লেখক: গু ই, ChainCatcher
৪০ ঘন্টার বেশি সময় চুরির পরেও কেল্প ডিওএএই সৃষ্ট শৃঙ্খলাবদ্ধ প্রতিক্রিয়া এখনও চলছে, যার ফলে এএভি, লেয়ারজিরো, আরবিট্রাম সহ আরও অনেক পরিচিত প্রকল্প জড়িয়ে পড়ছে এবং কিছু জনপ্রিয় বিষয়ের মৃত্যুদণ্ডও হয়েছে।
প্রখ্যাত KOL ফেং উয়ানশিয়াং X প্ল্যাটফর্মে বলেছেন, এখন শুধুমাত্র ETH নিরাপদ, ARB ও গ্রাহকদের সম্পদ জমা রাখার অনুমতি দিয়েছে। কোনো L2 আসল L2 নয়। L2 আরবিট্রামের মধ্যে জন্ম নিয়েছিল এবং আরবিট্রামের মধ্যেই মৃত্যু বরণ করেছে।
অন্য একজন পরিচিত KOL ব্লু ফক্স বলেছেন, এই কেল্প দুর্ঘটনার সবচেয়ে বড় ক্ষতি হয়েছে Aave-এর নয়, Kelp-এর নয়, বরং Layerzero-এর, কারণ এটি খুবই সংকীর্ণ দৃষ্টিভঙ্গি রাখে এবং ঘটনাটির মূল সত্যটি বুঝতে পারে না। এই ঘটনার মূল বিষয়টি হল L2-কে অসত্য প্রমাণিত করা (ভুল L2-গুলির ক্ষেত্রে তো কথাই নেই), বরং ক্রস-চেইন ব্রিজকে অসত্য প্রমাণিত করা।
প্রচলিত মাঠে আরও বেশি তীব্র মতামত দেখা দিচ্ছে, ঘটনার পক্ষগুলি একে অপরের সাথে বিভিন্ন দাবি করছে এবং একে অপরের সাথে বিতর্ক করছে, যা Kelp DAO-এর হ্যাক ঘটনাকে সুরক্ষা দুর্ঘটনার দায়িত্ব বণ্টন, ব্যবহারিকতাবাদ এবং প্রযুক্তিগত মূলনীতিবাদের সংঘাতের একটি প্রতিনিধিত্বকারী জানালা হয়ে উঠেছে।
এক, L0 প্রমাণিত ভুল? ক্রস-চেইন ব্রিজ সবচেয়ে বড় হারানোর মুখোমুখি
ঘটনার মূল বিন্দু হল লেয়ারজিরো গতকাল প্রকাশিত হ্যাকিং আক্রমণের বিস্তারিত রিপোর্ট, যাতে প্রাথমিকভাবে আক্রমণকারীকে উত্তর কোরিয়ার সাথে সম্পর্কিত Lazarus Group হিসাবে চিহ্নিত করা হয়েছে। আক্রমণটি তাদের ডিসেন্ট্রালাইজড ভেরিফিকেশন নেটওয়ার্ক (DVN) এর উপর নির্ভরশীল ডাউনস্ট্রিম RPC ইনফ্রাস্ট্রাকচারকে দূষিত করে সম্পন্ন হয়েছিল, যেখানে আক্রমণকারীরা কিছু RPC নোড নিয়ন্ত্রণ করে DDoS আক্রমণের সাথে মিলিত হয়ে সিস্টেমকে ম্যালিশিয়াস নোডে স্যুইচ করতে প্ররোচিত করে, ফলে ক্রস-চেইন ট্রানজেকশনগুলি মিথ্যা প্রতিষ্ঠিত হয়।
“একটি সংক্রমিত নোড ব্যবহার করে RPC ইনফ্রাস্ট্রাকচারকে পোজন করা এবং অপ্রভাবিত RPC-এর উপর DDoS আক্রমণ চালিয়ে ফেইলওভার বাধ্যতামূলক করা খুবই জটিল। এটি মূলত একটি ইনফ্রাস্ট্রাকচার যুদ্ধ।” এমিনোকা ব্র্যান্ডসের ইনভেস্টমেন্ট অ্যান্ড পার্টনারশিপ ডিরেক্টর স্যামুয়েল টিজি মন্তব্য করেন।
রিপোর্টের শেষে, লেয়ারজিরো বলেছে যে প্রোটোকলটি ঘটনার সম্পূর্ণ সময়ে পুরোপুরি প্রত্যাশিত অনুযায়ী কাজ করেছে। কোনও ভালারিটি খুঁজে পাওয়া যায়নি। লেয়ারজিরো আর্কিটেকচারের মূল বৈশিষ্ট্য হল মডিউলার সিকিউরিটি, এবং এই ক্ষেত্রে এটি পুরোপুরি প্রত্যাশিত ফলাফল অর্জন করেছে—সম্পূর্ণ আক্রমণটিকে একটি একক অ্যাপ্লিকেশনের মধ্যে আটকে রেখেছে—সম্পূর্ণ সিস্টেমের জন্য শূন্য সংক্রমণ ঝুঁকি, অন্যান্য OFT বা OApp-এরও কোনও প্রভাব পড়েনি।
