মানবতা প্রোটোকল বলেছে যে এর একজন পরিচালকের বিরুদ্ধে একটি লক্ষ্যযুক্ত ফিশিং আক্রমণের ফলে জুন ৮-এ $H টোকেন দুর্নীতির জন্য ব্যবহৃত প্রাইভেট কীগুলি চুরি হয়েছে। এর ফলে প্রকল্পটির BNB চেইন ডিপ্লয়মেন্ট স্থায়ীভাবে দুর্নীতিগ্রস্ত হয়েছে।
জুন ১২ তারিখে প্রকাশিত একটি নতুন ঘটনা আপডেটে, দলটি Quantstamp দ্বারা পরিচালিত একটি স্বাধীন তদন্তের ফলাফল শেয়ার করেছে।
এটি উপসংহারে পৌঁছেছে যে আক্রমণকারী চুরি করা প্রশাসনিক যাচাইকরণ তথ্য ব্যবহার করে চুক্তিগুলি আপগ্রেড করেছিল। তারপর তারা ইথেরিয়ামের মধ্যে টোকেন স্থানান্তর করেছিল এবং BNB স্মার্ট চেইনে নতুন $H মিন্ট করেছিল।
আক্রমণকারী পরে প্রায় আট ঘন্টা ধরে ইউনিসোয়াপ এবং প্যাঙ্কেকসোয়াপের মাধ্যমে টোকেনগুলি বিক্রি করে। এই পদক্ষেপটি তরলতাকে গুরুতরভাবে ক্ষতিগ্রস্ত করে এবং টোকেনটির মার্কেট মূল্যে তীব্র পতন ঘটায়।
আক্রমণটি প্রতিবেদন অনুযায়ী মিথ্যা বিথাম্ব ইমেইল দিয়ে শুরু হয়েছিল
হিউম্যানিটি প্রোটোকল অনুযায়ী, এই সংক্রমণ শুরু হয়েছিল ক্রিপ্টো এক্সচেঞ্জ বিথাম্বকে নকল করে পাঠানো ফিশিং ইমেইল দিয়ে।
অভিযোগ অনুযায়ী, লক্ষ্য পরিচালকটি একটি ক্ষতিকারক সংযুক্তি সহ একটি বৈধ আপডেট পাওয়ার আগে বিথাম্বের সাথে যোগাযোগ করছিলেন।
দলটি বলেছে যে ফাইলটি খোলার ফলে রিমোট-অ্যাক্সেস ম্যালওয়্যার ইনস্টল হয়েছিল যা আক্রমণকারীকে মেশিনটির উপর পূর্ণাঙ্গ রিমোট-ডেস্কটপ নিয়ন্ত্রণ দিয়েছিল। এছাড়াও, এটি এন্ডপয়েন্ট সিকিউরিটি সুরক্ষা প্রোটেকশনগুলি ট্রিগার না করেই করা হয়েছিল।
এই অ্যাক্সেসের মাধ্যমে, আক্রমণকারীরা অন-চেইন আক্রমণ পরিচালনা করার আগে ডিভাইসে সংরক্ষিত ওয়ালেট ডেটা এবং প্রাইভেট কীগুলি কপি করেছে বলে দাবি করা হয়েছে।
কোয়ান্টস্ট্যাম্প বলেছে যে তদন্তের সময় পর্যবেক্ষিত ম্যালওয়্যার টুলিং এবং সার্টিফিকেট-সাইনিং প্যাটার্নগুলি “DPRK-সংযুক্ত আক্রমণের বৈশিষ্ট্য”। তবে, রিপোর্টটি একটি নির্ণায়ক অভিনিবেশ করার সীমানা অতিক্রম করেনি।
আক্রমণকারীরা চুক্তিগুলি আপগ্রেড করে নতুন $H মিন্ট করেছে
