রবিনহুড চেইনে চলমান একটি ডিসেন্ট্রালাইজড এক্সচেঞ্জ আর্কাস, একটি বাগের কারণে একটি সাম্প্রতিকভাবে তৈরি অ্যাকাউন্টের নিজস্ব ব্যালেন্স বাড়ানোর পর 2,234,391 USDG একজন দুর্নীতিবাদীকে প্রদান করেছে।
সিকিউরিটি ফার্ম সার্টিক ঘটনাটিকে একটি পূর্ণসংখ্যা অনারফ্লো-এর কারণে আরোপ করে। এটি এমন একটি গাণিতিক ত্রুটি যেখানে একটি সংখ্যা শূন্যের নিচে নেমে যায় এবং একটি বিশাল ধনাত্মক মানে পরিণত হয়। একটি ওডোমিটারকে শূন্যের পার হয়ে পিছনের দিকে ঘুরে 999,999-এ পৌঁছানোর কথা ভাবুন।
নয়টি আলাদা ব্রিজভল্ট ট্রান্সফারের মাধ্যমে পেমেন্ট হয়েছে, যে ওয়ালেটটি আরকাস পরে প্রকাশ করেছে। ক্ষতি আরও বেশি হতে পারত। একটি অন-চেইন রেট লিমিট শীঘ্রই কার্যকর হয়েছিল এবং অনুমানিত 3 মিলিয়ন ডলারের অতিরিক্ত উত্তোলন বন্ধ করে দিয়েছিল।
কিভাবে এক্সপ্লয়িটটি ঘটেছিল
সমস্যাটি শুরু হয় ২০২৬ সালের ৯ নভেম্বর, প্রায় ১০:০৭ পি.এম. ইটি-তে। একটি নতুনভাবে তৈরি অ্যাকাউন্ট আরকাস দ্বারা সাবঅ্যাকাউন্টের মধ্যে ট্রান্সফার পরিচালনার ত্রুটিগুলির দুর্বলতা ব্যবহার করে, যা এটিকে বাস্তবে জমা দেওয়ার চেয়ে অনেক বেশি ব্যালেন্স বাড়াতে দেয়।
এক্সচেঞ্জের নিজস্ব ঘটনা প্রতিবেদনে নভেম্বর ৯ তারিখ উল্লেখ করা হয়েছে। CertiK উল্লেখ করেছে যে সংশ্লিষ্ট লেজার কার্যকলাপ এবং অন-চেইন কার্যক্রমগুলি নভেম্বর ১০ UTC-এ ঘটেছিল। মার্কিন পূর্ব তটের দেরি সন্ধ্যায় UTC-তে ইতিমধ্যে পরবর্তী দিন শুরু হয়ে গেছে, তাই উভয় তারিখই একই রাতকে বর্ণনা করে।
গভীর গবেষণার ফলাফল অনুযায়ী, প্রতিক্রিয়ার সময়সূচীটি এরকম ছিল:
- প্রায় 10:10 পি.ই.টি.: অন-চেইন ব্রিজ রেট লিমিট সক্রিয় হয়েছে
- পূর্ব সময় অনুযায়ী 10:15 রাত: অভ্যন্তরীণ মনিটরিং এই কার্যক্রমকে চিহ্নিত করেছে
- পূর্ব সময় অনুযায়ী ১১:০৭ রাত্রি: আরকাস পুরো প্ল্যাটফর্মে উত্তোলন বন্ধ করে দিয়েছে
- পজ এর প্রায় ৩০ মিনিট পর: একটি ফিক্স ডিপ্লয় করা হয়েছে
- পূর্ব সময় সকাল 4:26, 10 নভেম্বর: উত্তোলন পুনরায় শুরু
যে প্রায় 3 মিলিয়ন ডলারের উত্তোলনের অনুরোধ হালকা হয়েছিল, সেগুলি ঠিক করা হওয়ার পর বাতিল করে দেওয়া হয়। দুর্নীতিকারী 2,234,391 USDG নিয়ে চলে যায়, যা ইতিমধ্যেই পরিষ্কার হয়েছিল, আর আরও কিছু নয়।
একটি গুরুত্বপূর্ণ বিষয় মনে রাখুন: সার্টিক স্পষ্টভাবে বলেছে যে টোকেন সংখ্যা একটি স্বাধীনভাবে মূল্যায়িত ডলার ক্ষতি বা আক্রমণকারীর লাভের একটি পরিমাপ নয়। এই সংখ্যাটি কতগুলি USDG টোকেন স্থানান্তরিত হয়েছে তা বর্ণনা করে। এটি কারও ডলারের পরিমাণে কতটা লাভ বা ক্ষতি হয়েছে তার একটি যাচাইকৃত হিসাব নয়।
আরকাস ফাঁকটি পূরণ করে এবং বাউন্টি প্রদান করে
আরকাস বলেছে যে এটি তার কোম্পানি খাজনা থেকে স্বল্পতা পূরণ করেছে। গবেষণার ফলাফল অনুযায়ী, অন্য কোনও ব্যবহারকারীর তহবিলের ক্ষতি হয়নি, এবং কয়েক ঘন্টার মধ্যে অপারেশনগুলি আবার অনলাইনে চলে আসে।
এক্সচেঞ্জটি প্রতিবেদনের পথও অনুসরণ করেছে। এটি আক্রমণকারীর ঠিকানা প্রকাশ করেছে এবং অর্থের ট্রেস করার জন্য ব্লকচেইন তদন্তকারীদের সাথে কাজ করছে।
