একটা দৃশ্য কল্পনা করুন। আপনি ক্ষয়ের হিসাব একেবারে নিখুঁত করে ফেলেছেন, প্রতি পয়েন্টের খরচ দশমিকের পরে তিন ঘর পর্যন্ত চেপে নামিয়েছেন, তারপর একদিন অ্যাকাউন্ট খুলে দেখলেন তিন মাস আগে অনুমতি দেওয়া একটা অচেনা অ্যাপ আপনার সম্পদ সরিয়ে নিয়ে গেছে। পয়েন্ট করে যা বাঁচালেন, একটা নিরাপত্তা দুর্ঘটনার সেই লোকসানের কানাকড়িও তা ঢাকতে পারে না। এটা ভয় দেখানো নয়, অ্যাকাউন্ট চুরি আর ক্ষতিকর অনুমোদনের লোকসান প্রায় সবসময়ই লেনদেন খরচ কমিয়ে যা বাঁচানো যায় তার চেয়ে অনেক বড়।
আমি 2025 সাল থেকে Alpha করছি, আর এই কথাটা তেতো অভিজ্ঞতা থেকে শেখা। পয়েন্ট করা অ্যাকাউন্টের নিজস্ব একটা দুর্বল দিক আছে: রোজ বহুবার লগইন, একাধিক ডিভাইস, হয়তো API চালিয়ে ডেটা টানা, হয়তো নানা রকম অ্যাক্টিভিটি পেজে ওয়ালেট কানেক্ট করা। এই লেখায় বড় বড় উপদেশ নেই, সোজা তিনটে চেকলিস্ট দিচ্ছি, একটা একটা করে টিক দিয়ে যাওয়ার মতো: লগইন ও যাচাই, অনুমোদন ও API, আর টাকা আলাদা রাখা। পুরোটা একবার সেরে নিতে আধ ঘণ্টাও লাগবে না।
পয়েন্ট করা অ্যাকাউন্টের সবচেয়ে বড় ঝুঁকি কোনটা?
ক্ষয় নয়, মানুষের হাতে ঘটা নিরাপত্তা দুর্ঘটনা: ফিশিং লিংক, ভুয়া কাস্টমার সাপোর্ট, বেশি ক্ষমতা দেওয়া API, ক্ষতিকর কন্ট্রাক্ট অনুমোদন। ক্ষয় হলো হাজারে কয়েক ভাগ হিসাবের নিশ্চিত খরচ, আর নিরাপত্তা দুর্ঘটনা হলো গোটা পুঁজি খোয়ানোর লেজের ঝুঁকি, দুটো একই মাপকাঠিতে পড়ে না।
পয়েন্ট করা লোকেরা সাধারণ ব্যবহারকারীর চেয়ে বেশি ফাঁদে পড়ে, কারণটা সাফ: লগইনের সংখ্যা বেশি, অনলাইনে সময় বেশি, আর "অ্যাক্টিভিটি" বা "এয়ারড্রপ" এই ধরনের শব্দে স্বভাবতই কান খাড়া হয়, অথচ ফিশিং আক্রমণ ঠিক এই শব্দগুলোরই ছদ্মবেশ নিতে ভালোবাসে। নিরাপত্তা যাচাইকে ক্ষয়ের হিসাবের মতোই একটা বাঁধা কাজ ভাবুন, পয়েন্ট করার এটাই প্রাথমিক দক্ষতা।
আরেকটা সহজে ভুলে যাওয়া মনস্তত্ত্ব আছে: পয়েন্ট করা একটা পুনরাবৃত্তির কাজ, আর পুনরাবৃত্তিতে মানুষ অটো-পাইলটে চলে যায়, "পয়েন্ট দ্বিগুণ" লেখা দেখলেই আঙুল ক্লিক করে বসে। আক্রমণকারী ঠিক এই মুহূর্তটার উপর বাজি ধরে। চেকলিস্টের দাম এর বুদ্ধিমত্তায় নয়, বরং সিদ্ধান্তটাকে সেই মুহূর্তের মেজাজ থেকে ছাড়িয়ে আগে থেকে বেঁধে রাখা নিয়মে বদলে দেওয়ায়।
চেকলিস্ট এক: লগইন ও যাচাই কীভাবে দেখবেন?
