চার মাসের মধ্যে পলিমার্কেট দ্বিতীয়বারের মতো মিলিয়ন ডলারের সুরক্ষা লঙ্ঘনের শিকার হয়েছে

একটি কম্প্রোমাইজড তৃতীয় পক্ষের প্রোভাইডারের কারণে আন্তর্জাতিক প্রেডিকশন মার্কেটটি বিঘ্নিত হওয়ার পর পলিমার্কেট ২৯ অক্টোবর ট্রেডিং পুনরায় শুরু করে। এই ঘটনাটি চার মাসের মধ্যে পলিমার্কেটের দ্বিতীয় বহুমিলিয়ন ডলারের সিকিউরিটি ব্রিচ হিসেবে চিহ্নিত হয়। পলিমার্কেটের অফিসিয়াল ইনসিডেন্ট লগ অনুযায়ী, ট্রেডিং সীমাবদ্ধতা শুরু হয় ১৮:০৫ UTC-এ এবং ১৯:০৫ UTC-এ সমাধান করা হয়। পলিমার্কেট বলেছে সমস্যাটি সমাধান করা হয়েছে এবং আইনশৃঙ্খলা বাহিনীকে অবহিত করা হয়েছে। পলিমার্কেট আরও প্রতিশ্রুতি দিয়েছে প্রভাবিত ব্যবহারকারীদের পূর্ণাঙ্গ ক্ষতিপূরণ।

বাবলম্যাপস, একটি ব্লকচেইন বিশ্লেষণ প্রতিষ্ঠান, অনুমান করেছে যে অক্টোবর ২৯-এর হ্যাকিংয়ের ফলে ৭০০-এরও বেশি পলিমার্কেট ব্যবহারকারী প্রভাবিত হয়েছিলেন এবং প্রায় ৩.৪৬ মিলিয়ন ডলারের সম্পদ দখল করা হয়েছিল। হামলাকারীরা প্রায় ২.৭ মিলিয়ন ডলার পরিবর্তন করে POL-এর জন্য এবং অর্থগুলি বহির্গত করে। মূল্যায়নের সময় আরও ৭৫০,০০০ ডলার পলিমার্কেটে অবশিষ্ট ছিল।

২৫ জুন পলিমার্কেট প্রকাশ করে যে একটি সংক্রমিত ভেন্ডর একটি ক্ষতিকারক স্ক্রিপ্ট ইনজেকশন সক্ষম করেছিল। পলিমার্কেট বলেছে যে প্রভাবিত ডিপেন্ডেন্সি সরিয়ে ফেলা হয়েছে এবং পূর্ণ ফেরতের প্রতিশ্রুতি দিয়েছে। সোর্স ডিফেন্স জানিয়েছে যে জুনের আক্রমণে প্রায় ৩ মিলিয়ন ডলারের ক্ষতি হয়েছে। সোর্স ডিফেন্স এই বিতরণকে একটি মার্কেটিং ট্যাগের সাথে সংযুক্ত করেছে, যা একটি বাহ্যিক পরিচয় লাইব্রেরি ফেচ করত, যা আক্রমণকারী পলিমার্কেট-এর জন্য একটি ড্রেইনার দিয়ে প্রতিস্থাপন করেছিল। সোর্স ডিফেন্সের গবেষকদের মতে, জুনের পেলোডটি $১০০,০০০-এর বেশি ধারণকারী ওয়ালেটগুলিকে লক্ষ্যবস্তু করেছিল এবং বারবার ডিজিটাল অনুমতির অনুসন্ধান করেছিল। একটি অনুমোদিত অনুমতি পলিমার্কেটের রিলেয়ারের মধ্যেদিয়ে পাস হয়, যা সইকৃত অ্যাকশনগুলি জমা দেয়।

হাডসন রকের অক্টোবরের বিশ্লেষণে বর্ণনা করা হয়েছে যে, DebugBear-এর সাথে সম্পর্কিত একটি URL থেকে প্রাপ্ত কোডটি লগইন করা সেশনের মধ্যে সক্রিয় ট্রেডিং ক্লায়েন্ট এবং সাইনারকে খুঁজছিল। সাইনারটি হল সেই উপাদান যা ক্রিপ্টোগ্রাফিক অনুমতির অনুরোধ করে। হাডসন রক দেখেছে যে, স্ক্রিপ্টটির প্রোগ্রামড আচরণ অ্যাকাউন্টের ধরনের উপর ভিত্তি করে ভিন্ন ছিল। একটি শাখা অবস্থান টোকেনের ট্রান্সফারের অনুরোধ করছিল; অন্যটি বিক্রয়ের পরে লাভের ট্রান্সফারের অনুরোধ করছিল। হাডসন রক DebugBear মনিটরিং স্ক্রিপ্টের সরিয়ে ফেলার বিষয়ে উৎপাদন-বিল্ড মেটাডেটাও Identifying করেছে। তবে, হাডসন রকের স্ট্যাটিক বিশ্লেষণে প্রমাণিত হয়নি যে, কোডটি বাস্তবায়িত হয়েছিল, নীরবভাবে সাইনেচারগুলি প্রাপ্তি হয়েছিল, বা প্রাইভেট কীগুলি চুরি হয়েছিল। বিশ্লেষণটিও বলতে পারেনি যে, жертвা-এর থেকে recipients-এর মধ্যে Complete trail-এর existence-এর proof-এর। সরিয়ে ফেলার metadata-টি precisely-এর context-এ user-দের exposure-এর end-এর time-টি establish-করতে পারেনি।

