ماخذ: شن چاؤ ٹیک فلو
گزشتہ هفتے، KelpDAO کو ہیکر نے تقریباً 3 ارب ڈالر چھین لیے، جو اب تک کا سب سے بڑا DeFi سیکورٹی حادثہ بن گیا۔
چوری ہونے والے ETH اب متعدد چینز پر بکھر گئے ہیں، جن میں سے تقریباً 30,765 Arbitrum چین پر ایک پتے پر رہ گئے ہیں، جن کی قیمت 70 ملین ڈالر سے زائد ہے۔
یہ کہانی سمجھی جا رہی تھی کہ ختم ہو چکی ہے، لیکن آج اس کا اگلا حصہ سامنے آیا۔
链上安全机构 PeckShield کی نگرانی کے مطابق، Arbitrum لین پر ہیکر کے ایڈریس سے کچھ گھنٹے پہلے پیسہ منتقل کر دیا گیا، لیکن عجیب بات یہ ہے کہ یہ پیسہ ایک ایسے عجیب ایڈریس 0x00000... میں منتقل کر دیا گیا جہاں تقریباً صفر ہیں۔
لوگ اس وقت یہی سوچ رہے تھے کہ ہیکر نے اپنا پیسہ خود ہی بلاک چین کے بھرے ہوئے پتے میں جلا دیا؟ یا پھر اس کا ضمیر بیدار ہو گیا یا اسے بھرتی کر لیا گیا؟
کوئی نہیں۔
کچھ گھنٹوں پہلے، آربٹریم کے آفیشل فورم پر ایک فوری اقدام کا اعلان جاری کیا گیا جس میں صورتحال کی وضاحت کی گئی۔ ہیکر کا رقم، آربٹریم کے سیکورٹی کونسل نے منتقل کر دیا۔
لیکن حیرت کی بات یہ ہے کہ ہیکر کے ایڈریس کی پرائیویٹ کلید کے بغیر، Arbitrum بورڈ نے ہیکر کے پیسے فریز نہیں کیے اور نہ ہی انہیں ٹرانسفر کرنے کا اختیار رکھتا تھا، بلکہ وہ براہ راست "ہیکر کے نام پر" ایک ٹرانسفر کمانڈ جاری کرتے ہیں۔
ہیکر خود بے خبر تھا، پرائیویٹ کی کبھی لیک نہیں ہوئی، اور بلاکچین ریکارڈ یہ ظاہر کرتے ہیں جیسے ہیکر نے خود ہی عمل کیا ہو۔
اس عمل کو عمل میں لانے کا اصول یہ ہے کہ Arbitrum اور ایتھریم کے درمیان تمام کراس چین میسجز ایک Inbox نامی برج کنٹریکٹ سے گزرتے ہیں۔ سیکورٹی کونسل نے طارئہ اختیارات استعمال کرتے ہوئے اس کنٹریکٹ کو عارضی طور پر اپ گریڈ کیا اور ایک نیا فنکشن شامل کیا:
کسی بھی ویلٹ ایڈریس کے نام پر کراس چین ٹرانزیکشن بھیجیں، لیکن اس ویلٹ کی پرائیوٹ کی کی ضرورت نہیں ہوتی۔
پھر انہوں نے اس فنکشن کا استعمال کرتے ہوئے ایک جعلی پیغام بنا دیا، جس میں بھیجنے والا ہیکر کا والٹ تھا، اور متن یہ تھا: "میرا تمام ETH جامد پتے پر بھیج دیں۔" جب Arbitrum چین نے اسے ویسے ہی وصول کیا تو اس نے اسے عام طور پر انجام دے دیا، جس کی وجہ سے اوپر کے چین ٹرانسفر اسکرین شاٹ میں عجیب منظر نظر آیا۔
ہیکر کے پیسے منتقل ہونے کے بعد، یہ معاہدہ فوراً اصل ورژن میں واپس چلا جائے گا۔ اپگریڈ، دھوکہ دہی، ٹرانسفر، اور بحالی، سب کچھ ایک ہی ایتھریم ٹرانزیکشن میں مکمل ہو جائے گا۔ دیگر صارفین اور ایپلیکیشنز مکمل طور پر متاثر نہیں ہوں گے۔
یہ عمل، اریترم کی تاریخ میں کبھی نہیں ہوا۔
فورم کے اعلان کے مطابق، سیکورٹی کونسل نے قبل از عمل ایف بی آئی کے ساتھ تصدیق کر لی تھی کہ ہیکر کا تعلق شمالی کوریا کے لازارس گروپ سے ہے، جو اس سال DeFi شعبے میں سب سے سرگرم قومی ہیکر گروپ ہے۔ کونسل نے ٹیکنیکل جائزہ لے کر یقینی بنایا کہ دوسرے صارفین کو کوئی اثر نہیں پڑے گا۔
چونکہ ہیکر نے پہلے غلطی کی تھی، اس لیے یہ اقدام تقریباً “سب کو اخلاقی قوانین کی خلاف ورزی کرنے کا الزام نہ دو” جیسا ہے۔ جمود والے ETH کے بعد کیسے سنبھالا جائے، اس کے لیے Arbitrum کے DAO گورننس ووٹنگ کے ذریعے فیصلہ کیا جائے گا اور انتظامیہ کے ساتھ معاونت کی جائے گی۔
