ম্যাট্রিক্স অ্যাকাউন্ট চালান, এয়ারড্রপ ফার্ম করেন, বা একাধিক ই-কমার্স স্টোর ঘোরান — ২০২৬-এর শুরুতেই সবাই এক ঘা খেলেন: Morelogin-এ সন্দেহজনক আক্রমণে ইউজারদের অ্যাসেট চুরির খবর ছড়িয়ে পড়ে (কমিউনিটি রিয়েল-টাইম মনিটরিং অনুযায়ী একক লেনদেনে ক্ষতি ৮৫ হাজার ডলারের বেশি; MoreLogin-এর সঙ্গে আক্রমণ ভেক্টরের সম্পর্ক এখনো তদন্তাধীন, চূড়ান্ত নিশ্চিত হয়নি)। এটা বিচ্ছিন্ন ঘটনা না — টাইমলাইন টেনে দেখলে মূলধারার ফিঙ্গারপ্রিন্ট ব্রাউজার প্রায় কেউই রেহাই পায়নি। আপনি কি এখনো আপনার ওয়ালেট আর অ্যাকাউন্টের প্রাণ একটা ক্লোজড-সোর্স ক্লায়েন্টের হাতে তুলে দিয়ে আছেন? এই লেখায় থার্ড-পার্টি ফিঙ্গারপ্রিন্ট ব্রাউজার ছাড়াই বাঁচার পথ দিচ্ছি।

আগে পরিষ্কার করি, এই লেখা কার জন্য। তিন ধরনের মানুষ নিজেকে খুঁজে নিন: এক, এয়ারড্রপ ফার্মিং আর অন-চেইন ইন্টারঅ্যাকশন করা মানুষ, যাদের কয়েক ডজন ওয়ালেট এনভায়রনমেন্ট একে অপরের থেকে সম্পূর্ণ আলাদা থাকা দরকার — একটা দূষিত হলেও যেন বাকিগুলো না পোড়ে; দুই, ই-কমার্স মাল্টি-স্টোর অপারেটর, Carousell, Shopee, Amazon-এ একাই কয়েকটা দোকান — প্ল্যাটফর্ম যেটা খোঁজে সেটা হলো “একই ডিভাইস, একই IP, একাধিক অ্যাকাউন্ট”; তিন, সোশ্যাল মিডিয়া ম্যাট্রিক্স প্লেয়ার, যারা ব্যাচে অ্যাকাউন্ট গড়ে ট্রাফিক তোলেন। এই তিন ধরনের ব্যবসার কমন পয়েন্ট: অ্যাকাউন্টই অ্যাসেট, ব্যান বা হ্যাক মানে সরাসরি টাকার ক্ষতি। আপনি যদি সাধারণ ব্রাউজিং করা সিঙ্গেল-অ্যাকাউন্ট ইউজার হন, এই লেখা আপনার জন্য না, বন্ধ করে দিন।