Humanity Protocol বলেছে যে আক্রমণকারী একজন পরিচালকের চুরি করা চাবিগুলি ব্যবহার করে ইথেরিয়ামে একটি চুক্তি আপগ্রেড করে প্রায় ১৪১.১৮ মিলিয়ন $H টোকেন স্থানান্তর করেছে।
BNB চেইনে, আক্রমণকারীদের একটি প্রক্সি অ্যাডমিন চুক্তি নিয়ন্ত্রণ করার দাবি করা হয়েছে, যার ফলে তারা প্রত্যক্ষভাবে অতিরিক্ত $H টোকেন মিন্ট করতে পেরেছে।
নতুন মিন্ট করা টোকেনগুলি তারপর ইথেরিয়াম এবং বিএসসি-এর বিভিন্ন লিকুইডিটি পুলে বিক্রি করা হয়, যা ধারক এবং লিকুইডিটি প্রোভাইডারদের জন্য বাজারের ক্ষতি বাড়িয়ে দেয়।
দলটি জোর দিয়ে বলেছে যে ঘটনাটি মূল স্মার্ট চুক্তিগুলির ভিতরে কোনো দুর্বলতা থেকে উদ্ভূত হয়নি।
বিকল্পভাবে, ফিশিং আক্রমণের মাধ্যমে অননুমোদিত প্রশাসনিক অ্যাক্সেস পাওয়ার ফলে এই সমঝোতা হয়েছিল।
ইথেরিয়াম ফ্রিজ করা হয়েছে যখন BSC ডিপ্লয়মেন্ট বাতিল করা হয়েছে
ঘটনাটির ফলে মানবতা প্রোটোকলের ইথেরিয়াম এবং বিএসসি ডিপ্লয়মেন্টের মধ্যে বিভাজন ঘটে।
আপডেট অনুযায়ী, আক্রমণকারী কখনও নিয়ন্ত্রণ করেনি এমন একটি পৃথক, পরিষ্কার মাল্টিসিগ ওয়ালেট ব্যবহার করে ইথেরিয়াম টোকেন কন্ট্রাক্টটি সফলভাবে ফ্রিজ করা হয়েছে।
প্রকল্পটি আরও বলেছে যে ক্যাননিক্যাল হিউম্যানিটি মেইননেট ব্রিজটি অপ্রভাবিত রয়েছে।
তবে, BNB চেইন ডিপ্লয়মেন্টটি এখন স্থায়ীভাবে ক্ষতিগ্রস্ত হয়েছে বলে বিবেচনা করা হচ্ছে। এর কারণ হলো, আক্রমণকারী এখনও প্রশাসনিক নিয়ন্ত্রণ রাখছে এবং নতুন টোকেন মিন্ট করতে পারছে।
“এটি ত্যাগ করা উচিত,” টিমটি বিএসসি ডিপ্লয়মেন্ট সম্পর্কে লিখেছে।
ঘটনাটি ক্রিপ্টো শিল্পের মধ্যে গভর্ন্যান্স কী ব্যবস্থাপনা, অপারেশনাল সিকিউরিটি এবং সোশ্যাল-এঞ্জিনিয়ারিং আক্রমণ নিয়ে বাড়তে থাকা চিন্তার কথা উল্লেখ করে।
চূড়ান্ত সারসংক্ষেপ
- মানবতা প্রোটোকল বলেছে যে বিথাম্বকে কপি করে একটি ফিশিং আক্রমণের ফলে জুন ৮-এর $H এক্সপ্লয়িটে ব্যবহৃত পরিচালকের চাবিগুলি চুরি হয়েছে।
- প্রকল্পটি তার ইথেরিয়াম ডিপ্লয়মেন্ট জমানো হয়েছে কিন্তু বলেছে যে আক্রমণকারী এখনও মিন্ট অনুমতি নিয়ন্ত্রণ করছে বলে এর BNB চেইন ডিপ্লয়মেন্ট ত্যাগ করতে হবে।