15 مئی کو THORChain ایک بے نقاب نوڈ آپریٹر کے ذریعے پروٹوکول کے تھریشولڈ سگنیچر اسکیم میں موجود خامیوں کا فائدہ اٹھانے کے باعث تقریباً 10.7 ملین امریکی ڈالر کا نقصان اٹھایا۔ اب منصوبے کا ایک منصوبہ ہے کہ وہ چیزوں کو درست کرے، اور اس میں مزید ٹوکنز چھاپنا شامل نہیں ہے۔
ریکوری پراپوزل، جسے ADR028 کہا جاتا ہے، پروٹوکول کی ملکیت والی لیکویڈیٹی سے نقصانات کو پورا کرنے کا عہد کرتا ہے، اور کسی بھی باقی کمی کو سنتیٹک ایسٹس کے حاملین کے درمیان تناسب سے تقسیم کیا جائے گا۔ کوئی نیا RUNE جاری یا فروخت نہیں کیا جائے گا۔ موجودہ حاملین کے لیے، یہی وہ تفصیل ہے جو سب سے زیادہ اہم ہے۔
کیا ہوا اور اسے کیسے روکا گیا
حملہ آور ایک نئے نوڈ آپریٹر تھا جس نے صرف دو دن پہلے THORChain نیٹ ورک میں داخلہ لیا تھا۔ یہ مختصر وقفہ GG20 Threshold Signature Scheme، جو THORChain کے ڈی سینٹرلائزڈ انفراسٹرکچر کے ذریعے وولٹ کلیدز کے انتظام کو کنٹرول کرتا ہے، کا نشانہ بنانے کے لیے کافی تھا۔
THORChain ایک نظام استعمال کرتا ہے جس میں متعدد نوڈ آپریٹرز مل کر وولٹ کلیدوں پر کنٹرول رکھتے ہیں، اس لیے کوئی ایک فرد منفرد طور پر فنڈز تک رسائی نہیں کر سکتا۔ حملہ آور نے اس نظام کے اندر موجود خامیوں کے ذریعے اہم وولٹ پرائیویٹ کلیدوں کو دوبارہ تعمیر کرنے کا طریقہ دریافت کر لیا، جس سے پروٹوکول کے خزانے پر قفل کھولنا ممکن ہو گیا۔
اچھی خبر یہ ہے کہ THORChain کا خودکار مالی صحت چیکر نے کچھ ہی منٹوں میں اس ناہمواری کو پکڑ لیا۔ ٹریڈنگ اور دستخط کے عمل کو روک دیا گیا، اور نوڈ آپریٹرز نے مل کر تقریباً دو گھنٹوں میں نیٹ ورک کو مکمل طور پر فریز کر دیا۔ اس تیز رفتار اقدام نے ایسے بڑے نقصان کو روک دیا جو ہو سکتا تھا۔
پروٹوکول کے مطابق، کسی بھی صارف کے فنڈز یا لیکویڈیٹی فراہم کنندگان کی پوزیشنز پر کوئی براہ راست نقصان نہیں پڑا۔ تیز رفتار رد عمل THORChain کے Mimir حکومتی نظام کے ذریعے ممکن ہوا، جو نوڈ آپریٹرز کو لمبے حکومتی دور کا انتظار کئے بغیر اہم پیرامیٹرز کو تبدیل کرنے کی اجازت دیتا ہے۔ اسے ایک ایسی ایمرجنسی بریک سمجھیں جو واقعی کام کرتی ہے۔
بحالی منصوبہ: ADR028
یہ ہے کہ ADR028 کیسے ساخت ہے۔ پہلا دفاع Protocol-Owned Liquidity ہے، جو بالکل اس پروٹوکول کی اپنی پूंजی کے ذخائر ہیں جو اس کے لِکویڈٹی پولز میں موجود ہیں۔ POL اس $10.7 ملین کے نقصان کا جتنا ممکن ہو اتنا جذب کرتا ہے، جب تک کہ کوئی اور مکانزم فعال نہ ہو جائے۔
