Non-Custodial Web3 Wallets: Who Really Controls the Funds?
Disclaimer: This article is for educational purposes only. It is not financial, legal, or investment advice.
Conventional app-এ email, phone number বা customer support দিয়ে access recover করা যায়। Non-custodial Web3 wallet ভিন্ন model ব্যবহার করে: control valid cryptographic signature তৈরির ক্ষমতার ওপর নির্ভর করে।
শুধু user-এর কাছে private key থাকলে কেবল তিনিই associated blockchain address থেকে operation authorize করতে পারেন। Wallet developer, platform বা support team-এর সেই key জানা উচিত নয় এবং তারা সরাসরি “blockchain password reset” করতে পারে না।
That is the core of a non-custodial, or self-custody, wallet: an intermediary does not hold the keys on the user’s behalf.
মূল বিষয়
- Token blockchain-এ থাকে; wallet key manage করে ও network data দেখায়।
- Private key দিয়ে যে sign করতে পারে, সে address control করে।
- সিড ফ্রেজ সাধারণত তা থেকে তৈরি সব হিসাব পুনরুদ্ধার করতে পারে; এটি কখনো শেয়ার করা যাবে না।
- App password সাধারণত একটি device সুরক্ষিত করে; এটি seed phrase-এর বিকল্প নয়।
- Self-custody সরাসরি control দেয়, কিন্তু phishing, malware বা unsafe signature ঠেকায় না।
Token আসলে কোথায় থাকে
Crypto asset phone, browser extension বা hardware device-এর ভেতরে থাকে না। Blockchain shared state সংরক্ষণ করে: কোন asset কোন address-এর সঙ্গে যুক্ত এবং কী operation হয়েছে।
ওয়ালেট সাধারণত যা করে:
- Key তৈরি বা connect করে;
- Network থেকে balance ও history আনে;
- Transaction প্রস্তুত ও sign করে।
Wallet app মুছে দিলে blockchain থেকে token মুছে যায় না। কিন্তু key recover করার বৈধ উপায় না থাকলে user স্থায়ীভাবে সেগুলো নিয়ন্ত্রণের ক্ষমতা হারাতে পারেন।
Public address, private key ও seed phrase
এই term-গুলোর উদ্দেশ্য আলাদা।
Public address
এটি sender-এর সঙ্গে share করা ও block explorer-এ public record দেখতে ব্যবহার করা যায়। Address জানলেই outgoing transaction authorize করা যায় না।
প্রাইভেট কী
এই secret নির্দিষ্ট account-এর action sign করে। এটি পেলে যে কেউ ওই address-এর হয়ে কাজ করতে পারে।
সিড ফ্রেজ
সিড ফ্রেজ, যাকে Secret Recovery Phrase-ও বলা হয়, এমন শব্দসমষ্টি যেখান থেকে সামঞ্জস্যপূর্ণ ওয়ালেট সংশ্লিষ্ট কী ও হিসাব পুনরুদ্ধার করতে পারে। পণ্যভেদে recovery design আলাদা, তাই ব্যবহারকারীর নিজের ওয়ালেটের সরকারি নির্দেশিকা অনুসরণ করা উচিত।
One rule remains universal: never give a seed phrase or private key to support staff, a community administrator, a “verification” website, or someone promising to recover funds.
Transfer পেতে শুধু public address দরকার। Transaction যাচাই করতে শুধু address বা transaction hash দরকার। কোনোটির জন্যই seed phrase লাগে না।
Password ও seed phrase-এর পার্থক্য
App বা extension password সাধারণত একটি device-এর local access লক করে। এটি অন্য কারও device খোলা ঠেকাতে পারে, তবে blockchain address-এর universal credential নয়।
Attacker seed phrase পেলে local password বদলালেও তার access যায় না। সে অন্য compatible wallet-এ key restore করতে পারে।
User local password ভুলে গেলেও সঠিক seed phrase থাকলে এবং recovery process বুঝলে সাধারণত access ফেরানো যায়। Wallet access ও key-recovery method দুটিই হারালে support team অনুপস্থিত signature তৈরি করতে পারে না।
কিছু আধুনিক wallet social login, distributed recovery বা smart-account mechanism ব্যবহার করে। তাদের backup model প্রচলিত seed phrase থেকে আলাদা হতে পারে। ব্যবহারের আগে জিজ্ঞেস করুন:
- কে access recover করতে পারে?
