একটি লেয়ার-1 ব্লকচেইন ইনিশিয়া নিশ্চিত করেছে যে তার নেটওয়ার্কের ক্লাউড ইনফ্রাস্ট্রাকচার কম্প্রোমাইজ করে একজন আক্রমণকারী প্রায় 3.27 মিলিয়ন ডলার মূল্যের ক্রিপ্টো সম্পদ চুরি করেছে, যা তিন সপ্তাহের মধ্যে তার দ্বিতীয় সুরক্ষা দুর্বলতা।
সর্বশেষ ঘটনাটি ওয়েব3 সিস্টেমের জন্য একটি দীর্ঘস্থায়ী ঝুঁকির প্যাটার্নকে জোর দিয়ে তোলে: একবার আক্রমণকারীরা ব্লকচেইনের পিছনের ক্লাউড বা ডেভেলপার টুলিংয়ের নিয়ন্ত্রণ পেয়ে গেলে, তারা ক্রেডেনশিয়াল অ্যাক্সেস করতে পারে, প্রতারণামূলক কাজগুলি যাচাই করতে পারে এবং অর্থ স্থানান্তর করতে পারে—কখনও কখনও অন-চেইন প্রতিরোধগুলি সম্পূর্ণভাবে প্রতিক্রিয়া জানানোর আগেই।
প্রধান পাওয়া বিষয়গুলি
- ইনিশিয়া বলেন যে আক্রমণকারী একটি বিকল্প Google Cloud Platform কী ব্যবহার করে কমান্ড ইঞ্জেকশন আক্রমণ চালিয়ে অননুমোদিত অ্যাক্সেস লাভ করেছে।
- ব্রিচটি পরিবেশ চলকগুলি প্রকাশ করে, যা Initia বলে যে এটি তাদের GitHub এবং ক্লাউড অ্যাকাউন্টগুলিতে প্রবেশাধিকার এবং আরও ক্রেডেনশিয়াল প্রাপ্তির অনুমতি দেয়।
- ইনিশিয়া জানায় যে পাঁচটি রোলআপ থেকে প্রতারণামূলক ইন্টার-ব্লকচেইন কমিউনিকেশন (IBC) উত্তোলন যাচাই করা হয়েছিল, যার ফলে এসক্রো অ্যাকাউন্টগুলি খালি হয়ে যায়।
- চুরি করা অর্থের প্রায় 2.16 মিলিয়ন ডলার বন্ধ হয়ে যায় কারণ ইনিশিয়া নেটওয়ার্কটি বন্ধ করে দেয়।
- ইনিশিয়ার মতে, কোনো INIT টোকেন তুলে নেওয়া হয়নি।
দ্বিতীয় দুর্নীতি ক্লাউড অ্যাক্সেস এবং যাচাইকরণ তথ্যকে লক্ষ্য করে
বুধবার পোস্ট করা একটি আপডেটে ইনিশিয়া বলেছে যে আক্রমণকারী মঙ্গলবার একটি কমান্ড ইঞ্জেকশন আক্রমণের মাধ্যমে একটি দুর্বল Google Cloud Platform কী ব্যবহার করে অননুমোদিত অ্যাক্সেস লাভ করেছিল। ব্যবহারিকভাবে, কোম্পানিটি এই দুর্বলতাকে একটি একক সার্ভিসের বাইরে বিস্তৃত বলে বর্ণনা করেছে: এটি বলেছে যে আক্রমণকারী পরিবেশ চলকগুলি দেখতে সক্ষম হয়েছিল, যা তারপর অতিরিক্ত সিস্টেমগুলির দিকে পথ প্রশস্ত করেছিল।
