Zano সম্প্রতি একটি পোস্টমর্টেমে সেই বাগটি প্রকাশ করেছে যা তাদের অসাধারণ ৩০ দিনের ব্লকচেইন রিওয়াইন্ড করতে বাধ্য করেছিল। একজন আক্রমণকারী গেটওয়ে ঠিকানায় থাকা একটি যাচাইকরণ অনুপস্থিতি কাজে লাগিয়ে একক লেনদেনে প্রায় ১৮.৪ মিলিয়ন ZANO তৈরি করেছিল, তারপর একই কৌশল অবলম্বন করে fUSD-র ক্ষেত্রেও একই কাজ করেছিল। প্রথম এক্সপ্লয়েটটি প্রায় এক মাস ধরে অজানা থেকে যায়, আর Zano-এর নিজস্ব গোপনীয়তা ব্যবস্থা নকল কয়েন্টগুলোকে বৈধ কয়েন্ট থেকে পৃথক করা ক্রমেই কঠিন করে তোলে।
জানো বলছে, ২০০ মিলিয়ন ডলারের অবৈধ টোকেন ৩০ দিনের ব্লকচেইন রিওয়াইন্ডের কারণ হয়েছে।
লেখক
শেয়ার
মূল বিষয়গুলো
- Zano প্রকাশ করেছে যে একটি এক্সপ্লয়েট লেনদেন প্রায় ১৮.৪ মিলিয়ন ZANO তৈরি করেছে, এবং এর পরে আরও টোকেন তৈরি হয়েছে।
- Zano সম্ভাব্য দূষিত কার্যকলাপ 117,941টি আউটপুট এবং 65,301টি লেনদেনে অনুসন্ধান করেছে।
- Zano দল ব্যাখ্যা করেছে যে প্রভাবিত ব্যালেন্সগুলো ZANO সরবরাহ পরিবর্তন না করেই পুনরুদ্ধার করা হবে।
একটি চেক অনুপস্থিত, ১৮.৪ মিলিয়ন ZANO
Zano-এর ৩০ দিনের ব্লকচেইন রিওয়াইন্ড ইতিমধ্যেই চরম মনে হচ্ছিল। এখন দলটি ব্যাখ্যা করেছে এর পেছনে আসলে কী লুকিয়ে ছিল, এবং এর মেকানিক্স সম্ভবত আরও অদ্ভুত। হার্ড ফর্ক ৬-এ প্রবর্তিত একটি ত্রুটি ২৯ আগস্ট থেকে নেটওয়ার্ককে আসল হিসেবে গ্রহণ করতে সক্ষম এমন কয়েন তৈরি করার সুযোগ দিয়েছিল।
ডেভ টিমের মতে, প্রথম বাস্তব এক্সপ্লয়েট একটি একক লেনদেনে 2^64 বেস ইউনিট, প্রায় 18.4 মিলিয়ন ZANO তৈরি করেছিল। প্রায় এক মাস ধরে কেউই এটি ধরতে পারেনি। ২৫শে সেপ্টেম্বরে Zano-এর অভ্যন্তরীণ টুলগুলো যখন সতর্ক সংকেত দেয়, তখন নকল সরবরাহটি ইচ্ছাকৃতভাবে লেনদেন ট্রেস করা কঠিন করে তুলতে তৈরি করা একটি গোপনীয়তা সিস্টেমের ভিতরে জটিলভাবে জড়িয়ে পড়েছিল।
সমস্যা শুরু হয় গেটওয়ে অ্যাড্রেস নিয়ে, যা হার্ড ফর্ক ৬-এ প্রবর্তিত একটি নতুন ঠিকানা ধরন, যাতে Zano-কে কেন্দ্রীভূত এক্সচেঞ্জ (CEX) প্ল্যাটফর্ম, ব্রিজ এবং অন্যান্য সেবার সাথে একীভূত করা সহজ হয়। গেটওয়ে আউটপুটে পরিমাণ এবং অ্যাসেট আইডি প্রকাশ পায়, যা Zano-এর স্ট্যান্ডার্ড গোপনীয় আউটপুটের বিপরীতে, যেখানে উভয়ই লুকানো থাকে।