- কতটি factor বা participant দরকার?
- Provider কি একা transaction sign করতে পারে?
- External account blocked হলে কী হয়?
- নিয়ন্ত্রণ কি export বা transfer করা যায়?
‘Web3 wallet’ label এই প্রশ্নগুলোর উত্তর দেয় না।
Custodial ও non-custodial access
| Question | কাস্টোডিয়াল সেবা | নন-কাস্টোডিয়াল ওয়ালেট |
|---|---|---|
| Key কার কাছে থাকে? | Provider বা তার infrastructure | User বা user-selected self-custody scheme |
| On-chain operation কে sign করে? | User request-এর ভিত্তিতে provider | User-এর wallet |
| অ্যাক্সেস কীভাবে পুনরুদ্ধার করা হয়? | সাধারণত account ও support-এর মাধ্যমে | Seed phrase, key বা defined recovery design-এর মাধ্যমে |
| Service কি withdrawal সীমিত করতে পারে? | হ্যাঁ, নিজস্ব system-এর মধ্যে | একটি ইন্টারফেস ব্যর্থ হতে পারে, কিন্তু একই key অন্য সামঞ্জস্যপূর্ণ ইন্টারফেসে কাজ করতে পারে |
| প্রধান ঝুঁকি | Provider-এর data breach, failure, restriction বা insolvency | Key হারানো বা compromised হওয়া এবং unsafe signing |
এই comparison control model বর্ণনা করে। এটি কোনো option-কে সর্বজনীনভাবে safe করে না; প্রতিটি risk ও responsibility আলাদা জায়গায় রাখে।
‘আমি আমার fund control করি’ কথাটির প্রকৃত অর্থ
Private key-এর control signature-এর অনুমতি দেয়, কিন্তু প্রতিটি token বা application-এর ওপর সীমাহীন ক্ষমতা বোঝায় না।
ফলাফল আরও যেসব বিষয়ে নির্ভর করতে পারে:
- Token-contract rule;
- Issuer-এর pause, freeze বা blacklist function;
- আগে granted token approval;
- Deposited asset রাখা protocol-এর logic;
- Network availability ও fee;
- Smart-contract bug;
- Interface, RPC-provider বা legal restriction।
যেমন, user smart contract-এ token deposit করতে পারেন। User key control করেন, কিন্তু withdrawal শুধু contract-এর rule অনুযায়ী সম্ভব। Self-custody intermediary key custody সরায়; code অগ্রাহ্য করে না।
Transaction-এর সময় কী ঘটে
- Wallet balance ও current fee parameter আনে।
- User recipient ও amount লেখেন।
- App প্রস্তুত transaction দেখায়।
- User এটি approve করেন।
- Private key local device বা hardware signer-এ signature তৈরি করে।
- Signed transaction broadcast করা হয়।
- Network signature ও execution rule validate করে।
সঠিকভাবে নকশা করা ওয়ালেট প্রাইভেট কী ব্লকচেইনে প্রকাশ করে না। এটি কী প্রকাশ না করেই কর্তৃত্ব প্রমাণকারী একটি স্বাক্ষর broadcast করে।
নিয়ন্ত্রণ ও নিরাপত্তা এক নয়
Self-custody custodian-এর ওপর নির্ভরতা কমায়, কিন্তু দায়িত্ব owner-এর কাছে দেয়।
ফিশিং
নকল সাইট ব্যবহারকারীকে সংযুক্ত হয়ে ক্ষতিকর অনুরোধে স্বাক্ষর করতে বলে। সংযোগ ও স্বাক্ষর এক জিনিস নয়; তবে প্রতিটি স্বাক্ষর অনুরোধ সতর্কভাবে পরীক্ষা করা উচিত।
Seed phrase ফাঁস
অন্য কেউ phrase দেখলে তা থেকে derived সব address compromised ধরে নিন। App password বদলানো যথেষ্ট নয়।
ক্ষতিকর approval
ব্যবহারকারী কোনো কন্ট্র্যাক্টকে টোকেন খরচের অনুমতি দিতে পারেন। ঝুঁকি token, spender ও allowance amount-এর ওপর নির্ভর করে।
ঠিকানা প্রতিস্থাপন
Malware কপি করা address বদলে দিতে পারে। Sign করার আগে বিশ্বস্ত screen-এ transaction-এর বিবরণ যাচাই করুন।