Initia-এর অনুসারে, প্রকাশিত পরিবেশ চলকগুলি আক্রমণকারীকে এর GitHub এবং ক্লাউড অ্যাকাউন্টে প্রবেশ করতে এবং অতিরিক্ত যাচাইকরণ তথ্য প্রাপ্তির অনুমতি দিয়েছিল। এই বিস্তৃত প্রবেশাধিকার আক্রমণকারীকে প্রবেশ থেকে কার্যক্রমে স্থানান্তরিত করতে সাহায্য করেছিল—যা নেটওয়ার্কের রোলআপ কার্যকলাপ প্রক্রিয়াকরণের সাথে সংযুক্ত অপারেশনাল উপাদানগুলি অর্জন করেছিল।
রোলআপ ইনফ্রাস্ট্রাকচারের মাধ্যমে প্রতারণামূলক IBC উত্তোলন
ইনিশিয়া বলেছে যে আক্রমণকারী রোলআপ হোস্ট করার জন্য ব্যবহৃত এনভিল প্ল্যাটফর্মে প্রবেশ করেছিল এবং পরে পাঁচটি রোলআপ থেকে প্রতারণামূলক IBC উত্তোলনকে বৈধ করেছিল। এটি করার মাধ্যমে, আক্রমণকারী ইনিশিয়ার এসক্রো অ্যাকাউন্টে রাখা সম্পদের উত্তোলনকে ট্রিগার করেছিল।
চুরির বিবরণে ইনিশিয়া বলেছে যে চুরি করা সম্পদের মধ্যে বিভিন্ন ডেনোমিনেশনে রেকর্ডকৃত একাধিক স্টেবলকয়েন হোল্ডিং এবং র্যাপড ভার্সন অন্তর্ভুক্ত ছিল। এটি জানিয়েছে যে প্রায় 2.16 মিলিয়ন ডলার তার বন্ধ নেটওয়ার্কে জমা রাখা আছে।
ইনিশিয়া আরও বলেছে যে আক্রমণকারী তার ডিসেন্ট্রালাইজড এক্সচেঞ্জে সম্পত্তি বিক্রি করেছে এবং নিম্নলিখিত পরিমাণ তুলে নিয়েছে: 13,400 TIA, 8,000 USDC, 597,000 Noble USDC। কোম্পানিটি এও উল্লেখ করেছে যে INIT টোকেন কোনোটিই নেওয়া হয়নি।
নেটওয়ার্ক বন্ধ এবং পুনরুদ্ধারের প্রচেষ্টা শুরু
ইনিশিয়া বলেছে যে মঙ্গলবার এটি তার লেয়ার-1 নেটওয়ার্ক বন্ধ করেছে। এই বন্ধ করার উদ্দেশ্য হলো পুনরুদ্ধার কার্যক্রম চালিয়ে যাওয়ার সময় ক্ষতিগ্রস্ত ওয়ার্কফ্লোর আরও প্রক্রিয়াকরণ বন্ধ রাখা, বিশেষ করে যখন প্রতারণামূলক বার্তা বৈধতা বা উত্তোলন সম্পাদন অন্যথায় চলতে থাকবে।
ইনিশিয়া বলেছে যে এটি প্রভাবিত সম্পদের পিছনের সমর্থন পুনর্স্থাপনের পরিকল্পনা করছে এবং আইন প্রয়োগকারী এবং সুরক্ষা অংশীদারদের সাথে পুনরুদ্ধারের প্রচেষ্টা চলছে। বিনিয়োগকারী এবং ব্যবহারকারীদের জন্য, কী নিকটকালীন প্রশ্ন হল যে বন্ধ করা অংশটি দীর্ঘমেয়াদে নিরাপদে রাখা যাবে কিনা এবং বাকি সিস্টেম উপাদানগুলি—যেমন রোলআপ-হোস্টিং ইনফ্রাস্ট্রাকচার এবং ক্রেডেনশিয়াল ম্যানেজমেন্ট—কতদ্রুত একই আক্রমণের পথের বিরুদ্ধে শক্তিশালী করা যাবে।
অক্টোবর ২৩-এর আগের এক্সপ্লয়িটটি একটি পুনরাবৃত্ত ব্রিচ থিম দেখায়