জুনের মার্কেটিং ডিপেনডেন্সি এবং অক্টোবরের মনিটরিং-সংশ্লিষ্ট স্ক্রিপ্ট আর্থিকভাবে সংবেদনশীল ইন্টারফেসে প্রবেশের জন্য ভিন্ন ভিন্ন পথ প্রদান করেছিল। জুনের মেকানিজমটি অনুমোদিত অনুমতির উপর নির্ভর করত, যখন অক্টোবরের কোডটি ট্রেডিং টুলস খুঁজত এবং সইয়ের অনুরোধ করত। একটি দুর্বল সরবরাহকারীকে প্রতিস্থাপন করলেই ওয়েবসাইটের ভিতরে আর্থিক ফাংশনগুলিতে ক্ষতিকারক কোডের পৌঁছানোর ব্যাপক সমস্যার সমাধান হয় না। পুনরাবৃত্তি হওয়া ব্রেচগুলি এই প্রশ্ন তোলে যে, একজন ট্রেডারের ব্রাউজারের মাধ্যমে বাইরের কোড কতটা আর্থিক ক্ষমতা অর্জন করতে পারে।

MDN-এর ব্রাউজার ডকুমেন্টেশন বলে যে, একটি পেজে সরাসরি লোড করা থার্ড-পার্টি স্ক্রিপ্ট ঐ পেজের অন্যান্য স্ক্রিপ্ট এবং ডেটা অ্যাক্সেস করতে পারে। MDN ব্যাখ্যা করে যে, স্ক্রিপ্টটিকে অন্যত্র হোস্ট করলেও এই অ্যাক্সেস বিলুপ্ত হয় না, অন্যদিকে একটি আলাদা ফ্রেমের ক্রস-অরিজিন কনটেন্টের একটি ভিন্ন সিকিউরিটি বাউন্ডারি থাকে। বাহ্যিক কোড কমানো, সিগনেচার অনুরোধ সীমিত করা এবং ডাউনলোড করা ফাইলগুলির পরীক্ষা করা আক্রমণের বিভিন্ন পর্যায়কে সমাধান করে। ট্রেডিং এবং সাইনিং পেজগুলির অপ্রয়োজনীয় ইন্টিগ্রেশনগুলি সরিয়ে ফেলা ঐ পরিবেশগুলিতে বাহ্যিক কোডের অনুমতি কমিয়ে দেয়। সাইনারের অ্যাক্সেস পর্যালোচনা করা এবং যেসব অপারেশনগুলির জন্য নতুন ব্যবহারকারীর নিশ্চয়তা প্রয়োজন, তা identifying-এর মাধ্যমে, অ্যাক্সেস পাওয়ার পরেও কোডের দ্বারা করা যাওয়া অনুরোধগুলির সীমা-নির্ধারণ করা।

সাবরিসোর্স ইন্টেগ্রিটি ব্রাউজারগুলিকে ডাউনলোড করা স্ক্রিপ্টগুলিকে প্রত্যাশিত ক্রিপ্টোগ্রাফিক ফিঙ্গারপ্রিন্টের সাথে চেক করতে এবং পরিবর্তিত ফাইলগুলি অস্বীকার করতে সক্ষম করে। সাবরিসোর্স ইন্টেগ্রিটি একটি বিশ্বস্ত ডোমেইনে হোস্ট করা উপযুক্তভাবে পিন করা সম্পদকেও সুরক্ষিত রাখতে পারে। প্রকাশের সময়কাল, প্রভাবিত অ্যাকাউন্ট এবং অনুমতি পথগুলি কভার করে এমন একটি বিস্তারিত পোস্টমর্টেম অবশিষ্ট ঝুঁকি মূল্যায়নে সহায়তা করবে। অন্য কোনো ক্ষতিগ্রস্ত ইন্টিগ্রেশন কি ট্রেডিং-ইন্টারফেসের অ্যাক্সেসকে ব্যবহারযোগ্য আর্থিক অনুমতিতে রুপান্তর করতে পারে, তা এখনও অসমাধান।