এই নিজের দায়িত্ব সম্পূর্ণরূপে ত্যাগ করাটি বিশাল প্রতিক্রিয়ার সূত্রপাত করেছিল, যেখানে অনেক পরিচিত শিল্প বিশেষজ্ঞ LayerZero-এর এই ঘটনায় প্রদর্শিত পদক্ষেপের প্রতি অসন্তুষ্ট।
“L0 নিজেকে সম্পূর্ণ পরিষ্কার করে ফেলেছে, পুরো নিবন্ধটিতে সমস্ত দোষ KelpDAO-এর কনফিগারেশন ভুলের উপর চাপিয়ে দিয়েছে, নিজের একটিও সমস্যা নেই। অবাক করে দেয়। দয়া করে বলুন, কেন 1/1 কনফিগারেশনকে অনুমতি দেওয়া হয়েছিল? কেন অভ্যন্তরীণ RPC তালিকা হামলাকারীদের হাতে চলে গেল? কেন DDoS-এর পর failover লজিকটি দূষিত RPC-এর উপর সরাসরি বিশ্বাস করল, যখন এটি সরাসরি যাচাইকরণ বন্ধ করতে পারত, অথবা কমপক্ষে কিছুটা কিছু করত?” প্রখ্যাত শিল্প গবেষক CM-এর প্রশ্ন।
“এই সচেতনভাবে এড়িয়ে চলার ভঙ্গি আমাকে অস্বস্তিদায়ক করে তুলেছে। বিবৃতিতে স্পষ্টভাবে উল্লেখ করা হয়েছে যে ‘প্রোটোকলটি পুরোপুরি প্রত্যাশিত অনুযায়ী কাজ করছে’। আক্রমণটিকে RPC নোড হ্যাক এবং RPC পয়জনিংয়ের মাধ্যমে বর্ণনা করা হয়েছে। কিন্তু RPC পয়জনিং এমন কিছু নয়—তাদের নিজস্ব ইনফ্রাস্ট্রাকচারটি হ্যাক এবং ধ্বংস করা হয়েছে। যেহেতু বিবৃতিতে হ্যাকটি কীভাবে ঘটেছিল তা উল্লেখ করা হয়নি, আমি ব্রিজটি পুনরায় সক্রিয় করার জন্য দ্রুত সিদ্ধান্ত নেব না।” — পরিচিত DeFi ডেভেলপার banteg।
কেল্প ডিওএএস অফিসিয়ালও একই মন্তব্য করেছে যে, এই আক্রমণের কারণ হওয়া একক ভেরিফায়ার (1/1) কনফিগারেশন তাদের সুপারিশ উপেক্ষা করার ফলাফল নয়, বরং লেয়ারজিরো অফিসিয়াল গাইডলাইনের ডিফল্ট সেটিং ছিল, এবং আক্রমণকারীদের দ্বারা ব্যবহৃত ভেরিফায়ার নেটওয়ার্ক (ডিভিএন) লেয়ারজিরোর নিজস্ব ইনফ্রাস্ট্রাকচার।
ডুনের বিশ্লেষণ অনুযায়ী, লেয়ারজারোর উপর ভিত্তি করে তৈরি 2665টি OApp চুক্তির মধ্যে 47% 1/1 DVN কনফিগারেশন ব্যবহার করে, যা একক যাচাইকরণ পদ্ধতি, এবং এটি শিল্পের ঝুঁকি গুণককে তীব্রভাবে বাড়িয়ে দেয়।
এর চেয়ে আরও ভয়ঙ্কর হলো যে, পক্ষগুলি ভুল স্বীকার করে না এবং ভুল এড়িয়ে যায়। লেয়ারজিরো হলো ক্রস-চেইন যোগাযোগ এবং লেয়ার 0 ন্যারেটিভের শীর্ষ খেলোয়াড়, যার ক্রস-চেইন ইনফ্রাস্ট্রাকচারের উপর শতাধিক ক্রিপ্টো প্রকল্প বিভিন্ন চেইনের টোকেন এবং সম্পদ ব্রিজ করতে নির্ভরশীল। যদি এটি অহংকারী মনোভাব বজায় রাখে, তবে এটি শিল্পের মধ্যে এর প্রতি আস্থা আরও ক্ষতি করবে।
