হ্যাকার একটি স্থির সুরক্ষা ত্রুটির দুর্বলতা ব্যবহার করে পোলকাডট $1.38M হারায়

পোলকাডটের ট্রেজারি একজন আক্রমণকারীর দ্বারা একটি ভুল ব্যবহারের ফলে 1.38 মিলিয়ন ডলার হারিয়েছে, যে ভুলটি ডেভেলপাররা চার মাস আগেই সংশোধন করেছিল। প্যারিটি টেকনোলজিজ নভেম্বর 2-এর একটি ঘটনা প্রতিবেদনে প্রকাশ করেছে যে জুনের কোড সংশোধনটি অক্টোবর 24-26-এর আক্রমণের আগে প্রভাবিত উৎপাদন সিস্টেমগুলিতে পৌঁছায়নি। প্যারিটি পোলকাডট এবং কুসামা বাস্তুতন্ত্রের জন্য ব্লকচেইন ইনফ্রাস্ট্রাকচার তৈরি করে।

আক্রমণকারী পোলকাডট অ্যাসেট হাবের ক্রস-চেইন মেসেজিং সিস্টেমের মাধ্যমে সরবরাহের রেকর্ড পরিবর্তন করে, dotUSD-এর রেকর্ডকৃত সরবরাহ কমিয়ে দেয় যখন ব্যবহারকারীদের টোকেন ব্যালেন্সগুলি অপরিবর্তিত রাখে। এই অসামঞ্জস্যতা DOT/dotUSD তরলতা পুলে মূল্যায়নকে বিঘ্নিত করে, যার ফলে ট্রেডারদের কাছে কৃত্রিমভাবে বিকৃত হারে DOT পাওয়ার সুযোগ ঘটে। পুলের একমাত্র তরলতা প্রদানকারী হিসাবে ট্রেজারি প্রায় 1.381 মিলিয়ন ডলারের ক্ষতি সহ্য করে। প্যারিটি বলেছে, ব্যবহারকারীদের কোনও অর্থের ক্ষতি হয়নি এবং dotUSD-এর USDT-এর সম্পূর্ণ সমর্থন বজায় ছিল। তবে, প্যারিটি নির্ধারণ করতে পারেনি যে, এক্সপ্লয়িটারটি পরবর্তীতে ঘটা আরবিট্রেজ ট্রেডগুলিরও লাভ নিয়েছিল।

dotUSD, পোলকাডটের ডিসেন্ট্রালাইজড স্টেবলকয়েন, অক্টোবরে নেটওয়ার্কের ডিসেন্ট্রালাইজড অটোনোমাস অর্গানাইজেশন (DAO) এর অধীনে কার্যক্রম শুরু করে। dotUSD কে ব্যক্তিগত কোম্পানি দ্বারা জারি করা স্টেবলকয়েনগুলির বিপরীতে, কেন্দ্রীয় জারিকারী ছাড়াই ডিজাইন করা হয়েছে। DOT হোল্ডাররা OpenGov-এর মাধ্যমে dotUSD-এর সিদ্ধান্তগুলি নিয়ন্ত্রণ করে। Parity মূলত এই ভালনারেবিলিটির মাত্রা মধ্যম হিসাবে মূল্যায়ন করেছিল, কারণ মূল্যায়নটি dotUSD-এর সঙ্গে সম্ভাব্য ইন্টারঅ্যাকশনকে বাদ দিয়েছিল, যা এখনও চালু হয়নি। Parity আক্রমণটির আর্থিক প্রভাব প্রদর্শনের পরে মাত্রাটিকে ক্রিটিক্যালে উন্নীত করে।

