آرکس، جو روبنہود چین پر چلنے والا ایک ڈی سینٹرلائزڈ ایکسچینج ہے، نے ایک خرابی کے باعث ایک نئی بنائی گئی اکاؤنٹ کو اپنا بیلنس بڑھانے کی اجازت دے دی، جس کے نتیجے میں اس نے 2,234,391 USDG ایک استعمال کنندہ کو ادا کر دیا۔
سیکیورٹی فرم CertiK نے اس واقعے کو انٹیجر انڈرفلو کی وجہ سے قرار دیا ہے۔ یہ ایک ایسا ریاضی کا غلطی ہے جہاں ایک عدد صفر سے نیچے چلا جاتا ہے اور ایک بہت بڑی مثبت قیمت میں تبدیل ہو جاتا ہے۔ ایک اودومیٹر کو صفر کے پار پیچھے کی طرف لپکتے ہوئے 999,999 پر رک جانے کا خیال کریں۔
ادائیگیاں نوں الگ الگ BridgeVault ٹرانسفرز کے ذریعے ایک والٹ میں ہوئیں جسے ارکس نے اب عوامی طور پر شیئر کر دیا ہے۔ نقصان زیادہ بھی ہو سکتا تھا۔ ایک آن-چین ریٹ لِمٹ نے جلد ہی کام شروع کر دیا اور تقریباً 3 ملین امریکی ڈالر کے اضافی نکالنے کو روک دیا۔
ایکسپلوٹ کیسے پیش آیا
مسئلہ 9 نومبر، 2026 کو تقریباً 10:07 رات ET شروع ہوا۔ ایک نئی بنائی گئی اکاؤنٹ نے Arcus کے ذریعہ سب اکاؤنٹس کے درمیان ٹرانسفر کے طریقے میں موجود خامیوں کا استعمال کیا، جس سے اس کا بیلنس اصل جمع کردہ رقم سے کہیں زیادہ بڑھ گیا۔
ایکسچینج کی اپنی واقعہ کی رپورٹ میں 9 نومبر کی تاریخ درج ہے۔ CertiK نے نوٹ کیا کہ متعلقہ لیجر سرگرمیاں اور آن-چین اجرائیات 10 نومبر UTC پر ہوئیں۔ امریکہ کے مشرقی ساحل پر رات کے دیر رات کا وقت UTC میں اگلے دن کا ہوتا ہے، اس لیے دونوں تاریخیں ایک ہی رات کو ظاہر کرتی ہیں۔
گہری تحقیق کے نتائج کے مطابق، جواب کا وقتی جدول اس طرح تھا:
- تقریباً 10:10 رات ET: آن-چین برج کی ریٹ لِمٹ فعال ہو گئی
- 10:15 رات، ای ٹی: اندری مانیٹرنگ نے سرگرمی کو نشان زد کر دیا
- 11:07 پی.ایم۔ ایٹی: آرکس نے پورے پلیٹ فارم پر نکالنے کو روک دیا ہے
- پاز کے تقریباً 30 منٹ بعد: ایک فکس ڈیپلوی کیا گیا
- صبح 4:26 بوقت شرقی، 10 نومبر: نکالنے کا عمل دوبارہ شروع ہو گیا
جس طرح ریٹ لِمٹ کی وجہ سے روکے گئے تھے، وہ تقریباً 3 ملین امریکی ڈالر کے نکالنے کے درخواستیں اس فکس کے فعال ہونے کے بعد واپس کر دی گئیں۔ مختل کرنے والا صرف 2,234,391 USDG لے گیا جو پہلے ہی کلیر ہو چکے تھے، اور مزید کچھ نہیں۔
ایک نکتہ جسے واضح رکھنا چاہیے: سرٹیک واضح طور پر کہتے ہیں کہ ٹوکن کی تعداد کوئی خودمختار قیمت والی ڈالر کی کمی یا حملہ آور کے منافع کا اندازہ نہیں ہے۔ یہ عدد یہ بیان کرتا ہے کہ کتنے USDG ٹوکن منتقل ہوئے۔ یہ کسی کے ڈالر کے لحاظ سے کیا فائدہ یا نقصان ہوا، اس کا تصدیق شدہ اکاؤنٹنگ نہیں ہے۔
آرسس فاصلہ کو پُر کرتا ہے اور بونٹی فراہم کرتا ہے
ارکس کا کہنا ہے کہ اس نے اپنے کمپنی خزانے سے کمی کو پورا کر دیا۔ تحقیق کے نتائج کے مطابق، کسی اور صارف کے فنڈز کو نقصان نہیں پہنچا، اور آپریشنز کئی گھنٹوں میں دوبارہ آن لائن ہو گئے۔