সাধারণ মত হল যে, লেয়ারজারো সরাসরি হ্যাক করা হয়নি, তবে এটির প্রতিষ্ঠা সবচেয়ে বেশি ক্ষতিগ্রস্ত হয়েছে—এটিকে “দুর্বল কনফিগারেশন অনুমোদন”-এর জন্য দাম দিতে হবে, নাহলে ক্রস-চেইন ন্যারেটিভ ধ্বংস হয়ে যাবে।
অর্থাৎ, লেয়ারজিরোকে শুধু পরিষ্কার প্রযুক্তিগত উন্নতির প্রস্তাব দেওয়ার পাশাপাশি সম্পদ পুনর্বন্টন পরিকল্পনায়ও বেশি দায়িত্ব নিতে হবে।
দ্বিতীয়, লেয়ার 2 মৃত? আরবিট্রামের অস্বাভাবিক জমা
লেয়ার 2-এর আলোচনা আর্বিট্রামের জমানোর কার্যক্রম থেকে এসেছে। আজ দুপুরে, আর্বিট্রাম সিকিউরিটি কমিটি ঘোষণা করেছে যে, হ্যাকারদের আর্বিট্রাম ওয়ান ঠিকানায় জমা রাখা ৩০,৭৬৬ ETH উদ্ধার করার জন্য তারা জরুরি ব্যবস্থা নিয়েছে, যার বর্তমান মূল্য ৭১ মিলিয়ন ডলার।
আরবিট্রাম আরও বলেছে যে, প্রচুর প্রযুক্তিগত তদন্ত এবং আলোচনার পর, নিরাপত্তা কমিটি একটি প্রযুক্তিগত সমাধান নির্ধারণ এবং বাস্তবায়ন করেছে, যা অন্য যেকোনো চেইনের অবস্থা বা আরবিট্রাম ব্যবহারকারীদের প্রভাবিত করার কোনো ঝুঁকি ছাড়াই অর্থগুলিকে একটি নিরাপদ স্থানে স্থানান্তরিত করেছে। মূলত অর্থধনী থাকা ঠিকানাগুলি এখন এই অর্থগুলির অ্যাক্সেস পাচ্ছে না, এবং শুধুমাত্র আরবিট্রাম পরিচালনা কর্তৃপক্ষই এই অর্থগুলির আরও স্থানান্তরের জন্য পদক্ষেপ নিতে পারবে, যা সংশ্লিষ্ট পক্ষগুলির সাথে সমন্বয়ের মাধ্যমে করা হবে।
শিল্প বিশেষজ্ঞদের ব্যাখ্যা অনুযায়ী, Arbitrum সুরক্ষা পরিষদ একটি বিশেষ অবস্থা ওভাররাইড ট্রানজেকশন টাইপ (যা ArbOS-এর অংশ, কিন্তু প্রায় কখনও ব্যবহার করা হয়নি) ব্যবহার করেছে, যার ফলে আক্রমণকারীর ব্যক্তিগত চাবি এখনও ট্রানজেকশন সই করতে পারে, কিন্তু এই ঠিকানার ETH চেইনটি নিজেই স্থানান্তরিত হয়েছে।
এই বিশেষ ট্রেডিং টাইপটি আক্রমণকারীর ব্যক্তিগত চাবি এড়িয়ে যায়, এবং শুধুমাত্র চেইনটি (Arbitrum সিকিউরিটি কমিটি দ্বারা নিয়ন্ত্রিত sequencer / ArbOS আপগ্রেড পথের মাধ্যমে) এটিকে ইনজেক্ট করতে পারে।
জানা গিয়েছে, আর্বিট্রাম সিকিউরিটি কমিটি ১২ জন ব্যক্তি নিয়ে গঠিত, যাদের নির্বাচন করা হয়েছে আর্বিট্রাম DAO দ্বারা, এবং যেকোনো সিদ্ধান্তের জন্য ৯/১২ জনের সম্মতি প্রয়োজন।
একটি পাথর হাজার তরঙ্গ তৈরি করে। আগে বাইরের দৃষ্টিতে আর্বিট্রাম, যা একটি প্রতিনিধিত্বকারী লেয়ার 2 হিসাবে বিবেচিত হত, তার কাছে ইউজারদের ETH সম্পদ পরিচালনার ক্ষমতা বা অনুমতি ছিল না, কারণ এটি ব্লকচেইনের ডিসেন্ট্রালাইজড আত্মার বিরুদ্ধে।
