মে ১৫ তারিখে একটি অনিয়ন্ত্রিত নোড অপারেটর প্রোটোকলের থ্রেশহোল্ড সিগনেচার স্কিমে সুবিধা নিয়ে THORChain প্রায় ১০.৭ মিলিয়ন ডলার হারায়। এখন প্রকল্পটির একটি পরিকল্পনা রয়েছে যার মাধ্যমে সবকিছু ঠিক করা হবে, এবং এটি আরও টোকেন মুদ্রণের সাথে সম্পর্কিত নয়।
এডিআর0২৮ নামে প্রস্তাবিত পুনরুদ্ধার প্রস্তাবটি প্রথমে প্রোটোকল-স্বত্বাধিকারী তরলতা দ্বারা ক্ষতি পূরণের প্রতিশ্রুতি দেয়, এবং যে কোনো অবশিষ্ট ঘাটতি সিনথেটিক সম্পদ ধারকদের মধ্যে অনুপাতিকভাবে বণ্টন করা হয়। কোনো নতুন RUNE মিন্ট বা বিক্রি করা হবে না। বিদ্যমান ধারকদের জন্য, এটিই সবচেয়ে গুরুত্বপূর্ণ বিস্তারিত।
কী ঘটেছিল এবং এটি কীভাবে বন্ধ করা হয়েছিল
আক্রমণকারী একজন নতুনভাবে চালু করা নোড অপারেটর ছিলেন, যিনি এক্সপ্লয়িটের দুই দিন আগেই THORChain নেটওয়ার্কে প্রবেশ করেছিলেন। এই সংক্ষিপ্ত সময়টি ছিল যথেষ্ট GG20 থ্রেশহোল্ড সিগনেচার স্কিম, যা THORChain-এর ডিসেন্ট্রালাইজড ইনফ্রাস্ট্রাকচারের মধ্যে ভল্ট কীগুলির ব্যবস্থাপনা নিয়ন্ত্রণ করে, তার উপর আক্রমণ চালানোর জন্য।
THORChain একটি সিস্টেম ব্যবহার করে যেখানে একাধিক নোড অপারেটর একসাথে ভল্ট কীগুলি নিয়ন্ত্রণ করে, তাই কোনো একক পক্ষ একা ফান্ডসে অ্যাক্সেস করতে পারে না। আক্রমণকারী এই সিস্টেমের ভুলগুলির মাধ্যমে গুরুত্বপূর্ণ ভল্ট প্রাইভেট কীগুলি পুনর্গঠনের উপায় খুঁজে পায়, যা প্রোটোকলের খাজনার তালা খুলে দেয়।
ভালো খবর হলো যে THORChain-এর স্বয়ংক্রিয় দায়িত্ব চেকারটি কয়েক মিনিটের মধ্যেই অসামঞ্জস্যটি ধরে ফেলেছিল। ট্রেডিং এবং সাইনিং অপারেশনগুলি বন্ধ করে দেওয়া হয়েছিল এবং নোড অপারেটররা প্রায় দুই ঘন্টার মধ্যে নেটওয়ার্কটি সম্পূর্ণভাবে ফ্রিজ করার জন্য সমন্বয় করেছিল। এই দ্রুত প্রতিক্রিয়াটি যা হতে পারতো অনেক বড় ক্ষতি, তা প্রতিরোধ করেছিল।
প্রোটোকলের অনুসারে, কোনো প্রত্যক্ষ ক্ষতি ব্যবহারকারীর ফান্ড বা তরলতা প্রদানকারীর অবস্থানকে স্পর্শ করেনি। THORChain-এর Mimir গভর্ন্যান্স সিস্টেমের কারণেই দ্রুত প্রতিক্রিয়া সম্ভব হয়েছিল, যা নোড অপারেটরদের দীর্ঘ গভর্ন্যান্স চক্রের অপেক্ষা না করে গুরুত্বপূর্ণ প্যারামিটারগুলি সমায়োজিত করতে সক্ষম করে। এটিকে ভাবুন একটি জীবনরক্ষী ব্রেকের মতো, যা আসলেই কাজ করে।
পুনরুদ্ধার পরিকল্পনা: ADR028
এখানে ADR028 কীভাবে গঠিত তা দেখুন। প্রথম প্রতিরোধ রেখা হল প্রোটোকল-স্বত্বাধিকার তরলতা, যা মূলত প্রোটোকলের নিজস্ব মূলধন রিজার্ভ যা এর তরলতা পুলের মধ্যে বিদ্যমান। POL অন্য কোনো মেকানিজম কাজে লাগার আগেই $10.7 মিলিয়নের ক্ষতির সম্ভবপর সর্বাধিক অংশটি শোষণ করে।