70 ملین سے زائد چوری شدہ فنڈز کو واپس حاصل کرنا ضرور اچھی بات ہے۔ لیکن اس کا اہم شرط یہ ہے کہ سلامتی کونسل کے 12 اراکین میں سے صرف 9 کے دستخط سے کسی بھی مرکزی معاہدے کو کسی بھی گورننس ووٹنگ کو چھوڑ کر فوری طور پر اپ گریڈ کیا جا سکتا ہے۔
کامیابی کی تعریف، صلاحیتوں کی فکر؟
ابھی، برادری کی رد عمل اس بات پر تقسیم ہے۔
کچھ لوگوں کا خیال ہے کہ Arbitrum نے اچھا کام کیا اور اہم لمحے میں اثاثوں کی حفاظت کی، جس سے L2 کے لیے اعتماد میں تھوڑا اضافہ ہوا۔ دوسرے لوگوں نے ایک بہت سیدھا سوال پوچھا: اگر صرف 9 افراد کی دستخطوں سے کسی بھی شخص کے نام پر کوئی بھی اثاثہ منتقل کیا جا سکتا ہے، تو یہ مرکزیت سے آزاد کہلائے گا؟
مصنف کا خیال ہے کہ دونوں طرف سے کہی گئی باتیں ایک ہی بات نہیں ہیں۔
پہلا نتیجہ بیان کر رہا ہے، دوسرا صلاحیت۔ اس واقعے کا نتیجہ یقیناً اچھا ہے، 70 ملین سے زائد چوری شدہ فنڈز واپس حاصل کر لیے گئے۔ لیکن Arbitrum کی طرف سے اس بار دکھائی گئی متعدد دستخط والے معاہدے فنکشن کی صلاحیت خود بخود نیٹرل ہے؛ اسے ہیکرز کے پیسوں کی واپسی کے لیے استعمال کیا گیا، لیکن مستقبل میں اس کا استعمال کیا ہوگا، کیا کیا جا سکتا ہے، اور کیسے کیا جائے گا، وہ سب کمیٹی کے گورننس پر منحصر ہے۔
تاہم، ارٹیٹرم کا استعمال کرنے والے زیادہ تر لوگوں کے لیے، یہ بحث دوسرے حقیقی حقیقت سے کم اہم ہے۔ ارٹیٹرم خاص نہیں ہے، ابھی کے زمانے میں اکثر L2s میں بھی اسی طرح کے فوری اپ گریڈ اختیارات برقرار رکھے گئے ہیں۔
آپ جو چین استعمال کر رہے ہیں، اس پر بھی ایک مشابہ سیکورٹی کونسل ہوگی جس کے پاس مشابہ صلاحیتیں ہیں۔ یہ صرف Arbitrum کا منفرد انتخاب نہیں ہے، اس مراحل میں L2 کے لگभگ سب میں یہ عام ڈیزائن ہے۔
دیکھنے کا ایک دوسرے زاویہ، یہ حملہ اور دفاع ایک بڑی تصویر کو ظاہر کرتا ہے۔
حملہ آور کوریائی لازارس گروپ ہے، جسے اس سال کے دوران کم از کم 18 DeFi حملوں کا ذمہ دار قرار دیا گیا ہے۔ تین ہفتے پہلے اس نے Drift Protocol سے 285 ملین امریکی ڈالر چھین لیے تھے، جس کے لیے مکمل طور پر مختلف طریقہ استعمال کیا گیا تھا۔
ایک طرف قومی سطح کے ہیکرز لگاتار حملوں کو ترقی دے رہے ہیں، دوسری طرف L2 اب بنیادی دسترسیوں کا استعمال کرکے جوابی کارروائی کر رہا ہے۔ DeFi کی سیکیورٹی جنگ "بعد از واقعہ فریز، چین پر اپیل، اور سفید ٹوپی کے مداخلت کی دعا" کے مرحلے سے ایک نئے مرحلے میں داخل ہو رہی ہے۔
ایک انتہائی خاص صورتحال میں، ایک یونیورسل کلید بنائی گئی جس سے ہیکر کے ایڈریس کھولے گئے، اور کام ختم ہونے کے بعد کلید کو پگھلا دیا گیا۔ صرف اس بات کو دیکھتے ہوئے، ہیکر کے حملوں کا مقابلہ کرنے کی صلاحیت رکھنا کوئی خراب بات نہیں ہے۔
اگر آپ اس مسئلے کو "یہ بالکل بھی غیر مرکزی نہیں ہے" کے فلسفیانہ تبادلہ خیال تک پہنچانا چاہتے ہیں، تو بات کرنے کے لیے بہت کچھ ہے۔ کرپٹو صنعت میں مرکزیت کے مختلف عمل عام ہیں، لیکن اس بار کم از کم منفی واقعات کا انتظام اور حل کرنے کی کوشش کی جا رہی ہے، نہ کہ منفی واقعات پیدا کیے جا رہے ہیں۔
واپس جانچ پڑتال کریں تو، کیلپ ڈی اے او سے 2.92 ارب چوری ہوئے، جن میں سے صرف 70 ملین واپس ملے، جو کل رقم کا ایک چوتھائی سے بھی کم ہے۔ باقی ETH دوسری چینوں پر بکھرے ہوئے ہیں، ایو کے پاس 100 ملین ڈالر سے زائد بھاری قرضہ اب تک حل نہیں ہوا، اور rsETH کے مالکین کو کتنا واپس ملے گا، ابھی تک نامعلوم ہے۔
حتی کہ اریترم نے خدا کے اختیارات استعمال کر لیے ہیں، یہ جنگ واضح طور پر ابھی ختم نہیں ہوئی۔