ফিঙ্গারপ্রিন্ট ব্রাউজার হ্যাকারদের ATM হয়ে গেল কেন

আগে তিনটা রক্তাক্ত হিসাব দেখুন। ২০২৩ সালের ২৬ আগস্ট, BitBrowser ইউজারদের MetaMask ওয়ালেট থেকে ব্যাচে ফান্ড সরিয়ে নেওয়া হয়, SlowMist-এর সাপ্তাহিক রিপোর্টে প্রাথমিক অনুমান কমপক্ষে ৫.২ লাখ ডলার, কিছু কমিউনিটি রিপোর্টে মোট ক্ষতি মিলিয়ন ডলার ছাড়ানোর কথা বলা হয়। ২০২৫ সালের জানুয়ারিতে ইন্ডাস্ট্রির শীর্ষ AdsPower সাপ্লাই-চেইন অ্যাটাকের শিকার হয় (সাপ্লাই-চেইন অ্যাটাক: হ্যাকার সরাসরি আপনাকে আক্রমণ না করে আপনার বিশ্বস্ত সফটওয়্যার ভেন্ডরের ডিস্ট্রিবিউশন চ্যানেল দূষিত করে, অফিশিয়াল আপডেট প্যাকেজই ট্রোজানে পরিণত হয়): হ্যাকাররা তাদের থার্ড-পার্টি OSS অবজেক্ট স্টোরেজে ঢুকে ইউজারদের কাছে যাওয়া MetaMask-সহ ওয়ালেট প্লাগিনে ব্যাকডোর বসিয়ে দেয়, ৩৪ হাজারের বেশি ওয়ালেট ক্ষতিগ্রস্ত, ক্ষতি প্রায় ৪.৭ মিলিয়ন ডলার। তারপর ২০২৬ সালের মার্চে Morelogin-এর সন্দেহজনক রিয়েল-টাইম কয়েন চুরির ঘটনা। ২০২৬ সালের ফেব্রুয়ারিতে প্রকাশিত ইন্ডাস্ট্রি নিরাপত্তা বিশ্লেষণে SlowMist সরাসরি বলেছে: এই ক্যাটাগরির ডেলিভারি চেইন স্বভাবতই ভঙ্গুর।

লজিক সহজ: ফিঙ্গারপ্রিন্ট ব্রাউজার ভেন্ডর আপনার সব এনভায়রনমেন্ট, Cookie, প্লাগিন ডিস্ট্রিবিউশন চ্যানেল নিজের হাতে রাখে। হ্যাকার ভেন্ডরের একটা সার্ভার ভেঙে ফেললেই এক ঝটকায় কয়েক হাজার ইউজার কাটতে পারে। যত বেশি ইউজার, যত বড় নাম, তত বড় টার্গেট। আপনার দেওয়া মাসিক ফি দিয়ে আসলে কেনা হচ্ছে “কয়েক হাজার মানুষের সঙ্গে একই অ্যাটাক সারফেস শেয়ার করা” (অ্যাটাক সারফেস: হ্যাকার যেসব পথ দিয়ে ঢুকতে পারে, সেই সব এন্ট্রি পয়েন্টের সমষ্টি)।

মূল সিদ্ধান্ত: নিরাপদ ফিঙ্গারপ্রিন্ট ব্রাউজার বলে কিছু নেই, নিরাপদ ব্যবহারের পদ্ধতিই আছে

জাজমেন্টটা আগেই রাখি: বড় অংকের ফান্ড নিয়ে কাজ করলে কোনো ফিঙ্গারপ্রিন্ট ব্রাউজারেই ওয়ালেট রাখা যাবে না। ছোট টুলে ফাঁসের স্কেল ছোট, কিন্তু ফিঙ্গারপ্রিন্ট কোয়ালিটি আর ফিচার ব্যবসা চালানোর মতো না; বড় ভেন্ডরের ফিচার শক্তিশালী, কিন্তু তারাই হ্যাকারদের এক নম্বর টার্গেট। এটা একটা ডেডলক।

আসল সমাধান হলো ট্রাস্ট চেইন সবচেয়ে ছোট করা: সব প্রোফাইল ডেটা ১০০% লোকাল হার্ডডিস্কে, কোনো ক্লাউড সিঙ্ক নয়; প্রতিটা এনভায়রনমেন্টে জোরপূর্বক আলাদা রেজিডেনশিয়াল বা মোবাইল প্রক্সি IP বাঁধা, SOCKS5 অগ্রাধিকার; বড় ফান্ডের অ্যাকাউন্টে ব্রাউজারে একটাও ওয়ালেট প্লাগিন নয়, সাইনিং হবে হার্ডওয়্যার ওয়ালেট বা একটা ডেডিকেটেড ক্লিন ডিভাইসে। এই তিনটা করতে পারলে আপনার অ্যাটাক সারফেস থেকে যায় শুধু নিজের কম্পিউটারটা — আর নিজের কম্পিউটারই একমাত্র জিনিস যা আপনি সত্যিকারে নিয়ন্ত্রণ করতে পারেন।