একটি বাণিজ্যিক কৌশলও রয়েছে। প্রতিবেদন অনুযায়ী, আরকাস বড় পরিমাণ টোকেন ফেরত পাওয়ার বিনিময়ে দুর্নীতিকারীকে বাউন্টি প্রদানের প্রস্তাব দিয়েছিল। দুর্নীতিকারী কি এই চুক্তি গ্রহণ করেছে, তা এখনও অজানা।
ঘটনাটিকে একটি অভ্যন্তরীণ হিসাবের ত্রুটি হিসাবে চিহ্নিত করা হয়েছে, স্মার্ট-কন্ট্রাক্ট নিরাপত্তার ত্রুটি নয়।
পটভূমি: আর্কাস এবং রবিনহুড চেইন
আরকাস হল একটি ডিসেন্ট্রালাইজড এক্সচেঞ্জ যা dYdX টিমের সাথে সম্পৃক্ত, যা অন-চেইন ডেরিভেটিভস ট্রেডিংয়ের দীর্ঘস্থায়ী নামগুলির মধ্যে একটি। এটি রবিনহুড চেইনে কাজ করে এবং তার ব্রিজভল্টের মাধ্যমে USDG-এ পেমেন্ট সেটেল করে।
2026 সালের 13 নভেম্বর পর্যন্ত, এই দুর্বলতার সাথে ব্যাপক বাজার দূষণের কোনো প্রতিবেদন পাওয়া যায়নি। ক্ষতি মনে হয় শুধুমাত্র আরকাসের মধ্যেই সীমাবদ্ধ ছিল, এবং কোম্পানিটি এটি গ্রহণ করেছে।
এর অর্থ কী
এখানে সবচেয়ে শিক্ষাপ্রদ বিষয়টি হল সময়সূচির ব্যবধান। ব্রিজ রেট লিমিটটি প্রায় 10:10 পি.এম. ইটি-এ সক্রিয় হয়, যা দুর্নীতির শুরুর তিন মিনিট পরে। প্ল্যাটফর্ম-ব্যাপী থামানো হয় 11:07 পি.এম.-এ, যা 10:15-এ মনিটরিংয়ের মাধ্যমে সমস্যা চিহ্নিত হওয়ার প্রায় এক ঘণ্টা পরে।
সেই সময়ের মধ্যে, স্বয়ংক্রিয় সার্কিট ব্রেকারটি বেশিরভাগ কাজ করেছিল। এটি না থাকলে, প্রায় 3 মিলিয়ন ডলারের বন্ধ অনুরোধগুলি দ্বারা বাইরে চলে যাওয়া 2,234,391 USDG-এর সাথে যোগ হওয়ার সম্ভাবনা ছিল।
দ্বিতীয় পাঠটি হল ঝুঁকি আসলে কোথায় থাকে। অডিটগুলি সাধারণত স্মার্ট চুক্তির উপর কেন্দ্রীভূত হয়, এবং আরকাসের চুক্তিগুলি অনুসারে দুর্বল বিন্দু ছিল না। ব্যর্থতাটি সাবঅ্যাকাউন্ট ট্রান্সফারের জন্য অভ্যন্তরীণ হিসাববিদ্যা লজিকে ছিল, যেটি একটি স্তর যা এটি নিরাপত্তার চেয়ে বই-রক্ষণের মতো মনে হওয়ায় উপেক্ষা করা সহজ।
পূর্ণসংখ্যার অধীনে পতন হল একটি ভালভাবে বোঝা বাগের শ্রেণি। অভিজ্ঞ দলের সাথে যুক্ত উৎপাদন সিস্টেমে এগুলির উপস্থিতি এই কথা মনে করিয়ে দেয় যে পরিচিত ব্যর্থতার মোডগুলি যেখানেই অঙ্কগত ক্রিয়াকলাপ ব্যালেন্সের সাথে স্পর্শ করে, সেখানেই তা পুনরায় ফিরে আসে।
ট্রেডারদের জন্য, খাজনার পিছনের সমর্থন হল আশ্বস্তকর অংশ। ব্যবহারকারীদের সম্পূর্ণ পুনরুদ্ধার করা হয়েছিল এবং প্ল্যাটফর্মটি পরের দিনের প্রাতঃকালের মধ্যেই আবার চালু হয়েছিল।
এখন যা দেখার বিষয়, তা পরিষ্কারভাবে নির্দিষ্ট। প্রথমত, অপব্যবহারকারী বোনটি গ্রহণ করে কি না এবং টোকেনের একটি অর্থপূর্ণ অংশ ফেরত দেয় কি না। দ্বিতীয়ত, আরকাস কি একটি আরও বিস্তারিত প্রযুক্তিগত পোস্টমর্টেম প্রকাশ করে যা ব্যাখ্যা করে যে আন্ডারফ্লোটি কিভাবে অতিক্রম করেছিল এবং কী চেকগুলি যোগ করা হয়েছে।
তৃতীয়ত, রবিনহুড চেইনের অন্যান্য মঞ্চগুলি এই একটির কারণে কতটা সংরক্ষণ হয়েছে তার আলোকে তাদের নিজস্ব ব্রিজ রেট সীমা পুনরায় পর্যালোচনা করে। একটি স্বয়ংক্রিয় সীমা থেকে তিন মিনিটের প্রতিক্রিয়া, ম্যানুয়াল বন্ধের এক ঘন্টার বিপরীতে, স্বয়ংক্রিয়করণের জন্য একটি প্রবল যুক্তি তৈরি করে।