ہیکر نے مسلسل سیکیورٹی خامی کا فائدہ اٹھاتے ہوئے پولکاڈوٹ پر 1.38 ملین امریکی ڈالر کا نقصان پہنچایا

پولکاڈوٹ کے خزانے کو 1.38 ملین امریکی ڈالر کا نقصان ہوا جب ایک حملہ آور نے ایک کمزوری کا استعمال کیا جسے ڈویلپرز نے چار ماہ پہلے درست کر دیا تھا۔ پیریٹی ٹیکنالوجیز نے نومبر 2 کی ایک رپورٹ میں بتایا کہ جون میں کوڈ کا فکس اکتوبر 24-26 کے حملے سے پہلے متاثرہ پروڈکشن سسٹمز تک نہیں پہنچا تھا۔ پیریٹی پولکاڈوٹ اور کوساما ایکو سسٹمز کے لیے بلاک چین انفراسٹرکچر تیار کرتی ہے۔

حملہ آور نے پولکاڈوٹ ایسٹ سی ہب کے کراس چین میسج سسٹم کے ذریعے فراہمی ریکارڈز میں تبدیلی کی، جس سے dotUSD کی ریکارڈ شدہ فراہمی کم ہو گئی جبکہ صارفین کے ٹوکن بیلنس میں کوئی تبدیلی نہیں ہوئی۔ یہ عدم مطابقت DOT/dotUSD لکویڈٹی پول میں قیمتیں متاثر کر گئی، جس سے ٹریڈرز کو dotUSD کے مقابلے میں DOT کو جعلی طور پر م distort قیمتوں پر حاصل کرنے کا موقع ملا۔ لکویڈٹی پول کے واحد لکویڈٹی فراہم کنندہ کے طور پر خ казنہ کو تقریباً 1.381 ملین امریکی ڈالر کا نقصان ہوا۔ پیرٹی نے کہا کہ صارفین کو فنڈز کا کوئی نقصان نہیں ہوا اور dotUSD کا پورا تحفظ USDT میں برقرار رہا۔ تاہم، پیرٹی نے یہ طے نہیں کر سکا کہ کیا استعمال کرنے والے نے بعد میں ہونے والے آربٹریج ٹریڈز سے بھی فائدہ اٹھایا۔

dotUSD، پولکاڈوٹ کا ڈی سینٹرلائزڈ اسٹیبل کوائن، اکتوبر میں نیٹ ورک کے ڈی سینٹرلائزڈ آٹونومس آرگنائزیشن (DAO) کے تحت کام شروع کر چکا ہے۔ dotUSD کو کسی مرکزی جاری کنندہ کے بغیر ڈیزائن کیا گیا تھا، جو نجی کمپنیوں کے جاری کردہ اسٹیبل کوائن سے الگ ہے۔ DOT ہولڈرز OpenGov کے ذریعے dotUSD کے فیصلوں پر حکومت کرتے ہیں۔ پیریٹی نے اصل میں اس کمزوری کو درمیانی شدت کے طور پر درج کیا تھا کیونکہ جائزہ میں dotUSD کے ساتھ ممکنہ تفاعل شامل نہیں تھا، جو ابھی تک لانچ نہیں ہوا تھا۔ حملے کے بعد جب مالی اثرات واضح ہوئے، تو پیریٹی نے اس شدت کو انتہائی بحرانی قرار دے دیا۔

جس سیکورٹی ریسرچر نے پہلے کمزوری کی رپورٹ کی تھی، اس نے 20 اکتوبر کو ایک فورم کمنٹ جاری کیا جس میں کوڈ کے فکس کا حوالہ دیا گیا تھا۔ پیرٹی نے کہا کہ ریسرچر نے اس نوٹس کے بعد کمنٹ حذف کر دیا کہ اس افشا نے پیرٹی کے بگ بانٹی قوانین کی خلاف ورزی کی تھی۔ پیرٹی کا خیال ہے کہ یہ کمنٹ حملہ آوروں کے لیے کافی معلومات فراہم کر سکتی تھی جس سے وہ خرابی کو دریافت اور استعمال کر سکتے تھے۔

سناو فورک نے 24 اکتوبر کو مشکوک سرگرمیوں کی اطلاع کے بعد اپنے کنسینس ریلیزز کا عمل بند کر دیا۔ اس بندش نے عارضی طور پر مزید خطرناک لین دین کو سناوبریج کے ذریعے پولکاڈوٹ میں داخل ہونے سے روک دیا۔ تاہم، حملہ آور نے 26 اکتوبر کو ایک انفرادی طور پر چلائے جانے والے ریلیزر کا استعمال کرتے ہوئے اس حملے کو دوبارہ شروع کر دیا، جو ڈویلپرز کے اوپن گوو کے ذریعے سیکورٹی اپ گریڈ لاگو کرنے سے تقریباً چھ گھنٹے پہلے تھا۔ سناوبریج انفرادی شرکاء کو ریلیزز چلانے کی اجازت دیتا ہے، اس لیے سناو فورک صرف اپنی بنیادی ڈھانچہ کو روک سکتا تھا، لیکن حملہ آور کو مستقل طور پر رسائی سے روک نہیں سکتا تھا۔

پیریٹی نے 26 اکتوبر کو رن ٹائم اپگریڈ 2.5.1 کے ساتھ خطرہ ختم کر دیا اور متاثرہ پول کی باقی ماندہ ترکیب بحال کر لی۔ 30 اکتوبر کا ایک اور اپگریڈ dotUSD کی فراہمی کے ریکارڈز کو درست کر گیا، جبکہ انفرادی اکاؤنٹ بالنس میں کوئی تبدیلی نہیں ہوئی۔ 30 اکتوبر کا اپگریڈ ایک الگ مسئلہ بھی درست کر گیا جس نے سناوبریج کو روک دیا تھا۔ بحال کیا گیا dotUSD خزانہ میں واپس چلا گیا۔ تاہم، مصنوعی قیمتوں پر ٹریڈنگ کے باعث ہونے والے نقصانات باقی رہ گئے۔

پیریٹی نے تسلیم کیا کہ کمپنی کی سیکورٹی پروسیجرز نے نئے نیٹ ورک فنکشنلٹی سے متعلق تبدیل ہونے والے خطرات کو نہیں پکڑا تھا۔ پیریٹی نے کہا کہ کمپنی خطرات کے جائزے کو بہتر بنائے گی، ڈیپلومنٹ کی تصدیق کو مضبوط بنائے گی اور غیر معمولی اثاثہ جاری کرنے کی نگرانی کو وسعت دے گی۔ پیریٹی ترقی کے دوران ممکنہ طور پر استعمال ہونے والے کوڈ میں تبدیلیوں کو زودتر پکڑنے کے لیے ایک خودکار AI بنیادی سیکورٹی فریم ورک تیار کر رہا ہے۔ پیریٹی dotUSD سے نکلنے والے خطرات کے لیے پہلے سے رپورٹ کردہ خامیوں کا بھی جائزہ لے رہا ہے۔