সেপ্টেম্বর ৬-এ হ্যাকারদের এর অধীনস্থ সফটওয়্যারে একটি বাগ ব্যবহার করার ফলে, বিটকয়েনের প্রাচীনতম এবং সবচেয়ে উল্লেখযোগ্য বিটকয়েন সাইডচেইনগুলির মধ্যে একটি হওয়া Blockstream-এর লিকুইড নেটওয়ার্ক প্রায় ৪,০০০ বিটকয়েন, যা প্রায় ৩২০ মিলিয়ন ডলারের সমমূল্য, হারিয়ে ফেলে। ফেডারেশনের রিজার্ভগুলি একক ধাক্কায় ৪,২০০ বিটকয়েনের বেশি থেকে প্রায় ১৯৭ বিটকয়েনে পতন ঘটে, যা এই বছরের মধ্যে বিটকয়েন-সংশ্লিষ্ট নেটওয়ার্কের সবচেয়ে বড় সুরক্ষা লঙ্ঘনগুলির মধ্যে একটি হয়ে উঠেছে।
যদি এটাকে এভাবে ডাকা যায় তবে সুসংবাদ: আক্রমণকারীরা নিজেদের সাদা টুপি হ্যাকার হিসেবে চিহ্নিত করেছিল এবং Blockstream যখন ভালনারেবিলিটি প্যাচ করেছে তখন প্রায় 3,400 BTC ফিরিয়ে দিয়েছিল। তারা প্রায় 598 BTC, যা প্রায় $47 মিলিয়নের সমমূল্য, নিজেদের নির্ধারিত বোন্টি হিসেবে রেখেছিল।
কিভাবে এক্সপ্লয়িট কাজ করেছিল
দুর্বলতাটি Elements সফটওয়্যারে বিদ্যমান ছিল, যা লিকুইড নেটওয়ার্ককে সক্ষম করে এমন ওপেন-সোর্স কোডবেস। বিশেষভাবে, একটি রেঞ্জ-প্রুফ যাচাইকরণ ক্যাশ বাগের কারণে আক্রমণকারীরা অবৈধ লিকুইড বিটকয়েন (L-BTC) টোকেন তৈরি করতে পারে, যা সিস্টেম বৈধ হিসাবে গ্রহণ করে। সেই প্রতারণামূলক টোকেনগুলি তখন SideSwap-এর Peg-out অনুমতি কী (PAK) এর মধ্যে প্রক্রিয়াকৃত হয়, যা তাদের ফেডারেশন ওয়ালেট থেকে প্রকৃত BTC উত্তোলনে রূপান্তরিত করে।
ঔপনিবেশিক চাবিগুলি আক্রমণের সময় কোনোভাবেই সংক্রমিত হয়নি। লিকুইড নেটওয়ার্ক 11-অফ-15 ফেডারেশন মাল্টিসিগ মডেলে কাজ করে, যার অর্থ লেনদেনগুলির জন্য 15টি নির্দিষ্ট সংস্থার মধ্যে 11টির অনুমতি প্রয়োজন। মাল্টিসিগটি নিজেই ভালোভাবে কাজ করেছিল। সমস্যাটি আগের পর্যায়ে ছিল: মাল্টিসিগের জন্য প্রেরিত ডেটা যাচাই করার জন্য ব্যবহৃত সফটওয়্যার।
লিকুইড নেটওয়ার্কে রাখা অন্যান্য সম্পদ, যার মধ্যে রয়েছে USDT এবং টোকেনাইজড বাস্তব-বিশ্বের সম্পদ, এই এক্সপ্লয়িটের দ্বারা প্রভাবিত হয়নি। বাগটি শুধুমাত্র L-BTC টোকেন বৈধতার সাথে সম্পর্কিত ছিল।
প্রভাব এবং জমে যাওয়া
অংশশঃ ফান্ড ফেরত পাওয়ার সত্ত্বেও, লিকুইড নেটওয়ার্ক এখনও বন্ধ রয়েছে। এক্সচেঞ্জগুলিতে L-BTC সংক্রান্ত সমস্ত কার্যক্রম স্থগিত করা হয়েছে, এবং সাধারণ কার্যক্রম পুনরায় শুরু হওয়ার জন্য কোনো পাবলিক টাইমলাইন নেই। ২০১৮ সালে প্রতিষ্ঠিত এই নেটওয়ার্কটি প্রতিশ্রুতি দিয়েছিল যে এটি প্রতিষ্ঠানগত ট্রেডারদের জন্য দ্রুততর এবং আরও গোপনীয় বিটকয়েন লেনদেন প্রদান করবে—এটি একটি বড় বিশ্বাসযোগ্যতা হানি।
ফেডারেশনের রিজার্ভ সম্পর্কে কথাটি স্পষ্টভাবে বলে: আক্রমণের আগে, ওয়ালেটে 4,200 BTC-এর বেশি ছিল। হোয়াইট-হ্যাট ফেরতের পর, এটি প্রায় 3,600 BTC-এ রয়েছে, যা হ্যাকারদের ধরে রাখা 598 BTC-এর জন্য এখনও কম।
ঘটনাটি ফেডারেটেড সাইডচেইন আর্কিটেকচারের প্রতি সাধারণভাবে অস্বস্তিকর প্রশ্নও তোলে। লিকুইডের মডেলটি বিটকয়েনের মেইন চেইন এবং সাইডচেইনের মধ্যে ব্রিজ নিরাপদ রাখতে একটি সাপেক্ষে ছোট গোষ্ঠীর উপর বিশ্বাস রাখে। যখন এই বিশ্বস্ত সংস্থাগুলির যে সফটওয়্যারের উপর তারা নির্ভর করে তাতে একটি গুরুতর বাগ থাকে, তখন পুরো মডেলটির মূল্যপ্রস্তাবের ক্ষতি হয়।
বিটকয়েন ইনফ্রাস্ট্রাকচারের ব্যাপক প্রভাব
এলিমেন্টস কোডবেস, যদিও ওপেন-সোর্স এবং যাচাইযোগ্য, তার যাচাইকরণ লজিকের জন্য আরও কঠোর পর্যালোচনার প্রয়োজন ছিল। রেঞ্জ-প্রুফ বৈধতা পরীক্ষায় একটি ক্যাশ বাগ হল সেই ধরনের সূক্ষ্ম, গভীর প্রযুক্তিগত ত্রুটি যা আবিষ্কৃত হলে ভয়াবহ ক্ষতির কারণ হতে পারে।
এলিমেন্টস কোডবেস শুধুমাত্র লিকুইডের বাইরেও ব্যবহার করা হয়, এবং এটির উপর ভিত্তি করে তৈরি যেকোনো প্রকল্পকে প্রমাণ করতে হবে যে তাদের বাস্তবায়নে একই দুর্বলতা বিদ্যমান নেই।
আক্রমণটিকে সাদা টুপি হিসাবে প্রস্তুত করা, যদিও ফলাফলে বাস্তবিক, একটি জটিল পূর্বাভাসও তৈরি করে। $47 মিলিয়ন বিটকয়েনকে অনিচ্ছাকৃত পুরস্কার হিসাবে রাখা একটি আইনগত ধূসর অঞ্চলে বিদ্যমান প্রথা। নিয়ন্ত্রক বা আইন প্রয়োগকারীদের এটিকে দায়িত্বপূর্ণ প্রকাশ হিসাবে না দেখে আংশিক পুনর্মূলধন সহ চুরি হিসাবে দেখা, ভবিষ্যতে এইরকম ঘটনাগুলির পরিচালনা কীভাবে হবে, তা আকৃতি দেবে।