📚 Aevo-তে অরাকল সেটিং এর ভুল কারণে হওয়া অর্থপ্রবাহের সমস্যা ✅ সারাংশ Aevo-তে সংযুক্ত পুরাতন Ribbon Finance এর ভাউল্টে, অরাকল সেটিং আপডেটের ভুলের কারণে প্রায় 270 লক্ষ ডলার মূল্যের অর্থ নষ্ট হয়েছে। এটি কোনো ক্রিপ্টো প্রযুক্তির উচ্চ পর্যায়ের ভেদ নয়, বরং অনুমতি ব্যবস্থাপনা এবং মূল্য গণনার সেটিংয়ের ভুলগুলো যেভাবে একত্রিত হয়েছিল তা দুর্নীতির সুযোগ দিয়েছিল। পুরাতন ডিজাইন এবং নতুন আপডেটের মধ্যে কীভাবে ব্যবধান ঘটেছিল এবং তা কীভাবে মারাত্মক ফলাফল সৃষ্টি করেছিল তা সংগঠিত হয়েছে। ✅ রিবন থেকে এভো পর্যন্ত সংযোগের পটভূমি রিবন ফাইন্যান্স ডিফিআই অপশনের প্রাথমিক প্রোটোকল হিসেবে পরিচিত ছিল এবং পরে এভোতে সংযুক্ত হয়েছিল। এই সংযোগটি সেবা বন্ধ করার পরিবর্তে, বরং বর্তমান ভাউল্টগুলোকে এভোর মূল কার্যক্রম হিসেবে চালু রাখার সিদ্ধান্ত ছিল। ফলে, পুরাতন ভাউল্টগুলো এখনও ইথারিয়ামে চালু রয়েছে এবং অর্থও রয়েছে। ✅ অরাকল আপডেটের সমস্যা 2025 সালের ডিসেম্বরে, এভো পুরাতন রিবন ভাউল্টের অরাকল সেটিং আপডেট করেছিল। অরাকল মূল্য তথ্য স্মার্ট কন্ট্রাক্টে প্রেরণের জন্য গুরুত্বপূর্ণ একটি ব্যবস্থা। তবে এই আপডেটের ফলে, প্রশাসনিক অনুমতি পরীক্ষা বাদ দেওয়া হয়েছিল এবং যে কেউ মূল্য বা বাস্তবায়ন পরিবর্তন করতে পারত। অর্থাৎ, ভাউল্টের চাবি খুলে রেখে দেওয়া হয়েছিল। ✅ অনুমতি ভুল এবং মূল্য গণনার ব্যবধান আপডেটের পরে অরাকল 18 ডিজিটের দশমিক সংখ্যা ব্যবহার করার জন্য ধরে নিয়েছিল, কিন্তু ভাউল্টে এখনও 8 ডিজিটের পুরাতন সম্পদ রয়েছে। এই ব্যবধান মূল্য গণনার ভুল সৃষ্টি করেছিল এবং আক্রমণকারীরা আসল মূল্যের চেয়ে অত্যন্ত বেশি মূল্য সেট করতে পেরেছিল। আরও বেশি, অরাকলের মালিকানা স্থানান্তর শুধুমাত্র tx.origin (ট্রানজেকশনের প্রথম পাঠক) দ্বারা নির্ধারিত হয়েছিল, যার ফলে নির্দিষ্ট ওয়ালেটের মাধ্যমে সাধারণ প্রশাসকের মতো আচরণ করা যেত। ✅ আক্রমণের ধাপ আক্রমণকারী প্রথমে অবৈধ শর্ত পূরণ করা অপশন পণ্য তৈরি করে এবং পরে অরাকলের বাস্তবায়ন সাময়িকভাবে পরিবর্তন করে মূল্য পরিবর্তন করেছিল। এই অবস্থায় oToken (অপশন প্রতিনিধিত্বকারী টোকেন) ব্যবহার করলে, ভাউল্ট সঠিক প্রক্রিয়া বলে বিশ্বাস করে বিপুল পরিমাণে WETH এবং USDC প্রদান করেছিল। এই প্রক্রিয়াটি বারবার করার ফলে ভাউল্ট অল্প সময়ের মধ্যে খালি হয়ে গেছে। ✅ অর্থপ্রবাহ এবং গোপনীয়তা নষ্ট হওয়া অর্থ বিভিন্ন ওয়ালেটে বিভক্ত হয়েছিল এবং নির্দিষ্ট পরিমাণে স্থানান্তরিত হয়েছিল। এটি অনুসরণ করা কঠিন করে তোলে এবং শেষপর্যন্ত মিক্সার ব্যবহারের প্রস্তাব দেখা যায়। এটি একজন একক আক্রমণকারী নয়, বরং কাজের বিভাজন সহ একটি গোষ্ঠী দ্বারা করা হয়েছিল বলে মনে হয়। ✅ এভো পক্ষের প্রতিক্রিয়া এবং গোলমাল এভো ঘটনা চিহ্নিত হওয়ার পর, পুরাতন রিবন ভাউল্ট বন্ধ করে দেয়। প্রথমে কিছুটা পুনর্পূরণের উপর ভিত্তি করে প্রতিক্রিয়া দেওয়া হয়েছিল, কিন্তু পরে তা ভুল ধরে নিয়ে প্রত্যাহার করা হয়েছিল। ফলে, কিছু ব্যবহারকারী প্রাক-নিকাশের প্রক্রিয়া চালু করেছিল এবং অন্যদের ভাউল্টে অর্থ রয়েছে বলে মনে হয়। ✅ এই ঘটনা থেকে শিক্ষা এই সমস্যা দেখায় যে, স্মার্ট কন্ট্রাক্ট পুরানো হওয়ার কারণে বিপজ্জনক নয়, বরং চালু থাকা কোডটি যদি "বাস্তবিক ব্যবহার করা হচ্ছে না" বলে ভুল ধারণা হয় তবে তা বিপজ্জনক হতে পারে। "বাতিল" হওয়া হলেও, অর্থ থাকা এবং অনুমতি সহ কোড আক্রমণের সম্ভাবনা রয়ে যায়। আপডেট করার সময় পুরাতন ডিজাইন চিন্তা বাদ দেওয়া হলে, দীর্ঘ সময়ের নিরাপত্তা পদক্ষেপগুলো এক মুহূর্তে নির্বিচারে বাতিল হয়ে যেতে পারে।