جو کچھ POL کور نہیں کر سکتا، وہ سنتیٹک ایسٹس کے حاملین کے درمیان تناسب کے مطابق تقسیم کر دیا جائے گا۔ THORChain پر سنتیٹک ایسٹس بٹ کوائن یا ethereum جیسے ایسٹس کے ڈیریویٹیو نمائندگی ہیں جو پروٹوکول کے پولز میں موجود ہیں۔ ان سنتیٹکس کے حاملین کو کسی بھی باقی بچے ہوئے deficit کا تناسبی حصہ اٹھانا ہوگا۔
ADR028 میں اہم تعہد یہ ہے کہ یہ صریحاً کیا نہیں کرے گا: نئے RUNE ٹوکنز جاری کرنا۔ ہیک کے بعد، بہت سے پروٹوکولز اپنے خسارے کو پورا کرنے کے لیے انفلیشنری اقدامات اپناتے ہیں، جس سے موجودہ ہر ٹوکن کی قیمت تھوڑی سی کم ہو جاتی ہے۔ THORChain یہ پوزیشن اپنا رہا ہے کہ ہولڈرز کو ڈائلوٹ کرنا قابل قبول نہیں ہے۔
یہ اہم ہے کیونکہ ڈیفی میں حملوں کے بعد ٹوکن کی تخفیف ایک نمونہ بن چکی ہے۔ یہ سب سے آسان لیور ہے، لیکن یہ ان لوگوں کو سزا دیتا ہے جو وہاں پر رہے۔ THORChain کے پہلے سے اسے مسترد کر دینے سے یہ ایک مالی بیان کے ساتھ ساتھ ایک حکومتی بیان بھی ہے۔
پروٹوکول نے وائٹ ہیٹ ہیکرز کے لیے ایک بانٹی بھی پیش کی ہے جو چوری شدہ فنڈز واپس لانے میں مدد کرنے کو تیار ہیں، جو حملے کے بعد بحالی کے لیے ایک معیاری لیکن اکثر موثر طریقہ کار ہے۔ حادثے کے فوراً بعد جاری کردہ عارضی حل کے حصے کے طور پر GG20 TSS کمزوریوں کو درست کرنے والے اضافی سیکورٹی پیچز لاگو کیے جا رہے ہیں۔
کراس چین خطرے کا وسیع تر نمونہ
کراس-چین پروٹوکولز ڈیسینٹرلائزڈ فنانس کے ایک منفرد طور پر خطرناک زاویے میں قائم ہیں۔ ان کا ڈیزائن مختلف بلاک چینز کے درمیان اثاثوں کو جوڑنا ہے، جس کا مطلب ہے کہ انہیں متعدد نیٹ ورکس کو ایک ساتھ شامل کرتے ہوئے کلیدیں، دستخط اور اکثریت کے مکینزمز کا انتظام کرنا پڑتا ہے۔ ہر اضافی چین ایک نئی حملے کی سطح ہے۔
2021 کے بعد سے بلاک چین کے شعبے میں ایکسپلوٹس کی وجہ سے اربوں ڈالر کا نقصان ہوا ہے، اور کراس-چین برجز لگاتار سب سے زیادہ ہدف بننے والی بنیادی ڈھانچہ رہے ہیں۔ THORChain خود پچھلے سالوں میں سیکیورٹی واقعات سے گزر چکا ہے، جس سے یہ حالیہ ایکسپلوٹ ایک منفرد واقعہ کے بجائے دہرائے جانے والے چیلنج کا حصہ بن جاتا ہے۔
دیکھیں، دو گھنٹے کا جواب دینے کا وقت اور خودکار مالی صلاحیت کی جانچ ایک غیر مرکزی نظام کے لیے حقیقت میں حیرت انگیز ہے۔ زیادہ تر روایتی مالی ادارے اس قدر جلدی ایک خلل کی شناخت اور اسے روکنے میں مشکل کا شکار ہو جائیں گے۔ لیکن اس بات کہ ایک نوڈ آپریٹر جس نے صرف 48 گھنٹے پہلے شمولیت اختیار کی تھی، وولٹ کے کلیدیں دوبارہ تعمیر کر سکتا ہے، اس سے آن بارڈنگ سیکورٹی اور چرنگ پروسیس میں ڈالے گئے اعتماد کے فرضیات کے بارے میں سنگین سوالات اٹھتے ہیں۔