মূল তিনটে কাজ: 2FA-তে অথেন্টিকেটর App ব্যবহার করুন, অ্যান্টি-ফিশিং কোড সেট করুন, অচেনা লগইন ডিভাইস মুছে দিন। একটা একটা করে টিক দিন:
- 2FA চালু আছে, আর সেটা SMS নয়, অথেন্টিকেটর App দিয়ে। SIM বদলের আক্রমণে SMS আটকে যেতে পারে, তাই অথেন্টিকেটর আগে;
- অ্যান্টি-ফিশিং কোড সেট করা আছে, এরপর থেকে অফিসিয়াল প্রতিটা ইমেইলে আপনার বসানো এই লেখাটা থাকবে, যেটায় নেই সেটাকেই ভুয়া ধরুন;
- লগইন ডিভাইসের তালিকায় কোনো অচেনা ডিভাইস নেই, বহুদিন ব্যবহার না করা পুরনো ডিভাইস সরানো হয়েছে;
- অ্যাকাউন্টের পাসওয়ার্ড একেবারে আলাদা, অন্য কোনো সাইটে একবারও ব্যবহার করা হয়নি;
- রেজিস্ট্রেশনের ইমেইলেও 2FA চালু আছে। ইমেইল হাতছাড়া মানে প্রায় অ্যাকাউন্ট হাতছাড়া।
দুটো কথা যোগ করি। পাসওয়ার্ড একটা পাসওয়ার্ড ম্যানেজার দিয়ে তৈরি আর জমা রাখাই ভালো, মাথায় মনে থাকা পাসওয়ার্ড বেশিরভাগ সময় যথেষ্ট এলোমেলো হয় না, আর যথেষ্ট এলোমেলো পাসওয়ার্ড মাথায় থাকে না; ফোন আর কম্পিউটারের লক-স্ক্রিন পাসওয়ার্ডেও কার্পণ্য করবেন না, ডিভাইস নিজেই অ্যাকাউন্টের প্রথম দরজা।
ভুয়া কাস্টমার সাপোর্ট আর ফিশিং কীভাবে চিনবেন?
একটা লোহার নিয়ম: নিজে থেকে আপনার কাছে আসা "কাস্টমার সাপোর্ট" মানেই ভুয়া, ব্যতিক্রম নেই। আসল সাপোর্ট আপনাকে প্রাইভেটে নক করে না, পাসওয়ার্ড বসানোর লিংক পাঠায় না, আর ভেরিফিকেশন কোড চায় না বা "ফান্ড যাচাইয়ের" নামে টাকা ট্রান্সফার করতে বলে না। ফিশিংয়ের চিত্রনাট্য ঘুরেফিরে সেই কটাই: অফিসিয়াল সেজে বলা আপনার অ্যাকাউন্টে ঝুঁকি, "আনফ্রিজ" করতে হবে; ভুয়া অ্যাক্টিভিটি পেজে ওয়ালেট সাইন করানো; নকল এয়ারড্রপ পেজে অনুমোদন হাতিয়ে নেওয়া।
বাঁচার উপায়ও তেমনি সহজ: যে কোনো জায়গায় ঢুকতে হলে নিজে হাতে অফিসিয়াল App খুলুন বা নিজে অফিসিয়াল ঠিকানা টাইপ করুন, প্রাইভেট মেসেজ, SMS বা গ্রুপে আসা লিংকে একদম ক্লিক করবেন না; সন্দেহ হলে অফিসিয়াল চ্যানেলে গিয়ে মিলিয়ে নিন, ঢোকার পথ Binance হেল্প সেন্টার। ভেরিফিকেশন কোড আর পাসওয়ার্ড হলো শেষ সীমা, যে কেউ যে অজুহাতেই চাক, সেটা প্রতারণা, কোনো ব্যতিক্রম নেই।
চেকলিস্ট দুই: অনুমোদন ও API কীভাবে পরিষ্কার করবেন?
নীতি এক লাইনে: ক্ষমতা যতটা কম রাখা যায়, কাজে না লাগা ক্ষমতা খুলবেন না, উদ্দেশ্য বলতে না পারলে সেই কী মুছে দিন। একটা একটা করে টিক দিন:
- বর্তমান API কী গুলো একে একে দেখা হয়েছে, যেটার উদ্দেশ্য বলতে পারছেন না সেটা মুছে ফেলা হয়েছে;
- রেখে দেওয়া কী-তে শুধু রিড-অনলি ক্ষমতা; সত্যিই ট্রেডিং দরকার হলে আলাদা কী বানান, উইথড্র ক্ষমতা কখনো খুলবেন না;
- IP হোয়াইটলিস্ট চালু থাকলে নিশ্চিত করুন তালিকায় সবই আপনার নিজের ঠিকানা;
- থার্ড-পার্টি টুলের অনুমোদন নিয়মিত মিলিয়ে দেখুন, ব্যবহার না করা সেবার বাঁধন খুলে দিন;
- Binance Web3 ওয়ালেট দিয়ে কোনো DApp কানেক্ট করে থাকলে অন-চেইন কন্ট্রাক্ট অনুমোদনও নিয়মিত বাতিল করুন, বিস্তারিত Web3 ওয়ালেট গাইডে।
চেকলিস্ট তিন: টাকা আলাদা রাখা কি দরকার?
