একটি সোলানা-ভিত্তিক অভিসি সুরক্ষা দুর্বলতা একজন আক্রমণকারীর দ্বারা মাত্র $190 গ্যাস খরচ করে প্রায় $670,000 ব্যবহারকারীর অর্থ চুরি করার পরে বেশিরভাগ $1 মিলিয়নেরও বেশি ব্যবহারকারীর অর্থ প্রকাশ করেছে। এর মধ্যে, অভিসি দল চুক্তির সমস্যা শনাক্ত ও সমাধানের পরে প্রভাবিত ব্যবহারকারীকে পুরোপুরি ফেরত দিয়েছে এবং 10% ক্যাশব্যাক যোগ করেছে।
কিভাবে আক্রমণকারী $190 গ্যাস ব্যবহার করে $670K শোষণ করল
অন-চেইন ডেটার অনুসারে, আক্রমণকারী প্রায় 190 ডলার মানের USDC দিয়ে একটি নতুন ওয়ালেট ফান্ড করেছে, যা মূলত ট্রানজেকশন ফি কভার করার জন্য। প্রায় তিন ঘন্টা অক্রিয় থাকার পর, 16:49 UTC-এ ওয়ালেটটি Avici-এর Solana কার্ড কন্ট্রাক্টগুলির সাথে ইন্টারঅ্যাক্ট করা শুরু করে।
আক্রমণকারী তখন ব্যক্তিগত ব্যবহারকারীর ব্যালেন্স খালি করা শুরু করে। ১৮:১৯ থেকে ১৮:৩৪ ইউটিসির মধ্যে প্রায় ৫৭৬,০০০ ডলারের প্রথম প্রধান ব্যাচটি স্থানান্তরিত হয়।
আরও তুলে নেওয়ার ফলে মোট পরিমাণ $670,000 এর ঊর্ধ্বে চলে গেল, যখন আক্রমণটি 8,857 ট্রানজেকশনে চলতে থাকল।
আক্রমণকারী ব্যবহারকারীদের অ্যাকাউন্টে অবিরত প্রবেশ করতে থাকায়, মোট প্ল্যাটফর্ম ক্ষতি শেষপর্যন্ত 1 মিলিয়ন ডলারের বেশি হয়ে যায়।
একটি কন্ট্রাক্টের ত্রুটি 1,100+ অ্যাকাউন্ট প্রকাশ করেছে
আক্রমণকারী আভিসির মূল খাজনায় প্রবেশ করেনি বা আপগ্রেড কী চুরি করেনি। বরং, এই দুর্বলতা ব্যক্তিগত কার্ড-ব্যালেন্স চুক্তিগুলিকে লক্ষ্য করেছিল।
সমস্যাটি রেইন, অভিকির কার্ড জারি করার পার্টনার দ্বারা প্রদানকৃত ইনফ্রাস্ট্রাকচারে পুরনো সিগনেচার এবং অনুমতি চেকের সাথে সম্পর্কিত ছিল।
আক্রমণকারী একটি বিশেষভাবে তৈরি সিগনেচার বান্ডিল, যার নাম AddCollateralAdmin, জমা দেয়, যা ভুলভাবে তাদের ১,১০০-এরও বেশি ব্যবহারকারীর কল্লাটারেল অ্যাকাউন্টে অ্যাডমিন অ্যাক্সেস দেয়।
আক্রমণকারী তারপর সেই অ্যাকাউন্টগুলি থেকে একে একে ফান্ড উত্তোলন করতে পারে। অন-চেইন ডেটা দেখায় যে মধ্যমা উত্তোলন ছিল $24, যখন নমুনায় সর্বোচ্চ উত্তোলন ছিল $5,268।
অভিকি ব্যবহারকারীদের প্রতি ১০% ক্যাশব্যাক প্রদান করছে
অভিকি বলেছেন এটি প্রভাবিত সোলানা চুক্তি আপডেট করেছে এবং আরও সম্পর্কিত কার্যক্রম দেখেনি।
দলটি আরও নিশ্চিত করেছে যে প্রভাবিত ব্যালেন্সগুলি পুরোপুরি পুনরুদ্ধার করা হয়েছে, এবং তুলে নেওয়া পরিমাণের উপর অতিরিক্ত 10% ক্যাশব্যাক প্রদান করা হয়েছে।
যদি আপনার সোলানা কার্ডের ব্যালেন্স কয়েক ঘন্টা আগে তুলে নেওয়া হয়ে থাকে, তাহলে আমরা সম্পূর্ণ পরিমাণ পুনরায় প্রতিষ্ঠিত করেছি এবং তুলে নেওয়া পরিমাণের উপর 10% ক্যাশব্যাক যোগ করেছি।
অভিসি বলেছেন যে এক্সপ্লয়িটটি শুধুমাত্র তার টপ আপ সিস্টেমের মাধ্যমে যোগ করা ব্যালেন্স ধারণকারী সোলানা কার্ড কনট্রাক্টগুলিকে প্রভাবিত করেছে। নিয়মিত সোলানা এবং EVM ওয়ালেট, এবং EVM কার্ড ব্যালেন্স, অনর্যাম্পস, অফর্যাম্পস এবং সোয়াপগুলি প্রভাবিত হয়নি।
যখন, এভিসি বলছে যে ব্যবহারকারীদের পুনরুদ্ধারকৃত ব্যালেন্স পরীক্ষা করতে বলা হচ্ছে এবং আপডেটকৃত চুক্তিগুলি পর্যবেক্ষণ করা চলছে।