গত হ্যাকিং ঘটনাগুলিতে, হ্যাকারদের দ্বারা চুরি করা USDT, USDC-কে প্রায়ই Tether, Circle দ্বারা প্রথম সময়ে ফ্রিজ করা হয়েছে, যাতে ব্যবহারকারীদের ক্ষতি কমে। ETH হল চেইন-ন্যাটিভ সম্পদ, এবং ইতিহাসে কখনও চেইন দ্বারা এটি ফ্রিজ বা ট্রান্সফার করা হয়নি, যা বেশিরভাগ ব্যবহারকারীর প্রত্যাশার বাইরে।
অনেক মত আর্বিট্রামের পদ্ধতিকে সমর্থন করে, যেমন “সমস্ত কোম্পানি, ব্যাংক এবং আনুষ্ঠানিক আর্থিক প্রতিষ্ঠান চূড়ান্তভাবে দ্বিতীয় স্তরের স্ট্রাকচার গ্রহণ করবে। গুরুত্বপূর্ণ মুহূর্তে একটি কেন্দ্রীয় সংস্থার মতো কাজ করা একটি দুর্বলতা নয়, বরং একটি সুবিধা।” কিন্তু আরও বেশি টেক-এনথুসিয়াস্টদের জন্য এটি এমন নয়।
“কোনও ব্যক্তিগত চাবি বা অনুমতি ছাড়াই সরাসরি ট্রান্সফার।” অনেক মতে, আর্বিট্রামের এই কার্যক্রম Layer2-এর ডিসেন্ট্রালাইজেশনের সংজ্ঞা পুনর্বিন্যাস করেছে, যা Layer2-এ তাদের অনিরাপত্তা সৃষ্টি করেছে।
ব্লু ফক্স স্পষ্টভাবে বলেছেন, এই ঘটনাটি DeFi-এর মূল আদর্শের লাল রেখাকে সরাসরি স্পর্শ করেছে: "Not Your keys, not your coins"। এই ঘটনাটি আবারও ক্রিপ্টোর ক্লাসিক চ্যালেঞ্জের দিকে ফিরে এসেছে: ব্যবহারিক নিরাপত্তা বনাম সম্পূর্ণ ডিসেন্ট্রালাইজড নিরাপত্তা।
শেষ কথা
যখন লেয়ারজিরো বলে যে "প্রোটোকলটি পুরোপুরি প্রত্যাশিত অনুযায়ী কাজ করছে", তখন এটি প্রযুক্তিগত সঠিকতা বজায় রাখে, কিন্তু জনমত ও বিশ্বাস হারায়; যখন আর্বিট্রাম 7100 মিলিয়ন ডলার ETH স্থানান্তরের জন্য বিশেষাধিকারপূর্ণ লেনদেন ব্যবহার করে, তখন এটি ব্যবহারকারীদের অর্থ বাঁচায়, কিন্তু Layer2-এর ডিসেন্ট্রালাইজড বর্ণনাকে গুরুতরভাবে ক্ষতি করে।
কেল্প হ্যাকের ঘটনাটি দুটি সবচেয়ে জনপ্রিয় বিষয়কে একসাথে বিচারের মুখে পাঠিয়েছে: ক্রস-চেইন ব্রিজগুলি কি বাস্তবিক অবকাঠামো, নাকি ঝুঁকি বাড়ানোর হাতিয়ার? লেয়ার 2 কি আসলেই ইথারিয়ামের একটি নির্ভরযোগ্য স্কেলিং সমাধান, নাকি ডিসেন্ট্রালাইজেশনের বাইরের আবরণে লুকিয়ে থাকা একটি দ্বিতীয় স্তরের ব্যাংক?
LayerZero-এর একক যাচাইকরণ ন�odes মেকানিজম ভাঙা হয়েছে, এবং Arbitrum একটি কেন্দ্রীয়কৃত বিশেষ ভোটিং মেকানিজম ব্যবহার করে LayerZero এবং Kelp DAO-এর ক্ষতি পুনরুদ্ধার করেছে। এটি একটি অত্যন্ত বিড়ম্বনাপূর্ণ বন্দনা গঠন করে: একটি নিজেকে ডিসেন্ট্রালাইজড প্রোটোকল হিসাবে প্রচার করা প্রোটোকল, যা তার “একক বিন্দুর দুর্বলতা”র কারণে পতন হয়েছে; শেষপর্যন্ত অন্য একটি প্রোটোকলের “কেন্দ্রীয় বিশেষাধিকার”-এর উপর নির্ভরশীল হয়ে সমাধানে পৌঁছায়।
এটি সম্পূর্ণ শিল্পকে একটি অপ্রতিরোধ্য প্রশ্নের সামনে ঠেলে দেয়: যখন ডিসেন্ট্রালাইজড আদর্শ বাস্তব নিরাপত্তার খরচের সাথে সংঘর্ষে পড়ে, আমরা কোন দিকটি বলি দিতে প্রস্তুত?
