ইনিশিয়া, একটি লেয়ার-1 ব্লকচেইন, তিন সপ্তাহের মধ্যে দ্বিতীয় সুরক্ষা লঙ্ঘনের কথা নিশ্চিত করেছে, যেখানে একজন আক্রমণকারী নেটওয়ার্কের ক্লাউড ইনফ্রাস্ট্রাকচার দখল করে প্রায় 3.27 মিলিয়ন ডলারের ডিজিটাল সম্পদ চুরি করেছে। এই ঘটনাটি 23 অক্টোবরে প্রায় 2.7 মিলিয়ন ডলার পরিমাণ সম্পদ শোষণকারী আগের একটি দুর্বলতা অনুসরণ করে।
ইনিশিয়ার অ্যাকাউন্ট অনুযায়ী, আক্রমণকারী মঙ্গলবার একটি জটিল Google Cloud Platform কী এর মাধ্যমে একটি কমান্ড ইনজেকশন আক্রমণের মাধ্যমে অননুমোদিত অ্যাক্সেস পায়। ইনিশিয়া বলেছে, এই ব্রিচের ফলে পরিবেশ চলকগুলি প্রকাশিত হয়, যার ফলে অ্যাক্টরটি তার GitHub এবং ক্লাউড অ্যাকাউন্টে পৌঁছাতে পারে এবং বাস্তুতন্ত্রের মধ্যে আরও গভীরে যাওয়ার জন্য অতিরিক্ত যোগাযোগের তথ্য ব্যবহার করে।
প্রধান পাওয়া কথা
- ইনিশিয়া বলেছে যে একটি কম্প্রোমাইজড GCP কী এর মাধ্যমে কমান্ড ইনজেকশন ঘটনার ফলে এর GitHub এবং ক্লাউড অ্যাকাউন্টগুলিতে অ্যাক্সেস লাভ করা হয়েছে।
- আক্রমণকারী পাঁচটি রোলআপ থেকে প্রতারণামূলক IBC উত্তোলন যাচাই করেছে, যা Initia এসক্রো অ্যাকাউন্টগুলি থেকে ফান্ড মুক্ত করেছে।
- ইনিশিয়া রিপোর্ট করেছে যে চুরি করা সম্পদের প্রায় 2.16 মিলিয়ন ডলার এর বন্ধ নেটওয়ার্কে জমা রাখা আছে।
- নেটওয়ার্কটি কার্যক্রম বন্ধ করেছে এবং প্রভাবিত সম্পদের পিছনের সমর্থন পুনরায় স্থাপনের জন্য কাজ করছে।
- এটি অক্টোবর ২৩-এ ইনিশিয়ার মুভভিএম স্ক্রিপ্ট ক্যাশেতে একটি দুর্বলতার মাধ্যমে প্রায় ২.৭ মিলিয়ন ডলার চুরির কিছুক্ষণ পরে ঘটেছে।
দ্বিতীয় ব্রিচে কী ভুল হয়েছিল তা ইনিশিয়া বলেছে
আপডেটে, ইনিশিয়া বলে যে আক্রমণকারীর প্রবেশের বিন্দু ছিল একটি কমান্ড ইঞ্জেকশন প্রযুক্তি, যা একটি কম্প্রোমাইজড Google Cloud Platform কী ব্যবহার করেছিল। ভিতরে প্রবেশ করার পর, ঘটনাটি পরিবেশ চলাচলের চলকগুলি প্রকাশ করে। ইনিশিয়া বলে যে সেই প্রকাশিত চলকগুলি তাদের GitHub এবং ক্লাউড পরিবেশে প্রবেশাধিকার এবং আরও কিছু যাচাইকরণের জন্য সক্ষমতা প্রদান করেছিল।
