15 मई को THORChain ने प्रोटोकॉल के थ्रेशोल्ड सिग्नेचर स्कीम में विभिन्न दुर्बलताओं का दुरुपयोग करने वाले एक अनधिकृत नोड ऑपरेटर के कारण लगभग $10.7 मिलियन का नुकसान उठाया। अब प्रोजेक्ट के पास चीजों को सही करने की योजना है, और इसमें अधिक टोकन छापना शामिल नहीं है।
एडीआर028 के नाम से जाना जाने वाला पुनर्प्राप्ति प्रस्ताव, प्रोटोकॉल-स्वामित्व वाली तरलता के माध्यम से हानियों को कवर करने का प्रतिबद्ध है, और किसी भी शेष कमी को सिंथेटिक संपत्ति धारकों के बीच अनुपातिक रूप से वितरित किया जाएगा। कोई नया RUNE नहीं बनाया या बेचा जाएगा। मौजूदा धारकों के लिए, यही वह विस्तार है जिसका सबसे अधिक महत्व है।
क्या हुआ और इसे कैसे रोका गया
हमलावर एक नवीनता से जुड़े नोड ऑपरेटर था, जिसने दुरुपयोग से दो दिन पहले THORChain नेटवर्क में प्रवेश किया था। यह छोटा समय अंतराल GG20 थ्रेशोल्ड सिग्नेचर स्कीम, जो THORChain के डिसेंट्रलाइज्ड इंफ्रास्ट्रक्चर के भीतर वॉल्ट कुंजियों के प्रबंधन को नियंत्रित करता है, को लक्षित करने के लिए पर्याप्त था।
THORChain एक ऐसी प्रणाली का उपयोग करता है जहां कई नोड ऑपरेटर मिलकर वॉल्ट कुंजियों को नियंत्रित करते हैं, इसलिए कोई भी एकल पक्ष अकेले फंड्स तक पहुंच नहीं सकता। हमलावर ने इस प्रणाली में विभिन्न दुर्बलताओं के माध्यम से महत्वपूर्ण वॉल्ट निजी कुंजियों को पुनः बनाने का तरीका खोज लिया, जिससे प्रोटोकॉल की खजाने पर ताला खोलने का प्रभाव पड़ा।
अच्छी खबर यह है कि THORChain का स्वचालित वित्तीय स्वास्थ्य चेकर ने कुछ ही मिनटों में अनियमितता को पकड़ लिया। ट्रेडिंग और हस्ताक्षर संचालन रोक दिए गए, और नोड ऑपरेटर्स ने लगभग दो घंटे में पूरे नेटवर्क को पूरी तरह से फ्रीज करने के लिए समन्वय किया। इस तेजी ने उससे काफी अधिक नुकसान को रोक दिया होता।
प्रोटोकॉल के अनुसार, किसी भी उपयोगकर्ता फंड या लिक्विडिटी प्रोवाइडर पोज़ीशन को सीधे नुकसान नहीं पहुंचा। THORChain के Mimir गवर्नेंस सिस्टम द्वारा त्वरित प्रतिक्रिया संभव हुई, जो नोड ऑपरेटर्स को लंबे गवर्नेंस चक्र का इंतजार किए बिना महत्वपूर्ण पैरामीटर्स को समायोजित करने की अनुमति देता है। इसे एक ऐसी आपातकालीन ब्रेक के रूप में समझें जो वास्तव में काम करती है।
पुनर्प्राप्ति योजना: ADR028
यहाँ ADR028 की संरचना है। प्रथम रक्षा रेखा प्रोटोकॉल-स्वामित्व वाली तरलता है, जो मूलतः प्रोटोकॉल की अपनी पूंजी आरक्षित राशि है जो इसकी तरलता पूल में मौजूद है। POL किसी भी अन्य तंत्र के सक्रिय होने से पहले $10.7 मिलियन के नुकसान को जितना संभव हो उतना अवशोषित करता है।
जो कुछ POL द्वारा कवर नहीं किया जा सकता, उसे सिंथेटिक संपत्ति धारकों के बीच अनुपातिक रूप से वितरित किया जाता है। THORChain पर सिंथेटिक संपत्तियाँ डेरिवेटिव प्रतिनिधित्व होती हैं, जैसे बिटकॉइन या ईथेरियम, जो प्रोटोकॉल के पूल्स के भीतर मौजूद होती हैं। इन सिंथेटिक्स के धारक शेष कमी का अनुपातिक हिस्सा वहन करेंगे।
ADR028 में महत्वपूर्ण प्रतिबद्धता यह है कि यह स्पष्ट रूप से क्या नहीं करेगा: नए RUNE टोकन मिंट करना। हैक के बाद, कई प्रोटोकॉल ने नुकसान को कवर करने के लिए अतिरिक्त मुद्रण उपायों की ओर रुख किया, जिससे प्रत्येक मौजूदा टोकन का मूल्य थोड़ा कम हो गया। THORChain यह पोज़ीशन अपना रहा है कि होल्डर्स को डायलूट करना संभव नहीं है।
यह मायने रखता है क्योंकि DeFi में दुरुपयोग के बाद टोकन का विलय एक नियम बन चुका है। यह सबसे आसान उपाय है, लेकिन यह उन लोगों को दंडित करता है जो बने रहे। THORChain द्वारा इसे पहले से ही बाहर रखने से यह एक वित्तीय कथन के साथ-साथ एक शासन कथन भी है।