আগে এক ঢোক ঠান্ডা পানি: এই পদ্ধতির সীমানা

সৎভাবে একটা ত্রুটি স্বীকার করতেই হবে: নেটিভ Chrome মাল্টি-প্রোফাইল ব্রাউজার ফিঙ্গারপ্রিন্ট বদলাতে পারে না। Canvas, WebGL, ফন্ট লিস্ট — ৫০টা ইনস্ট্যান্সের সব ফিঙ্গারপ্রিন্ট হুবহু এক। প্ল্যাটফর্ম যদি শক্ত ফিঙ্গারপ্রিন্ট ডিটেকশন চালায়, আপনার অ্যাকাউন্টগুলো ব্যাচে লিংক হয়েই যাবে। এই পদ্ধতি সমাধান করে IP আইসোলেশন, Cookie আইসোলেশন আর ওয়ালেট নিরাপত্তা — সর্বশক্তিমান না।

সিনারিও অনুযায়ী সিদ্ধান্তের টেবিল:

• ওয়ালেট নিরাপত্তা, এয়ারড্রপ ফার্মিং, ই-কমার্স মাল্টি-স্টোর (Carousell/Shopee/Amazon সেলার সেন্টার): রিস্ক কন্ট্রোল মূলত IP আর লগইন স্টেট দেখে, এই পদ্ধতি পুরোপুরি যথেষ্ট, আর নিরাপত্তায় ফিঙ্গারপ্রিন্ট ব্রাউজারের চেয়ে অনেক এগিয়ে।
• শক্ত ফিঙ্গারপ্রিন্ট ডিটেকশন প্ল্যাটফর্ম (TikTok, Facebook অ্যাডস, কিছু ওভারসিজ সোশ্যাল মিডিয়া): এই পদ্ধতি যথেষ্ট না, ফিঙ্গারপ্রিন্ট মডিফিকেশন এক্সটেনশন লাগবে, অথবা সীমাবদ্ধতা মেনে ফিঙ্গারপ্রিন্ট ব্রাউজারই চালাতে হবে — কিন্তু ওয়ালেট কখনোই সেখানে না।
• শুধু টাকা বাঁচাতে চান, ঝামেলা চান না: ফিঙ্গারপ্রিন্ট ব্রাউজারই চালান, কিন্তু Step 3-এর ফান্ড আইসোলেশনের লোহার নিয়ম কঠোরভাবে মানুন।

খালি গায়ে মাঠে নামবেন না, আগে ভাবুন আপনার ব্যবসা কোন লেয়ারের রিস্ক কন্ট্রোলে আটকায়।

Step 1: সত্যিকারে আইসোলেটেড Chrome মাল্টি-প্রোফাইল এনভায়রনমেন্ট বানান

মূল ধারণা: Chrome মেনুর “Add user” ফিচারটা আইসোলেশন পুরোপুরি করে না, আন্ডারলাইং ডেটার একটা অংশ শেয়ার হয়ে যায় — ব্যবহার করবেন না। সঠিক পদ্ধতি হলো কমান্ড-লাইন প্যারামিটার দিয়ে আলাদা ডেটা ডিরেক্টরি জোর করে নির্দিষ্ট করা।

Windows-এ নতুন শর্টকাট বানান, Target-এ লিখুন:

1

"C:\Program Files\Google\Chrome\Application\chrome.exe" --user-data-dir="D:\ChromeProfiles\Account01"

macOS-এ টার্মিনালে:

1

open -na "Google Chrome" --args --user-data-dir="/Users/yourname/ChromeProfiles/Account01"