যিনি প্রথম এই দুর্বলতার বিষয়ে জানান, তিনি অক্টোবর ২০-এ একটি ফোরাম মন্তব্য প্রকাশ করেন যেখানে কোড ঠিক করার কথা উল্লেখ করা হয়েছিল। প্যারিটি বলেছে যে, এই প্রকাশের মাধ্যমে প্যারিটির বাগ বাউন্টি নিয়ম লঙ্ঘন হয়েছে বলে জানানোর পর গবেষকটি মন্তব্যটি মুছে ফেলেন। প্যারিটির বিশ্বাস যে, এই মন্তব্যটি আক্রমণকারীদের জন্য দুর্বলতাটি আবিষ্কার ও দুর্বলতা ব্যবহারের জন্য যথেষ্ট তথ্য সরবরাহ করেছিল।

অক্টোবর ২৪ তারিখে সন্দেহজনক কার্যকলাপ শনাক্ত হওয়ার পর স্নোফোর্ক কোম্পানির কনসেনসাস রিলেয়ারগুলি চালু রাখা বন্ধ করে দেয়। এই বন্ধের ফলে স্নোব্রিজের মাধ্যমে পোলকাডট-এ অতিরিক্ত ক্ষতিকারক লেনদেনের প্রবেশ অস্থায়ীভাবে বন্ধ হয়ে যায়। তবে, আক্রমণকারী ২৬ অক্টোবর একটি স্বতন্ত্রভাবে পরিচালিত রিলেয়ার ব্যবহার করে এক্সপ্লয়িটটি পুনরায় শুরু করে, যা ডেভেলপারদের OpenGov-এর মাধ্যমে সুরক্ষা আপগ্রেড চালু করার প্রায় ছয় ঘণ্টা আগে। স্নোব্রিজ স্বতন্ত্র অংশগ্রহণকারীদের রিলেয়ার চালানোর অনুমতি দেয়, তাই স্নোফোর্ক শুধুমাত্র স্নোফোর্কের ইনফ্রাস্ট্রাকচারটি বন্ধ করতে পারে, কিন্তু আক্রমণকারীকে স্থায়ীভাবে অ্যাক্সেস থেকে বঞ্চিত করতে পারেনি।

অক্টোবর ২৬-এ প্যারিটি ২.৫.১ রানটাইম আপগ্রেড দিয়ে দুর্বলতা দূর করে প্রভাবিত পুলের বাকি তরলতা পুনরুদ্ধার করে। অক্টোবর ৩০-এ আরেকটি আপগ্রেডে ব্যক্তিগত অ্যাকাউন্ট ব্যালেন্স পরিবর্তন না করে dotUSD-এর সরবরাহের রেকর্ড ঠিক করা হয়। অক্টোবর ৩০-এর আপগ্রেডটি স্নোব্রিজ বিঘ্নিত করেছিল এমন একটি পৃথক সমস্যাও সমাধান করে। পুনরুদ্ধারকৃত dotUSD পুনরায় ট্রেজারিতে ফিরিয়ে দেওয়া হয়। তবে, কৃত্রিম মূল্যে ট্রেডিংয়ের কারণে হওয়া ক্ষতি অক্ষুণ্ণ থাকে।

প্যারিটি স্বীকার করেছে যে কোম্পানির নিরাপত্তা প্রক্রিয়াগুলি নতুন নেটওয়ার্ক ফাংশনালিটির পরিবর্তিত ঝুঁকি শনাক্ত করতে পারেনি। প্যারিটি বলেছে যে কোম্পানিটি ভালনারেবিলিটি মূল্যায়ন উন্নত করবে, ডিপ্লয়মেন্ট যাচাইকরণ শক্তিশালী করবে এবং অস্বাভাবিক সম্পদ জারির জন্য মনিটরিংকে বিস্তৃত করবে। প্যারিটি একটি স্বয়ংক্রিয় AI-ভিত্তিক নিরাপত্তা কাঠামো পরিমার্জন করছে, যা উন্নয়নের সময়ই সম্ভাব্যভাবে দুর্বলতা সম্পন্ন কোডের পরিবর্তনগুলি আগেই শনাক্ত করতে উদ্দেশ্য। প্যারিটি dotUSD-এর কারণে উৎপন্ন ঝুঁকির জন্য আগের রিপোর্টকৃত ভালনারেবিলিটিগুলিরও পুনরালোচনা করছে।