प्रोटोकॉल ने श्वेत-हैकर्स के लिए एक बोनटी भी प्रदान की है, जो चोरी हुए धन को वापस लाने में मदद करने को तैयार हैं, जो आपातकालीन उपचार के बाद एक मानक लेकिन अक्सर प्रभावी योजना है। घटना के तुरंत बाद जारी किए गए अंतरिम समाधान के हिस्से के रूप में GG20 TSS दुर्बलताओं के लिए अतिरिक्त सुरक्षा पैच लागू किए जा रहे हैं।
क्रॉस-चेन जोखिम का एक व्यापक पैटर्न
क्रॉस-चेन प्रोटोकॉल डिसेंट्रलाइज्ड फाइनेंस के एक अद्वितीय रूप से खतरनाक कोने में रहते हैं। डिज़ाइन के अनुसार, वे विभिन्न ब्लॉकचेन के बीच संपत्तियों को जोड़ते हैं, जिसका अर्थ है कि उन्हें एक साथ कई नेटवर्क के भर में कुंजियाँ, हस्ताक्षर और सहमति तंत्र प्रबंधित करने की आवश्यकता होती है। प्रत्येक अतिरिक्त चेन एक अतिरिक्त हमले का पृष्ठ है।
2021 के बाद से ब्लॉकचेन क्षेत्र ने दुरुपयोगों के कारण अरबों डॉलर खो दिए हैं, और क्रॉस-चेन ब्रिज हमेशा से सबसे अधिक लक्ष्य बने रहे हैं। THORChain खुद पिछले वर्षों में सुरक्षा घटनाओं से गुजर चुका है, जिससे यह नवीनतम दुरुपयोग एकल घटना के बजाय एक दोहराए जाने वाली चुनौती का हिस्सा बन गया है।
देखिए, एक डिसेंट्रलाइज्ड सिस्टम के लिए दो घंटे का प्रतिक्रिया समय और स्वचालित देयता जांच वास्तव में प्रभावशाली है। अधिकांश पारंपरिक वित्तीय संस्थान इतनी जल्दी एक उल्लंघन की पहचान करने और उसे नियंत्रित करने में कठिनाई महसूस करेंगे। लेकिन इस तथ्य कि केवल 48 घंटे पहले शामिल हुए एक नोड ऑपरेटर ने वॉल्ट कुंजियों को पुनः बना लिया, जोड़ने की सुरक्षा और चर्निंग प्रक्रिया में निहित विश्वास की मान्यताओं के बारे में गंभीर प्रश्न उठाता है।
इसका निवेशकों के लिए क्या अर्थ है
ADR028 में अप्रभावित रहने की प्रतिबद्धता निवेशकों के लिए सबसे महत्वपूर्ण विवरण है। RUNE होल्डर्स से अप्रत्याशित अवमूल्यन के माध्यम से नुकसान वहन करने का अनुरोध नहीं किया जा रहा है, जिससे टोकन की आपूर्ति गतिशीलता बनी रहती है। एक ऐसे बाजार में जहां प्रोटोकॉल खजाने और टोकन अर्थव्यवस्था हैक के बाद एक रात में बदल सकती हैं, ऐसी स्पष्ट गारंटी का महत्व होता है।
लेकिन विश्वास केवल वादों पर नहीं बनता। निवेशकों को यह देखना चाहिए कि THORChain GG20 TSS दुर्बलताओं को कितनी प्रभावी ढंग से ठीक करता है और क्या प्रोटोकॉल नए नोड ऑपरेटर्स के लिए कठोर आवश्यकताएँ लागू करता है। नेटवर्क में शामिल होने और $10.7 मिलियन के दुरुपयोग को निष्पादित करने के बीच दो दिन की अवधि से स्पष्ट है कि दुर्भावनापूर्ण पार्टियों के लिए प्रवेश की बाधा को काफी सख्त किया जाना चाहिए।
अनुपातिक नुकसान वहन करने वाले सिंथेटिक संपत्ति धारकों को भी निगरानी के योग्य माना जाता है। यदि POL रिजर्व पूरे $10.7 मिलियन को कवर नहीं कर सकते, तो सिंथेटिक पोज़ीशन पर हेयरकट THORChain के पूल्स में लिक्विडिटी और ट्रेडिंग गतिविधि को प्रभावित कर सकता है। कम लिक्विडिटी का आमतौर पर स्प्रेड का विस्तार होता है और प्रोटोकॉल को क्रॉस-चेन स्वैप्स के लिए कम प्रतिस्पर्धी बना देता है।
व्यापक DeFi बाजार के लिए, THORChain की बहाली दृष्टिकोण एक पूर्वानुमान तैयार कर सकता है। यदि ADR028 प्रोटोकॉल को बिना अल्पीकरण और बिना तरलता डेप्थ को स्थायी क्षति पहुंचाए सफलतापूर्वक बहाल कर देता है, तो यह एक ऐसा मॉडल बन जाता है जिसकी ओर अन्य प्रोजेक्ट्स संकेत कर सकते हैं। यदि यह असफल रहता है, तो यह बढ़ते हुए तर्क का एक और डेटा बिंदु बन जाता है कि क्रॉस-चेन इंफ्रास्ट्रक्चर को सिंगल-चेन प्रोटोकॉल्स की तुलना में मौलिक रूप से अलग सुरक्षा आर्किटेक्चर की आवश्यकता है।
फंड रिकवरी के लिए बोन्टी एक वाइल्डकार्ड जोड़ती है। पिछले अनुभवों के अनुसार, कुछ हमलावरों ने बोन्टी और अपराध मुक्ति के बदले फंड वापस कर दिए हैं। इस मामले में हमलावर इस समझौते को स्वीकार करेगा या पहले ही फंड को मिक्सर्स और ब्रिजेस के माध्यम से ले गया है, यही तय करेगा कि उस $10.7 मिलियन की कमी में से कितना हिस्सा वास्तव में सहन किया जाना चाहिए।