সেখান থেকে, আক্রমণকারী Anvil-এ পৌঁছায়, যা রোলআপগুলি হোস্ট করে। ইনিশিয়া যোগ করে যে অ্যাক্টরটি তারপর এই অ্যাক্সেস ব্যবহার করে পাঁচটি রোলআপ থেকে প্রতারণামূলক ইন্টার-ব্লকচেইন কমিউনিকেশন (IBC) উত্তোলনকে বৈধ করে—যা নেটওয়ার্কের এসক্রো অ্যাকাউন্টগুলিতে সঞ্চিত সম্পদের মুক্তি ঘটায়।
ফান্ডসের চলাচল, সম্পদের ধরন এবং ক্ষতির অবস্থান
ইনিশিয়া অনুমান করে যে চুরি করা সম্পদের প্রায় 2.16 মিলিয়ন ডলার এখন ফ্রিজ করা হয়েছে কারণ নেটওয়ার্কটি বন্ধ হয়ে গেছে। কোম্পানিটি আক্রমণকারী কীভাবে চুরি করা অর্থের কিছুটা রূপান্তর ও বণ্টন করেছে তারও বিস্তারিত প্রদান করেছে।
ইনিশিয়া বলেছে যে আক্রমণকারী তার ডিসেন্ট্রালাইজড এক্সচেঞ্জে সম্পত্তি বিক্রি করেছেন এবং নির্দিষ্ট পরিমাণ তুলে নিয়েছেন, যার মধ্যে রয়েছে 13,400 TIA, 8,000 USDC এবং 597,000 Noble USDC। ইনিশিয়া আরও জোর দিয়েছে যে INIT টোকেন কোনোটিই তুলে নেওয়া হয়নি।
প্রতিষ্ঠানের আপডেটে ফ্রিজ করা অংশের বাইরে সঠিক মোট প্রবাহগুলি সম্পূর্ণভাবে বিশ্লেষণ করা হয়নি, তবে এটি যে পরিসংখ্যানগুলি শেয়ার করেছে তা বিনিয়োগকারীদের সম্পৃক্ত সম্পদের মিশ্রণের পরিষ্কার চিত্র দেয়—বিশেষ করে TIA-এর পাশাপাশি একাধিক স্টেবলকয়েন ইউনিটের উপস্থিতি।
নেটওয়ার্ক বন্ধ এবং পুনরুদ্ধারের কাজ চলছে
ইনিশিয়া বলেছে যে মঙ্গলবার এটি লেয়ার-1 বন্ধ করে দিয়েছে। কোম্পানিটি ইঙ্গিত করেছে যে সুরক্ষা লঙ্ঘনের কারণে প্রভাবিত সম্পদের পিছনের সমর্থন পুনরায় স্থাপন করা এর অগ্রাধিকার।
ইনিশিয়া আরও বলেছে যে আইন প্রয়োগকারী এবং সিকিউরিটি পার্টনারদের সাথে পুনরুদ্ধারের প্রচেষ্টা চলছে। ব্যবহারকারী এবং তরলতা প্রদানকারীদের জন্য, একটি বন্ধ সাধারণত আরও বেশি স্টেট পরিবর্তন বা উত্তোলনের তাৎক্ষণিক ঝুঁকি কমিয়ে দেয়, কিন্তু এটি রিডেমশন এবং ট্রেডিংকেও বিলম্বিত করতে পারে। এটি পুনরুদ্ধারের সময়সূচী এবং ইনিশিয়া কীভাবে সম্পদের সমর্থন প্রমাণ করবে, তা অনুসরণ করা বিশেষভাবে গুরুত্বপূর্ণ করে তোলে।
পূর্বের দুর্বলতা একটি পুনরাবৃত্ত ব্যর্থতার প্যাটার্নের দিকে ইঙ্গিত করে