ایکسچینج نے شفافیت کا راستہ بھی اپنایا۔ اس نے حملہ آور کا پتہ شائع کیا ہے اور فنڈز کا تعاقب کرنے کے لیے بلاک چین تحقیق کاروں کے ساتھ کام کر رہا ہے۔
ایک مذاکرہ کا پہلو بھی ہے۔ رپورٹس کے مطابق، آرکس نے بڑی تعداد میں ٹوکنز واپس کرنے کے بدلے ایک بانٹی پیش کی۔ یہ نہیں معلوم کہ کیا مستفید نے یہ سمجھوتہ قبول کیا ہے۔
ایک واقعہ کو اندرونی اکاؤنٹنگ کی غلطی کے طور پر درج کیا گیا ہے، سمارٹ کنٹریکٹ کی حفاظت میں کوئی خامی نہیں۔
پس منظر: آرکس اور روبنہود چین
آرسس ایک ڈیسینٹرلائزڈ ایکسچینج ہے جو dYdX ٹیم کے ساتھ مطابقت رکھتی ہے، جو آن-چین ڈیریویٹیو ٹریڈنگ میں سب سے لمبے عرصے سے موجود ناموں میں سے ایک ہے۔ یہ روبنہود چین پر کام کرتی ہے اور اپنے بریج والٹ کے ذریعے ادائیگیاں USDG میں سیٹل کرتی ہے۔
13 نومبر، 2026 تک، اس ایکسپلوٹ سے متعلق کسی بھی وسیع مارکیٹ کنٹیجشن کی کوئی رپورٹ نہیں تھی۔ نقصان صرف آرکس تک محدود لگ رہا ہے، اور کمپنی نے اسے برداشت کر لیا۔
اس کا کیا مطلب ہے
یہاں سب سے زیادہ سبق دینے والا تفصیل ٹائم لائن کا فرق ہے۔ برج ریٹ لِمٹ نے 10:10 پی ایم ای ٹی کے تقریباً تین منٹ بعد فعال ہو گیا۔ پلیٹ فارم پر مکمل روک تقریباً ایک گھنٹے بعد 11:07 پی ایم کو لگائی گئی، جبکہ مانیٹرنگ نے 10:15 بجے مسئلہ کو نوٹیفائی کر دیا تھا۔
اس ونڈو کے دوران، آٹومیٹڈ سرکٹ بریکر نے زیادہ تر بوجھ اٹھایا۔ اس کے بغیر، تقریباً 3 ملین امریکی ڈالر کی روکی گئی درخواستیں پہلے سے باہر نکل چکے 2,234,391 USDG کے ساتھ شامل ہو جاتیں۔
دوسرا درس اس بات سے متعلق ہے کہ خطرہ بالکل کہاں پیدا ہوتا ہے۔ جانچ عام طور پر اسمارٹ کنٹریکٹس پر توجہ مرکوز کرتی ہے، اور ریکس کے کنٹریکٹس کو مزیدوراً کمزور نقطہ نہیں سمجھا گیا۔ خرابی سب اکاؤنٹ ٹرانسفر کے لیے اندر کے اکاؤنٹنگ منطق میں تھی، ایک ایسا لیئر جسے نظرانداز کرنا آسان ہوتا ہے کیونکہ یہ حساب کتاب لگتا ہے نہ کہ سیکورٹی۔
انٹیجر انڈرفلوز ایک اچھی طرح سے سمجھی جانے والی خرابیوں کی ایک قسم ہیں۔ تجربہ کار ٹیم سے جڑے پروڈکشن سسٹم میں ان کا ظہور یاد دہانی کراتا ہے کہ جہاں بھی حساب کتاب بیلنس سے ٹکراتا ہے، وہاں واقعات کی پرانی اور جانی شکلیں دوبارہ ظاہر ہوتی رہتی ہیں۔
ٹریڈرز کے لیے، خزانہ کا سہارا آرام دہ جزو ہے۔ صارفین کو ان کا پورا رقم واپس کر دیا گیا اور پلیٹ فارم اگلی صبح جلدی تک دوبارہ چل رہا تھا۔
اب جو چیزیں دیکھنے کے قابل ہیں، وہ کافی واضح ہیں۔ پہلا، کیا ہملا کنندہ انعام قبول کرتا ہے اور ٹوکن کا ایک معنی خیز حصہ واپس کرتا ہے۔ دوسرا، کیا آرکس ایک مکمل ٹیکنیکل پوسٹ مارٹم جاری کرتا ہے جس میں یہ واضح کیا جائے کہ انڈرفلو کیسے گزر گیا اور کون سے چیکس شامل کیے گئے ہیں۔
تیسری بات یہ ہے کہ روبنہود چین پر دیگر مقامات اپنی برج ریٹ لیمٹس کو اس کے تناظر میں دوبارہ جانچتے ہیں کہ اس نے کتنا بچایا۔ ایک آٹومیٹڈ لیمٹ سے تین منٹ کا جواب، جبکہ مینوئل پاز کے لیے ایک گھنٹہ، آٹومیشن کے لیے کافی متقاعد دلیل ہے۔