টাকা কম হলে না করলেও চলে, টাকা বেশি হলে বা অ্যাকাউন্টের কাজ নানা রকম হলে করাই ভালো। আলাদা রাখার উপায় মূলত দুটো: সাব-অ্যাকাউন্ট আর ডিভাইস আলাদা করা। একটা একটা করে টিক দিন:
- পয়েন্ট করার টাকা আর দীর্ঘমেয়াদি পজিশন আলাদা করা হয়েছে। সাব-অ্যাকাউন্ট দুটোকে আলাদা রাখে, পয়েন্টের দিকে গোলমাল হলে মূল পজিশনে ঢেউ লাগে না;
- বড় অঙ্কের সম্পদ এমন জায়গায় রাখা, যা রোজকার ঘন ঘন কাজে জড়ায় না, এতে দুর্বল দিকটা কম বার খোলা থাকে;
- সুযোগ থাকলে ট্রেডিং ডিভাইস আর রোজকার ইন্টারনেট ডিভাইস আলাদা, অন্তত ব্রাউজার আলাদা রাখুন, গাদা প্লাগইন ভরা ব্রাউজারে অ্যাকাউন্ট কম ছোঁবেন;
- পরিবার বা বন্ধু ডিভাইস ধার নিলে সেটা নিয়ন্ত্রণে থাকে, অ্যাকাউন্টে অটো-লগইন রাখা নেই।
বেছে নেওয়ার হিসাবটা সুবিধার সাথে জড়ানো: আলাদা যত সূক্ষ্ম করবেন, রোজকার কাজ তত ঝামেলার, বাড়াবাড়ি করলে নিজেরই বিরক্ত লাগবে, শেষে আর টিকিয়ে রাখতে পারবেন না। আমার নিজের নিয়ম হলো বড়টা ধরো ছোটটা ছাড়ো: মূল পজিশন আর পয়েন্টের টাকা অবশ্যই আলাদা, ডিভাইস আলাদা করা সাধ্যমতো। সাথে ডিভাইসের পরিচ্ছন্নতার কথাও বলি: পয়েন্ট করা ডিভাইসে অচেনা উৎসের সফটওয়্যার কম বসান, ব্রাউজার প্লাগইন শুধু দরকারিগুলো রাখুন, সিস্টেম আর App নতুন ভার্সনে রাখুন। ডিভাইস পরিষ্কার থাকলে তার উপরের সব অ্যাকাউন্ট সেই সুফল পায়।
কতদিন পরপর নিজে যাচাই করব?
একটা ছন্দ দিই: লগইন ও যাচাই, আর অনুমোদন ও API, এই দুই চেকলিস্ট মাসে একবার দেখুন, টাকা আলাদা রাখার ব্যবস্থা তিন মাসে একবার নতুন করে ভাবুন। আরও দুটো সময়ে বাড়তি যাচাই আবশ্যক: ওয়ালেট কানেক্ট বা অনুমোদন লাগে এমন যে কোনো অ্যাক্টিভিটিতে অংশ নেওয়ার পর, আর ডিভাইস হারানো বা ফোন বদলানোর পর। ছন্দটা খুব কড়া করে বাঁধার দরকার নেই, আসল কথা হলো ব্যবধানটা যেন অসীম লম্বা না হয়ে যায়: নিরাপত্তা যাচাই এমন এক জিনিস, তিন মাস না করলে সেটা প্রায়ই চিরকাল না করায় বদলে যায়।
পুরো চেকলিস্ট একবার সারতে আধ ঘণ্টাও লাগে না, স্যান্ডউইচ থেকে বাঁচা দিয়ে যে ক্ষয় বাঁচে তার তুলনায় নিরাপত্তা যাচাইয়ের সুফল কম নয়, বেশিই। এখনো অ্যাকাউন্ট না থাকলে রেজিস্টার করার দিন থেকেই 2FA আর অ্যান্টি-ফিশিং কোড সেট করে নেওয়া দুর্ঘটনার পর সামলানোর চেয়ে অনেক সহজ, রেজিস্টার করতে পারেন এই রেজিস্ট্রেশন লিংক দিয়ে (ফি ছাড় রেজিস্ট্রেশন পেজে যা দেখাবে সেই অনুযায়ী)।
সাধারণ প্রশ্ন
অথেন্টিকেটর App হারিয়ে গেলে কী করব?
রিড-অনলি API ফাঁসেও কি ঝুঁকি আছে?
সাব-অ্যাকাউন্ট কি পয়েন্টের হিসাবে প্রভাব ফেলে?
চুরি ধরা পড়লে প্রথমে কী করব?
নিরাপত্তার ব্যাপারে চমকপ্রদ কোনো কৌশল নেই, পুরোটাই একঘেয়ে অভ্যাস: টিক দেওয়া, পরিষ্কার করা, আবার দেখা। কিন্তু এটাই ঠিক করে দেয় এই খেলায় আপনি কতদিন টিকবেন। চেকলিস্ট উপরেই আছে, আজই একবার সেরে ফেলুন।