যা পিওএল কভার করতে পারবে না, তা সিনথেটিক সম্পদ ধারকদের মধ্যে অনুপাতিকভাবে বণ্টন করা হবে। THORChain-এর সিনথেটিক সম্পদ হল বিটকয়েন বা ইথেরিয়ামের মতো সম্পদের ডেরিভেটিভ প্রতিনিধিত্ব, যা প্রোটোকলের পুলগুলিতে বিদ্যমান। এই সিনথেটিকসের ধারকদের যেকোনো অবশিষ্ট ঘাটতির অনুপাতিক অংশ বহন করতে হবে।
ADR028-এর কীভাবে কী করবে না তা পরিষ্কারভাবে উল্লেখ করা হয়েছে: নতুন RUNE টোকেন মিন্ট করা হবে না। হ্যাকের পর, অনেক প্রোটোকল সংক্ষিপ্ততা পূরণের জন্য অবমূল্যায়নের পদ্ধতি গ্রহণ করে, যার ফলে বিদ্যমান প্রতিটি টোকেনের মূল্য কিছুটা কমে যায়। THORChain এই অবস্থানটি গ্রহণ করেছে যে, হোল্ডারদের অবমূল্যায়ন করা বিষয়টি বাদ দেওয়া হয়েছে।
এটি গুরুত্বপূর্ণ কারণ ডিফি-তে এক্সপ্লয়িটের পরে টোকেন ডিলুশন একটি প্যাটার্নে পরিণত হয়েছে। এটি সবচেয়ে সহজ লিভার, কিন্তু এটি যারা থেকে গেলেন তাদের শাস্তি দেয়। THORChain এটিকে আগাম থেকে বাদ দিয়ে একটি গভর্ন্যান্স বিবৃতি দিচ্ছে, যা একটি আর্থিক বিবৃতির সমান।
প্রোটোকলটি চুরি করা ফান্ড ফেরত পাঠাতে সহায়তা করতে ইচ্ছুক হোয়াইট-হ্যাট হ্যাকারদের জন্য একটি বান্টি প্রদান করেছে, যা এক্সপ্লয়িটের পরে পুনরুদ্ধারের জন্য একটি স্ট্যান্ডার্ড কিন্তু প্রায়শই কার্যকরী পদ্ধতি। ঘটনার অল্পকিছুক্ষণ পরে প্রকাশিত অস্থায়ী সমাধানের অংশ হিসেবে GG20 TSS ভুলগুলির জন্য অতিরিক্ত সুরক্ষা প্যাচগুলি বাস্তবায়িত হচ্ছে।
ক্রস-চেইন ঝুঁকির একটি ব্যাপক প্যাটার্ন
ক্রস-চেইন প্রোটোকলগুলি ডিসেন্ট্রালাইজড ফাইন্যান্সের একটি অনন্যভাবে বিপজ্জনক কোণ অধিকার করে। ডিজাইন অনুযায়ী, এগুলি বিভিন্ন ব্লকচেইনের মধ্যে সম্পদ বহন করে, যার অর্থ এগুলি একাধিক নেটওয়ার্কের সাথে একসাথে কী, সিগনেচার এবং কনসেনসাস মেকানিজম পরিচালনা করতে হয়। প্রতিটি অতিরিক্ত চেইন হল আরেকটি আক্রমণের পৃষ্ঠ।
2021 এর পর থেকে ব্লকচেইন ক্ষেত্রে দুর্নীতির কারণে বিলিয়ন ডলার ক্ষতি হয়েছে, এবং ক্রস-চেইন ব্রিজগুলি সর্বদা সবচেয়ে বেশি লক্ষ্যবস্তু হয়ে আসছে। গত বছরগুলিতে THORChain নিজেই সুরক্ষা ঘটনার সম্মুখীন হয়েছে, যা এই সর্বশেষ দুর্নীতিকে একক ঘটনা নয়, বরং পুনরাবৃত্তি হওয়া চ্যালেঞ্জের অংশ হিসাবে দেখায়।
দেখুন, একটি ডিসেন্ট্রালাইজড সিস্টেমের জন্য দুই ঘন্টার প্রতিক্রিয়া সময় এবং স্বয়ংক্রিয় দায়িত্বপূর্ণতা পরীক্ষা সত্যিই অসাধারণ। বেশিরভাগ পারম্পরিক আর্থিক প্রতিষ্ঠান এত দ্রুত একটি ব্রিচ শনাক্ত করে তা নিয়ন্ত্রণ করতে সমর্থ হবে না। কিন্তু এই তথ্য যে ৪৮ ঘন্টা আগেই যোগদানকারী একজন নোড অপারেটর ভল্ট কীগুলি পুনর্গঠন করতে পারে, তা অনবদ্যতা নিরাপত্তা এবং চার্নিং প্রক্রিয়ায় বহনকৃত বিশ্বাসের ধারণাগুলির বিষয়ে গুরুতর প্রশ্ন তোলে।