এই ঘটনাটি Cointelegraph দ্বারা ২৩ অক্টোবর প্রকাশিত একটি আগের দুর্বলতা থেকে অনুসরণ করে। সেই ক্ষেত্রে, একজন আক্রমণকারী Initia-এর MoveVM স্ক্রিপ্ট ক্যাশেতে একটি দুর্বলতা ব্যবহার করে প্রায় $2.7 মিলিয়ন প্রতারণা করলে Initia ব্লকচেইনটি বন্ধ করে দেয়। Initia বলেছে যে দুর্বলতাটি ক্ষতিকারক কোডকে সুরক্ষা চেক এড়িয়ে অপ্রতিষ্ঠিত টোকেন ব্যালেন্স তৈরি করতে সক্ষম করেছিল, যা তারপর নেটওয়ার্কের বাইরে ব্রিজ করা হয়েছিল।
দুটি ঘটনার প্রযুক্তিগত কার্যপ্রণালী ভিন্ন—একটি ভার্চুয়াল মেশিন/স্ক্রিপ্ট-ক্যাশে আচরণের সাথে সংযুক্ত এবং অন্যটি ক্লাউড ক্রেডেনশিয়াল সংক্রমণ এবং কমান্ড ইঞ্জেকশনের সাথে সংযুক্ত—তবে এগুলির একটি সাধারণ অপারেশনাল দুর্বলতা রয়েছে: একজন আক্রমণকারী সম্পূর্ণ সংক্রমণের আগেই সিস্টেম অ্যাক্সেস থেকে ফান্ড স্থানান্তরের একটি উপায় খুঁজে পেয়েছিল।
অন্য একটি উল্লেখযোগ্য অসমতা হলো দুটি ঘটনার প্রতিরোধ। সর্বশেষ চুরির ক্ষেত্রে, ইনিশিয়া বলছে নেটওয়ার্ক বন্ধের ফলে প্রায় 2.16 মিলিয়ন ডলার জমা থাকে, যেখানে আগের দুর্বলতার ফলে প্রতিরোধের আগে বড় পরিমাণে অর্থ বাইরে নিয়ে যাওয়া হয়। এই পার্থক্যটি বোঝায় যে, সময়সীমা এবং শনাক্তকরণ—এবং আরও প্রক্রিয়াকরণ দ্রুত বন্ধ করার ক্ষমতা—এমনকি যখন মৌলিক নিরাপত্তা অবস্থা এখনও চাপের মধ্যে থাকে, তখনও ফলাফলকে উল্লেখযোগ্যভাবে পরিবর্তন করতে পারে।
ইনিশিয়া অনুসরণ করছেন এমন পাঠকদের জন্য, যে আপডেটগুলি দেখার সবচেয়ে গুরুত্বপূর্ণ তা হলো কোন ক্রেডেনশিয়ালগুলি প্রকাশিত হয়েছিল, ক্লাউড এবং রোলআপ ইনফ্রাস্ট্রাকচারে কী কী প্রতিকারমূলক পদক্ষেপ গ্রহণ করা হয়েছে, এবং কোম্পানিটি সমস্ত প্রভাবিত সম্পদের জন্য নতুন জটিলতা ছাড়াই সম্পূর্ণভাবে ব্যাকিং পুনরুদ্ধার করতে পারবে কিনা। তিন সপ্তাহেরও কম সময়ের মধ্যে দুটি বড় ঘটনা ঘটায়, পরবর্তী পর্যায়টি সম্ভবত ফান্ডস ফিরিয়ে আনার পাশাপাশি ক্রেডেনশিয়াল-ভিত্তিক অ্যাক্সেসের পুনরাবৃত্তি রোধেও একইভাবে ফোকাস করবে।
এই নিবন্ধটি মূলত Initia দ্বিতীয় হামলার প্রতিবেদন দেয়, 3 সপ্তাহে $3.27M চুরি শিরোনামে Crypto Breaking News-এ প্রকাশিত হয়েছিল – আপনার জন্য ক্রিপ্টো সংবাদ, বিটকয়েন সংবাদ এবং ব্লকচেইন আপডেটের জন্য বিশ্বস্ত উৎস।