اس کا سرمایہ کاروں کے لیے کیا مطلب ہے
ADR028 میں نو-ڈلیوشن کا عہد، ایک انویسٹر کے لیے سب سے زیادہ متعلقہ تفصیل ہے۔ RUNE ہولڈرز سے مہنگائی کے ذریعے نقصان برداشت کرنے کی درخواست نہیں کی جا رہی، جس سے ٹوکن کی فراہمی کے ڈائنانیمکس برقرار رہتے ہیں۔ ایک ایسے مارکیٹ میں جہاں پروٹوکول خزانہ اور ٹوکن معاشیات ایک ہیک کے بعد رات بھر میں تبدیل ہو سکتی ہیں، اس قسم کا واضح گارنٹی بہت اہمیت رکھتا ہے۔
لیکن اعتماد صرف وعدوں پر نہیں بنایا جا سکتا۔ سرمایہ کاروں کو یہ دیکھنا چاہیے کہ THORChain GG20 TSS کمزوریوں کو کتنی اثر بخش طریقے سے درست کرتی ہے اور کیا پروٹوکول نئے نوڈ آپریٹرز کے لیے سخت تر شرائط نافذ کرتا ہے۔ نیٹ ورک میں شامل ہونے اور 10.7 ملین ڈالر کے ایکسپلوٹ کو نافذ کرنے کے درمیان دو دن کا وقفہ یہ ظاہر کرتا ہے کہ خراب نیت والوں کے لیے داخلے کی رکاوٹ کو کافی طور پر سخت بنایا جانا چاہیے۔
تناسبی نقصان برداشت کرنے والے سنتیٹک ایسٹ ہولڈرز کو بھی نگرانی کی ضرورت ہے۔ اگر POL کے ریزروز مکمل 10.7 ملین ڈالر کو کور نہیں کر سکتے، تو سنتیٹک پوزیشنز پر ہیئرکٹ کا THORChain کے پولز میں لیکویڈٹی اور ٹریڈنگ سرگرمیوں پر اثر پڑ سکتا ہے۔ کم لیکویڈٹی عام طور پر اسپریڈس کو وسیع کرتی ہے اور پروٹوکول کو کراس چین سوپس کے لیے کم مقابلہ کرنے والا بناتی ہے۔
بروڈ DeFi مارکیٹ کے لیے، THORChain کا ریکوری انداز ایک پہل ڈال سکتا ہے۔ اگر ADR028 پروٹوکول کو بغیر ڈائلوشن کے اور لیکویڈیٹی ڈیپتھ کو بغیر مستقل نقصان کے بحال کر دے، تو یہ ایک ٹیمپلیٹ بن جائے گا جس کی طرف دوسرے پروجیکٹس اشارہ کر سکتے ہیں۔ اگر یہ کامیاب نہ ہو سکا، تو یہ متزاید ثبوت کا ایک اور نقطہ بن جائے گا کہ کراس-چین انفراسٹرکچر کو سینگل-چین پروٹوکولز کے مقابلے میں بنیادی طور پر مختلف سیکورٹی آرکیٹیکچر کی ضرورت ہے۔
فندز کی واپسی کے لیے بونٹی میں ایک وائلڈکارڈ شامل ہے۔ تاریخی طور پر، کچھ حملہ آوروں نے محاکمہ سے بچنے کے بدلے فنڈز واپس کر دیے ہیں۔ کیا اس معاملے میں حملہ آور اس سمجھوتے پر عمل کرے گا، یا پہلے ہی فنڈز کو مکسرز اور بریجز کے ذریعے منتقل کر چکا ہے، یہی طے کرے گا کہ اس $10.7 ملین کے deficit میں سے کتنی رقم حقیقت میں برداشت کرنی پڑے گی۔