প্রতিটা নতুন অ্যাকাউন্টের জন্য একটা আলাদা ফোল্ডার, Account01 থেকে Account50 পর্যন্ত যত খুশি বাড়ান। প্রতিটা শর্টকাট থেকে চালু হওয়া Chrome ইনস্ট্যান্সের Cookie, ক্যাশ, এক্সটেনশন, লগইন স্টেট সম্পূর্ণ ফিজিক্যালি আলাদা — একটার গন্ধ আরেকটায় যায় না। দুটো সতর্কতা: ডেটা ডিরেক্টরি কখনোই iCloud, OneDrive বা কোনো ক্লাউড সিঙ্ক ফোল্ডারে রাখবেন না, তাহলে “ক্লাউড সিঙ্ক নয়” নীতি সঙ্গে সঙ্গে ভেসে যাবে; পাথে বাংলা অক্ষর বা স্পেস রাখবেন না, অদ্ভুত এরর এড়াতে।

“মোট সংখ্যা” আর “একসঙ্গে চালানো” আলাদা বুঝুন: 16GB RAM-এর মেশিনে ১০-১৫টা ইনস্ট্যান্স একসঙ্গে চলে আরামে, কিন্তু ৫০টা অ্যাকাউন্ট অবশ্যই একসঙ্গে খোলা যাবে না। ম্যানেজমেন্টের কৌশল হলো ব্যবসা অনুযায়ী গ্রুপ করা — ৫০টা শর্টকাট ৫টা ফোল্ডারে ভাগ করুন, ব্যাচ স্ক্রিপ্ট দিয়ে এক ক্লিকে একটা গ্রুপ চালু করুন (Windows-এ একটা bat লিখুন, লাইনে লাইনে start দিয়ে শর্টকাটগুলো চালু করুন), এক ব্যাচের কাজ শেষে বন্ধ করে পরের ব্যাচ খুলুন। খরচ শূন্য, এক টাকাও সাবস্ক্রিপশন ফি না।

Step 2: প্রতিটা এনভায়রনমেন্টে আলাদা IP বাঁধুন

এনভায়রনমেন্ট আলাদা হলো, কিন্তু IP যদি একই ব্রডব্যান্ডের হয়, প্ল্যাটফর্মের রিস্ক কন্ট্রোল আপনাকে এক ঝাঁকে ধরেই ফেলবে। সমাধান: প্রতিটা Chrome ইনস্ট্যান্সে আলাদা প্রক্সি।

আগে চেইনটা বুঝুন, নইলে কমান্ড নকল করেও কানেক্ট হবে না: আপনার কেনা রেজিডেনশিয়াল IP-র জন্য আপস্ট্রিম প্রোভাইডার দেয় ইউজারনেম-পাসওয়ার্ডসহ একটা SOCKS5 অ্যাড্রেস → আপনি লোকালে একটা প্রক্সি ক্লায়েন্ট চালান, যা আপস্ট্রিম অথেনটিকেটেড প্রক্সিকে আপনার মেশিনের 127.0.0.1-এ অথেনটিকেশন-মুক্ত পোর্টে ফরওয়ার্ড করে (10001, 10002… প্রতিটা এনভায়রনমেন্টে একটা) → Chrome সেই লোকাল পোর্ট দিয়ে ইন্টারনেটে যায়। পুরো চেইন: “Chrome → লোকাল পোর্ট → আপস্ট্রিম রেজিডেনশিয়াল IP → টার্গেট ওয়েবসাইট”।

দুটো টেকনিক্যাল ফাঁদ আগেই বলে রাখি: প্রথম, Chrome-এর –proxy-server প্যারামিটার ইউজারনেম-পাসওয়ার্ড অথেনটিকেশনসহ SOCKS5 সাপোর্ট করে না, আর বাজারের রেজিডেনশিয়াল প্রক্সি প্রায় সবই অথেনটিকেশন চায় — তাই আপস্ট্রিম অ্যাড্রেস সরাসরি বসানো যাবে না, লোকাল ফরওয়ার্ডিং লাগবেই। দ্বিতীয়, Proxifier-জাতীয় টুল একই নামের একাধিক chrome.exe প্রসেস আলাদা করতে পারে না, প্রসেস-ভিত্তিক রাউটিং মাল্টি-প্রোফাইল সিনারিওতে ব্যর্থ হবে। কার্যকর পদ্ধতি: gost বা mihomo-জাতীয় টুল দিয়ে প্রতিটা আপস্ট্রিম প্রক্সির জন্য একটা লোকাল অথেনটিকেশন-মুক্ত পোর্ট চালু করুন, তারপর প্রতিটা Chrome ইনস্ট্যান্স কমান্ড-লাইনে নিজের পোর্টে বাঁধুন:

1

chrome.exe --user-data-dir="D:\ChromeProfiles\Account01" --proxy-server="socks5://127.0.0.1:10001"

gost ফরওয়ার্ডিং উদাহরণ:

1

gost -L socks5://127.0.0.1:10001 -F socks5://username:password@upstream-proxy-address:port

কমান্ড-লাইনে হাত দিতে না চাইলে প্রতিটা আলাদা প্রোফাইলে SwitchyOmega-জাতীয় প্রক্সি এক্সটেনশন ইনস্টল করুন, গ্রাফিক্যাল ইন্টারফেসে আপস্ট্রিম অ্যাড্রেস আর ইউজারনেম-পাসওয়ার্ড বসান — ফল একই।

IP বাছাইয়ে রেজিডেনশিয়াল আর মোবাইল IP-র সারভাইভাল রেট ডেটাসেন্টার IP-র চেয়ে অনেক বেশি, বিশেষ করে TikTok, Pinterest, Carousell ম্যাট্রিক্সের মতো রিস্ক-সংবেদনশীল সিনারিওতে। দামের হিসাব: রেজিডেনশিয়াল প্রক্সি ট্রাফিক অনুযায়ী প্রতি GB কয়েক ডলার, মাসিক ডেডিকেটেড স্ট্যাটিক রেজিডেনশিয়াল IP প্রতি লাইন মাসে প্রায় $10-30, মোবাইল IP আরও দামি — ৫০টা IP-র মাসিক বাজেট $150-500 স্বাভাবিক রেঞ্জ, কেনার আগে ছোট স্কেলে টেস্ট করুন। মনে রাখবেন: ফ্রি প্রক্সি একেবারেই না, ওগুলো নিজেরাই হানিপট (হ্যাকার ইচ্ছা করে ছড়িয়ে দেওয়া ফাঁদ, আপনার ডেটা ধরার জন্য)।

সবচেয়ে ছোট প্রথম ধাপ: শুরুতেই ৫০টা কিনবেন না। আগে ১টা রেজিডেনশিয়াল প্রক্সি কিনুন, লোকাল ফরওয়ার্ডিং সেট করুন, একটা Chrome ইনস্ট্যান্স চালু করুন, ipinfo.io-তে গিয়ে নিশ্চিত হন যে দেখানো IP প্রক্সির IP আর আপনার ব্রডব্যান্ড IP থেকে আলাদা — এই একটা চেইন চালু হলে তারপর স্কেল বাড়ান। প্রতিটা নতুন এনভায়রনমেন্টে আগে IP চেক পেজে ভেরিফাই করুন, তারপর অ্যাকাউন্টে লগইন করুন।

Step 3: ওয়ালেট আর ফান্ড অপারেশনের ফিজিক্যাল আইসোলেশনের লোহার নিয়ম

AdsPower-এর সেই ৪.৭ মিলিয়ন ডলার গেল কীভাবে? ইউজাররা ফিঙ্গারপ্রিন্ট ব্রাউজারে MetaMask ইনস্টল করেছিল, ভেন্ডরের প্লাগিন ডিস্ট্রিবিউশন চেইন দূষিত হতেই সবার প্রাইভেট কি উলঙ্গ হয়ে গেল। শিক্ষাটা হাড়ে গেঁথে নিন: ফার্মিং, ইন্টারঅ্যাকশন, চেক-ইন — এই হাই-ফ্রিকোয়েন্সি অপারেশনের এনভায়রনমেন্ট আর টাকা রাখার এনভায়রনমেন্ট হতে হবে দ