এটি বিনিয়োগকারীদের জন্য কী অর্থ বহন করে
ADR028-এ অ-বিক্রয় প্রতিশ্রুতি হল একমাত্র বিনিয়োগকারী-প্রাসঙ্গিক বিস্তারিত বিষয়। RUNE ধারকদের অবমূল্যায়নের মাধ্যমে ক্ষতি বহন করতে বলা হচ্ছে না, যা টোকেনের সরবরাহ গতিশীলতা রক্ষা করে। একটি হ্যাকের পর প্রোটোকল খাজনা এবং টোকন অর্থনীতি এক রাতের মধ্যে পরিবর্তিত হতে পারে এমন একটি বাজারে, এই ধরনের স্পষ্ট নিশ্চয়তা গুরুত্বপূর্ণ।
কিন্তু আত্মবিশ্বাস শুধু প্রতিশ্রুতির উপর গড়ে ওঠে না। বিনিয়োগকারীদের দেখতে হবে যে THORChain কতটা কার্যকরভাবে GG20 TSS দুর্বলতা প্রতিরোধ করছে এবং প্রোটোকলটি নতুন নোড অপারেটরদের জন্য কঠোরতর প্রয়োজনীয়তা কি প্রয়োগ করছে। নেটওয়ার্কে যোগদানের পর থেকে $10.7 মিলিয়নের এক্সপ্লয়িট চালানোর মধ্যে দুইদিনের সময়কাল নির্দেশ করে যে দুষ্টু অপারেটরদের জন্য প্রবেশের বাধা উল্লেখযোগ্যভাবে শক্তিশালী করা প্রয়োজন।
অনুপাতিক ক্ষতি বহনকারী সিনথেটিক সম্পদের ধারকদেরও পর্যবেক্ষণ করা উচিত। যদি POL রিজার্ভগুলি পুরো $10.7 মিলিয়ন কভার করতে না পারে, তাহলে সিনথেটিক অবস্থানগুলিতে হেয়ারকাট থরচেইনের পুলগুলিতে তরলতা এবং ট্রেডিং ক্রিয়াকলাপকে প্রভাবিত করতে পারে। কম তরলতা সাধারণত স্প্রেডকে প্রসারিত করে এবং প্রোটোকলটিকে ক্রস-চেইন সুইপসের জন্য কম প্রতিযোগী করে তোলে।
ব্রড ডিফি মার্কেটের জন্য, THORChain-এর পুনরুদ্ধার পদ্ধতি একটি পূর্বাভাস তৈরি করতে পারে। যদি ADR028 সফলভাবে প্রোটোকলকে ডিলুশন ছাড়াই এবং তরলতা গভীরতার টেকসই ক্ষতি ছাড়াই পুনরুদ্ধার করে, তবে এটি অন্যান্য প্রকল্পগুলির জন্য একটি টেমপ্লেট হয়ে দাঁড়ায়। যদি এটি ব্যর্থ হয়, তবে এটি ক্রস-চেইন ইনফ্রাস্ট্রাকচারের জন্য একক-চেইন প্রোটোকলগুলির চেয়ে মৌলিকভাবে ভিন্ন সিকিউরিটি আর্কিটেকচারের প্রয়োজনীয়তা নিয়ে বাড়তে থাকা যুক্তির একটি আরও ডেটা পয়েন্ট হয়ে দাঁড়ায়।
ফান্ড পুনরুদ্ধারের জন্য বাউন্টি একটি ওয়াইল্ডকার্ড যোগ করে। ইতিহাসে, কিছু দুর্নীতিকারী অপরাধের প্রতিশ্রুতি এবং বিচার থেকে অব্যাহতির বিনিময়ে ফান্ড ফেরত দিয়েছে। এই ক্ষেত্রে আক্রমণকারী এই চুক্তি গ্রহণ করবে কিনা, নাকি ইতিমধ্যেই ফান্ডগুলিকে মিক্সার এবং ব্রিজের মাধ্যমে সরিয়েছে, এটিই নির্ধারণ করবে যে $10.7 মিলিয়নের ঘাটতির মধ্যে কতটা আসলেই শোষণ করা প্রয়োজন।