশনগুলি বিল্ড প্রক্রিয়াগুলির গভীরে লুকানো থাকতে পারে যেখানে ঐতিহ্যবাহী পেআউট রেট (RTP) পর্যবেক্ষণ সময়মতো সেগুলি সনাক্ত করতে ব্যর্থ হতে পারে।

ম্যালওয়্যারটি উল্লেখযোগ্যভাবে ন্যূনতম ছিল, শংসাপত্র চুরি বা নেটওয়ার্ক জুড়ে ছড়িয়ে পড়ার কার্যকারিতা এতে ছিল না। এর একমাত্র উদ্দেশ্য ছিল ক্র্যাশ গেমের অখণ্ডতাকে আপোস করা। এটি গেমিং-সম্পর্কিত সাইবার অপরাধে নির্ভুলতার একটি নতুন স্তরের ইঙ্গিত দেয়, যা বিস্তৃত ডেটা চুরির পরিবর্তে অস্ত্রোপচার পদ্ধতির মতো ফলাফল ম্যানিপুলেশনের উপর দৃষ্টি নিবদ্ধ করে। JFrog-এর রিপোর্টের সময়, প্যাকেজটি NuGet অনুসন্ধান ফলাফল থেকে সরানো হয়েছিল, যদিও ফাইলগুলি সরাসরি ডাউনলোড লিঙ্কগুলির মাধ্যমে অ্যাক্সেসযোগ্য ছিল, যা ম্যানুয়াল নির্ভরতা নিরীক্ষার প্রয়োজনীয়তার উপর জোর দেয়।

জার্মান খেলোয়াড়দের জন্য এটি কেন গুরুত্বপূর্ণ

জার্মানির খেলোয়াড়দের জন্য, এই খবরটি একটি গুরুত্বপূর্ণ সতর্কতা হিসাবে কাজ করে। বাজারটি জুয়া সম্পর্কিত রাষ্ট্রীয় চুক্তি 2021 (GlüStV 2021) এর অধীনে কঠোরভাবে নিয়ন্ত্রিত। GGL শ্বেততালিকাভুক্ত একটি ক্যাসিনোতে খেলা সর্বোচ্চ স্তরের সুরক্ষা প্রদান করে। যৌথ নিয়ন্ত্রক কর্তৃপক্ষ (GGL) কেবল বিষয়বস্তু নয়, সিস্টেমের প্রযুক্তিগত নির্ভরযোগ্যতাও পরীক্ষা করে, যার মধ্যে আমানতের সীমা এবং খেলোয়াড় বর্জনের ফাইলগুলির জন্য LUGAS-এর সাথে সংযোগও রয়েছে। জার্মানি প্রতি স্পিনে কঠোর 1 ইউরো সীমা এবং প্রতি মাসে 1,000 ইউরো-এর ক্রস-প্রোভাইডার আমানত সীমাও প্রয়োগ করে।

ক্র্যাশ গেম, যেখানে একটি গুণক বৃদ্ধি পায় এবং খেলোয়াড়দের একটি ক্র্যাশের আগে ক্যাশ আউট করতে হয়, তা একটি নিয়ন্ত্রক চ্যালেঞ্জ। Digitain-এ পাওয়া ম্যানিপুলেশনগুলির মতো ম্যানিপুলেশনগুলি তাত্ত্বিকভাবে জার্মান আইনি বাজারে দ্রুত সনাক্ত করা যেত কারণ র্যান্ডম নম্বর জেনারেটর (RNG) এর জন্য কঠোর সার্টিফিকেশন প্রক্রিয়া রয়েছে। জার্মান খেলোয়াড়দের নিশ্চিত করা উচিত যে তারা শুধুমাত্র লাইসেন্সপ্রাপ্ত সাইটগুলিতে খেলেন, কারণ প্রযুক্তিগত অখণ্ডতা আপোস করা হলে এই কাঠামোর মধ্যেই আইনি প্রতিকার এবং নিয়ন্ত্রক সহায়তা বাস্তবসম্মত।

GGL-লাইসেন্সপ্রাপ্ত ক্যাসিনোগুলোর জন্য এর অর্থ কী

GGL-লাইসেন্সপ্রাপ্ত ক্যাসিনোগুলোর জন্য, এই ঘটনাটি আরও বেশি সতর্কতামূলক যাচাই-বাছাই বাধ্যতামূলক করে তোলে। চূড়ান্ত পণ্যকে প্রত্যয়িত করা এখন আর যথেষ্ট নয়; অপারেটরদের অবশ্যই নিশ্চিত করতে হবে যে তাদের সফ্টওয়্যার অংশীদাররা পুরো সরবরাহ চেইন নিয়ন্ত্রণ করে। এর মধ্যে বিশেষভাবে এমন লক করা নির্ভরতা ব্যবহার করা জড়িত যা ম্যানুয়াল পর্যালোচনা ছাড়া আপডেট করা যায় না। উপরন্তু, গেম গণনা সার্ভারগুলি থেকে বহির্গামী সংযোগগুলি কঠোরভাবে পর্যবেক্ষণ করতে হবে যাতে অননুমোদিত বাহ্যিক সার্ভারগুলিতে ডেটা ফাঁস রোধ করা যায়।

এর বিপরীতে, মাল্টা (MGA) বা কুরাকাওতে লাইসেন্সপ্রাপ্ত ক্যাসিনোগুলি প্রায়শই এমন প্রযুক্তিগত লঙ্ঘনের সময় কম স্বচ্ছতা প্রদান করে। যদিও GGL-এর সততা নিয়ে সন্দেহ থাকলে তাৎক্ষণিকভাবে কার্যক্রম বন্ধ করার ক্ষমতা রয়েছে, তবে অফশোর প্রদানকারীরা প্রায়শই নিয়ন্ত্রক ধূসর অঞ্চলে কাজ করে। জার্মান লাইসেন্সধারীদের খেলার প্রবাহে যেকোনো অনিয়ম রিপোর্ট করতে হবে। এই উচ্চ নিরাপত্তা মান অনিয়ন্ত্রিত ক্যাসিনোগুলিতে খেলার বিরুদ্ধে সবচেয়ে শক্তিশালী যুক্তি হিসাবে রয়ে গেছে, কারণ Digitain মামলা প্রমাণ করে যে প্রযুক্তিগত সুরক্ষার জন্য অবিচ্ছিন্ন রাষ্ট্র-স্তরের তদারকি প্রয়োজন।