নতুন ব্রিচটি ঘটেছে অক্টোবর ২৩ তারিখের একটি ঘটনার পর, যেখানে একজন আক্রমণকারী Initia-এর MoveVM স্ক্রিপ্ট ক্যাশেতে একটি দুর্বলতা ব্যবহার করে প্রায় ২.৭ মিলিয়ন ডলার পিছিয়ে নেয়। সেই আগের ক্ষেত্রে, দুষ্টুমিপূর্ণ কোড সুরক্ষা চেককে বাইপাস করেছিল এবং অপ্রতিষ্ঠিত টোকেন ব্যালেন্স তৈরি করেছিল, যা তারপর নেটওয়ার্ক থেকে ব্রিজ করা হয়েছিল।
একসাথে দেখলে, এই দুটি ঘটনা বিভিন্ন প্রযুক্তিগত পথে ক্ষতির দিকে ইঙ্গিত করে—প্রথমে একটি MoveVM স্ক্রিপ্ট ক্যাশ ত্রুটি এবং টোকেন-ব্যালেন্স হস্তক্ষেপের মাধ্যমে, এবং এখন একটি ক্লাউড কী সংক্রমণের মাধ্যমে প্রতারণামূলক IBC উত্তোলনের মাধ্যমে। তবে, পুনরাবৃত্তি হওয়া ফলাফলটি অনুরূপ: আক্রমণকারীরা এসক্রো বা সিস্টেম থেকে সম্পদ সরিয়ে নিতে সক্ষম হয়েছিল।
হোল্ডারদের জন্য মূল প্রশ্ন হলো যে মূল দুর্বলতাগুলি কি অপারেশনাল (যেমন ক্রেডেনশিয়াল হ্যান্ডলিং এবং ক্লাউড সিকিউরিটি কন্ট্রোল) এবং প্রোটোকল-স্তরের (যেমন কন্ট্রাক্ট এবং এক্সিকিউশন ইন্টেগ্রিটি) উভয়ই কি। ইনিশিয়ার বর্তমান অ্যাকাউন্টটি সরাসরি একটি কমপ্রোমাইজড ইনফ্রাস্ট্রাকচার কী এবং প্রকাশিত পরিবেশ ভেরিয়েবলগুলিকে নির্দেশ করে, যা সূচিত করে যে আক্রমণের শৃঙ্খলটি অফ-চেইন উপাদানগুলিতে শুরু হয়েছিল এবং তারপরে অন-চেইন সেটেলমেন্ট প্রবাহগুলিতে পৌঁছেছিল।
পরবর্তীতে পাঠকদের কী দেখতে হবে
বিনিয়োগকারী এবং ব্যবহারকারীদের পাঁচটি প্রভাবিত রোলআপের মধ্যে মোট প্রসার কীভাবে পরিমাপ করা হচ্ছে, সমর্থন পুনরুদ্ধারের প্রক্রিয়া এবং সময়সূচী, এবং পুনরাবৃত্তি হওয়ার সম্ভাবনা কমানোর জন্য ঘটনা প্রতিক্রিয়া পদক্ষেপগুলির যেকোনো পাবলিক বিবরণ পর্যবেক্ষণ করা উচিত। পরবর্তী আপডেটগুলি সম্ভবত পুনরুদ্ধারের চেয়েও স্বচ্ছতার জন্য এতটাই গুরুত্বপূর্ণ—বিশেষ করে এই নির্ধারণের জন্য যে, সিস্টেমগুলি পুনঃসক্ষম হওয়ার পরে জমা থাকা ফান্ডগুলি নিরাপদে হিসাব করা এবং ফেরত দেওয়া যাবে কিনা।
এই নিবন্ধটি মূলত Initia প্রতিবেদন করেছে তিন সপ্তাহে দ্বিতীয় এক্সপ্লয়িট, আক্রমণে $3.27M হারিয়েছে শিরোনামে Crypto Breaking News-এ প্রকাশিত হয়েছিল – আপনার জন্য বিশ্বস্ত ক্রিপ্টো সংবাদ, বিটকয়েন সংবাদ এবং ব্লকচেইন আপডেটের উৎস।