Backup হারিয়েছে
Phone নষ্ট হয়, app সরানো হয় এবং কোনো recovery method নেই। Classic self-custody-তে centralized support key আবার তৈরি করতে পারে না।
Self-custody-এর মৌলিক নিরাপত্তা
- শুধু official website-এর link থেকে wallet install করুন; sponsored copy ও fake extension থেকে সাবধান।
- ওয়ালেটের সরকারি নির্দেশনা অনুযায়ী recovery data backup করুন; সম্ভব হলে offline ও অননুমোদিত access থেকে দূরে রাখুন।
- Message-এ পাওয়া link দিয়ে কখনো seed phrase লিখবেন না। কেবল যাচাইকৃত wallet-এ সচেতনভাবে recovery করার সময় এটি ব্যবহার করুন।
- Seed phrase-এর screenshot নেবেন না এবং email বা messaging app-এ পাঠাবেন না।
- স্বাক্ষরের আগে network, address, asset, amount, approval ও fee যাচাই করুন।
- উল্লেখযোগ্য amount-এর জন্য hardware signer বিবেচনা করুন—তবে এর recovery model ও supply-chain risk বুঝুন।
- উদ্দেশ্য অনুযায়ী address আলাদা রাখুন—যেমন দৈনন্দিন dApp ব্যবহার ও long-term storage।
- বিশ্বস্ত explorer বা official network tool ব্যবহার করে আগের token approval নিয়মিত পরীক্ষা করুন।
- নতুন workflow আগে অল্প amount দিয়ে পরীক্ষা করুন।
- এমন নিরাপদ inheritance plan তৈরি করুন, যাতে secret আগেভাগে প্রকাশ না হয়।
কিছু ভুল হলে
App password হারিয়েছে, কিন্তু seed phrase নিরাপদ
Phrase কোনো random website-এ লিখবেন না। Wallet-এর official recovery instruction খুঁজে verified app ব্যবহার করুন।
Seed phrase প্রকাশ হয়ে থাকতে পারে
সংশ্লিষ্ট সব address compromised ধরে নিন। Clean device-এ নতুন independent wallet তৈরি করুন এবং সম্ভব হলে gas ও active approval বিবেচনা করে asset নতুন address-এ সরান। পুরোনো password বদলানো যথেষ্ট নয়।
সন্দেহজনক approval-এ স্বাক্ষর করা হয়েছে
Explorer-এ transaction ও active allowance দেখুন। Allowance revoke করাও on-chain transaction এবং gas লাগে। Seed phrase প্রকাশ হলে শুধু revocation যথেষ্ট নয়।
টোকেন ভুল ঠিকানায় পাঠানো হয়েছে
ব্লকচেইনে নিশ্চিত হওয়া ট্রান্সফার বাতিল করার কোনো undo বোতাম নেই। কেবল প্রাপকের নিয়ন্ত্রক বা প্রযোজ্য কন্ট্র্যাক্ট লজিক অর্থ ফেরত দিতে পারে। লেনদেন ফিরিয়ে দেওয়ার প্রতিশ্রুতি দেওয়া কাউকে কখনো সিড ফ্রেজ দেবেন না।
“Non-custodial” দাবি কীভাবে যাচাই করবেন
সেবা প্রদানকারীকে জিজ্ঞাসা করুন:
- Private key কে তৈরি ও store করে?
- কোম্পানি কি আমাকে ছাড়া transaction sign করতে পারে?
- Company-র সঙ্গে যোগাযোগ না করে কি access recover করতে পারি?
- আমি কি compatible wallet-এ control export বা transfer করতে পারি?
- Service বন্ধ হলে কী হয়?
উত্তরে architecture ব্যাখ্যা করতে হবে; শুধু ‘decentralized’ বা ‘secure’ পুনরাবৃত্তি নয়।
উপসংহার
নন-কাস্টোডিয়াল ওয়ালেট কোনো অ্যাপের ভেতরের ব্যাংক হিসাব নয়। এটি এমন একটি টুল, যার মাধ্যমে ব্যবহারকারী কী নিয়ন্ত্রণ করেন এবং ব্লকচেইন অপারেশনে স্বাক্ষর করেন।
Direct control removes the need to trust an intermediary with key custody, but makes the user responsible for backups, signature review, and device security. The most useful habit is simple: a public address can be shared; a seed phrase and private key must never be shared.
