📚 Aevo میں اوراکل سیٹنگ کی غلطی کی وجہ سے ہونے والی فنڈز کی نکاسی ✅ خلاصہ Aevo میں شامل کیے گئے پرانے ربن فنانس کے ویولٹ میں، اوراکل سیٹنگ کے اپ ڈیٹ کی غلطی کی وجہ سے تقریباً 27 لاکھ ڈالر کے فنڈز کی نکاسی ہو گئی۔ یہ کوئی ہائی ٹیک ہیکنگ کا معاملہ نہیں تھا بلکہ ایک انتظامی اور قیمت کی گنتی کے سیٹنگ کی غلطی کی وجہ سے ہوا۔ پرانے ڈیزائن اور نئے اپ ڈیٹ کے درمیان فاصلہ کس طرح ایک اہم نتیجہ کا باعث بن سکتا ہے، اس کا تجزیہ کیا گیا ہے۔ ✅ ربن سے Aevo تک شامل کرنے کی پس منظر ربن فنانس کو دی ایف آئی آپشن کا ایک ابتدائی پروٹوکول سمجھا جاتا ہے، جو بعد میں Aevo میں شامل کر دیا گیا۔ یہ شامل کرنے کا معاملہ سروس کے اختتام کا معاملہ نہیں تھا بلکہ موجودہ ویولٹ کو Aevo کے اہم کام کے طور پر جاری رکھنے کا فیصلہ کیا گیا۔ اس لیے، پرانے ویولٹ اب بھی ایتھریم پر چل رہا ہے اور اس میں فنڈز بھی موجود ہیں۔ ✅ اوراکل اپ ڈیٹ کا مسئلہ 2025 کے دسمبر میں، Aevo نے پرانے ربن ویولٹ کے اوراکل سیٹنگ کو اپ ڈیٹ کیا۔ اوراکل قیمت کی معلومات کو اسمارٹ کانٹریکٹس تک پہنچانے کا اہم نظام ہے۔ لیکن اس اپ ڈیٹ کے بعد، انتظامی اجازت کی جانچ ختم ہو گئی اور کوئی بھی شخص قیمت یا اپلائی کرنے والے کو تبدیل کر سکتا تھا۔ یہ ایک قفل کو کھولے رکھنے کی طرح تھا۔ ✅ انتظامی غلطی اور قیمت کی گنتی کا فرق اپ ڈیٹ کے بعد کے اوراکل 18 ہندسے کی اعشاریہ کی توقع کر رہا تھا، لیکن ویولٹ میں 8 ہندسے کی اعشاریہ کے پرانے اثاثے موجود تھے۔ یہ فرق قیمت کی گنتی کے فرق کا باعث بن گیا اور حملہ آور نے واقعی قیمت سے بہت زیادہ قیمت کا تعین کر سکا۔ اس کے علاوہ، اوراکل کے مالکانہ حقوق کی منتقلی صرف tx.origin (ٹرانزیکشن کا پہلا بھیجنے والا) کی بنیاد پر فیصلہ کی گئی تھی، اس لیے خاص کیس میں ویلت کے ذریعے واقعی انتظامی کے طور پر کام کیا جا سکتا تھا۔ ✅ حملے کا تسلسل حملہ آور نے پہلے غلطی کے شرائط کے مطابق آپشن کا مصنوعی تیار کیا، پھر اوراکل کے اپلائی کو موقت طور پر تبدیل کر کے قیمت کو تبدیل کر دیا۔ اس حالت میں oToken (آپشن کو ظاہر کرنے والے ٹوکن) کو استعمال کرنے کے بعد، ویولٹ نے درست کام کا احساس کیا اور بڑی مقدار میں WETH یا USDC کی ادائیگی کی۔ اس کام کو دوبارہ کرنے کے بعد ویولٹ کو بہت جلد خالی کر دیا گیا۔ ✅ فنڈز کی منتقلی اور چھپانے نکلے ہوئے فنڈز کو مختلف ویلٹس میں تقسیم کیا گیا اور مقررہ مقدار میں منتقل کیا گیا۔ یہ ایک پیچیدہ تعقیب کا طریقہ ہے، اور آخر میں اس کا مطلب مکس کرنے کے استعمال کا ہے۔ یہ ایک واحد شخص کا کام نہیں تھا بلکہ مختلف کرداروں کے ساتھ کام کر رہا تھا۔ ✅ Aevo کی طرف سے جوابی کارروائی اور الجھن Aevo نے واقعہ کے بعد پرانے ربن ویولٹ کو بند کر دیا۔ ابتدائی طور پر کچھ فنڈز کی واپسی کا ایک منصوبہ پیش کیا گیا تھا لیکن اس کی بنیاد غلط تھی اس لیے واپس لے لیا گیا۔ نتیجہ یہ ہوا کہ جو لوگ پہلے سے نکالنے کا کام کر چکے تھے اور جو لوگ ابھی تک ویولٹ میں فنڈز رکھے ہوئے تھے، ان کے درمیان واضح فرق ہو گیا۔ ✅ اس واقعہ کا مطلب یہ مسئلہ یہ ظاہر کرتا ہے کہ اسمارٹ کانٹریکٹ کے پرانے ہونے کی وجہ سے خطرہ نہیں ہوتا بلکہ چل رہے کوڈ کو "اصل میں استعمال نہیں ہو رہا" کہنے کی غلطی خطرناک ہو سکتی ہے۔ اگرچہ یہ غیر معمولی (Deprecated) ہو چکا ہو، لیکن اگر فنڈز موجود ہوں اور انتظامی کوڈ ہو تو یہ حملے کا نشانہ بن سکتا ہے۔ اپ ڈیٹ کے وقت پرانے ڈیزائن کو نظرانداز کرنا، سالوں کی سیکیورٹی کے اقدامات کو ایک لمحے میں ناکارہ بنا سکتا ہے۔