বৃহৎ বর্ণনার আলোচনা একটি জনমতের কেন্দ্র, এবং ব্যবহারকারীদের ক্ষতিপূর্তির পরিকল্পনা হল অন্য একটি বাস্তব জনমতের কেন্দ্র। যদিও Arbitrum প্রযুক্তিগতভাবে 7000 ডলারেরও বেশি ফান্ড ফিরিয়ে আনে, তবুও Aave-এর কাছে এখনও প্রায় 2 বিলিয়ন ডলারের খারাপ ঋণ রয়েছে, তাহলে ব্যবহারকারীদের স্বার্থকে কীভাবে প্রত্যাশিতভাবে সংরক্ষণ ও নিরাপদ করা হবে?
অধিকাংশ হ্যাকিং ঘটনায়, কোটি ডলারের ক্ষতি প্রোটোকলের জন্য ধ্বংসাত্মক হয়ে দাঁড়ায়, এবং ব্যবহারকারীদের ক্ষতিপূরণের দাবি সাধারণত ফলপ্রদ হয় না। কিন্তু এই ঘটনায় Aave, Layerzero এর মতো শীর্ষস্থানীয় প্রজেক্টগুলি জড়িত, যার খারাপ ঋণ পরিচালনা পদ্ধতি নিয়ে বড় মনোযোগ রয়েছে।
Aave আজ দুটি সম্ভাব্য বিক্রয় প্রক্রিয়ার প্রস্তাব করেছে, প্রথমটি হল ক্ষতি সমস্ত rsETH ধারকদের মধ্যে সামাজিকভাবে বণ্টন করা (সম্পূর্ণ চেইন বোঝা), Kelp DAO সমস্ত rsETH (মেইননেট + L2) এর জন্য একটি একক মূল্য হ্রাস করবে (প্রায় 15% ডিকাপ্লিং); দ্বিতীয়টি হলশুধুমাত্র L2-এর rsETH ধারকদের সমস্ত ক্ষতি বহন করতে দেওয়া, মেইননেট rsETH মূল্য অপরিবর্তিত রাখা।
তবে, কেল্প ডিওএএস এবং লেয়ারজিরো অফিসিয়াল এখনও তাদের ক্ষতিপূর্তি পরিকল্পনায় তাদের ভূমিকা নিয়ে কথা বলেননি। লেয়ারজিরো রিপোর্টে দায়িত্ব এড়ানোর প্রচেষ্টা থেকে বোঝা যায় যে, এই প্রকল্পটি মনে করে যে দায়িত্ব না থাকলে ক্ষতিপূর্তির কোনও দায়ও নেই।
তবে, দশ বিলিয়ন ডলারের মূল্যায়ন সহ এবং শত শত প্রকল্প দ্বারা নিম্নস্তরের নির্ভরশীলতা হিসাবে বিবেচিত একটি প্রোটোকল যখন ডিভিএন-এর ডিফল্ট কনফিগারেশনের কারণে বিপুল ক্ষতির মুখোমুখি হয়, তখন “টেকনিক্যালি দায়মুক্ত” হওয়ার সিদ্ধান্ত নেয়, এটি “নিম্নস্তরের অবকাঠামো” শব্দটির সংজ্ঞার প্রতি একটি বিশাল হাস্যকর প্রতিক্রিয়া।
এটি একটি প্রামাণিক বন্দির দ্বন্দ্ব, যেখানে সংকটের মধ্যে থাকা প্রতিটি পক্ষ শিল্পের বিশ্বাসের ঘাটতি পুনরায় পূরণের পরিবর্তে নিজেদের ক্ষতি ন্যূনতমকরণের জন্য “লাভ কাটা” এর চেষ্টা করছে।
এই ঘটনার কারণে শিল্পের সমস্ত পক্ষের উপর প্রভাব বিবেচনা করলে, DeFi ক্ষেত্রের জন্য এটি সবচেয়ে বিপজ্জনক কারাবন্দীর দ্বন্দ্ব হবে।