তবে বাস্তবায়নে একটি গুরুত্বপূর্ণ যাচাইকরণ অনুপস্থিত ছিল। Zano জানিয়েছে যে একজন আক্রমণকারী এমন একটি বিশেষভাবে গণনা করা সম্পদ শনাক্তকারী তৈরি করতে পারে যা নেটওয়ার্কের লেনদেন প্রমাণগুলো সন্তুষ্ট করে, একই সাথে লুকানো আউটপুটে ইচ্ছামতো পরিমাণ ঢুকিয়ে দিতে পারে।
"সংক্ষেপে, প্রতিটি Zano লেনদেনকে প্রমাণ করতে হবে যে কয়েনগুলো ঐকমত্যের নিয়ম অনুযায়ী তৈরি হয়েছে," দলটি ব্যাখ্যা করেছে। "একটি যাচাইকরণ অনুপস্থিত থাকায়, একজন আক্রমণকারী এই প্রমাণটি সন্তুষ্ট করতে পারতো এবং লেনদেনের মধ্যে অতিরিক্ত কয়েন 'লুকিয়ে' রাখতে পারতো।"
সেই কয়েনগুলো সাজসজ্জামূলক হিসাব-নিকাশের এন্ট্রি ছিল না। দলটি বলেছে:
"এই কয়েনগুলো আসল ZANO হিসেবে কাজ করত এবং স্বাভাবিকভাবেই ব্যয় করা যেত।"
প্রথম মিন্ট প্রায় এক মাস নীরবে ছিল
আক্রমণকারী ২৮ আগস্ট একটি গেটওয়ে ঠিকানা নিবন্ধন করে প্রয়োজনীয় ১০০ ZANO ফি পরিশোধ করে এবং স্পষ্টতই পরীক্ষা করেছিল যে Zano কি একটি কৃত্রিম অস্তিত্বহীন সম্পদ গ্রহণ করবে। পরের দিন, আক্রমণকারী তার আসল রূপ দেখিয়ে দিল।
একটি লেনদেনে প্রায় ১৮.৪ মিলিয়ন ZANO তৈরি হয়েছিল, যার বর্তমান মূল্য প্রায় ১০২ মিলিয়ন ডলার। প্রায় এক মাস পর, ২৪ সেপ্টেম্বর, আক্রমণকারী মাত্র ০.০৫ ZANO করে দুটি বৈধ আমানত করেছিল, সম্ভবত সাধারণ আমানত পথ পরীক্ষা করার জন্য। ২৫ সেপ্টেম্বর, আরও ১৮.৪ মিলিয়ন ZANO তৈরি করা হয়, এরপর fUSD স্টেবলকয়েন ব্যবহার করে একই 2^64-বেস-ইউনিট কৌশল প্রয়োগ করা হয়। সব মিলিয়ে, এটি ২০০ মিলিয়ন ডলারেরও বেশি মূল্যের অবৈধ ক্রিপ্টো টোকেন।
এখানে আসল মজার বিষয়। হার্ড ফর্ক ৬-এর আগে Zano কৃত্রিম বুদ্ধিমত্তা (AI)-সহায়িত পরীক্ষা, টিম অডিট এবং বাগ বাউন্টি প্রোগ্রাম পরিচালনা করেছিল। কোনোটিই এই দুর্বলতা ধরতে পারেনি।
"প্রাথমিক এক্সপ্লয়েটটি প্রায় এক মাস ধরে অজানা থেকে গিয়েছিল কারণ বাড়তি আউটপুটটি অন্য যে কোনো ব্যক্তিগত আউটপুটের মতোই দেখাচ্ছিল," দলটি বলেছে।
গোপনীয়তা তার কাজ করেছে, এবং সেটাই সমস্যা হয়ে দাঁড়ালো
একবার নকল কয়েনগুলো Zano-এর গোপনীয় লেনদেন সিস্টেমে প্রবেশ করলে, সেগুলো ঠিক কোথায় গিয়েছে তা শনাক্ত করা ভিন্ন একটি বিষয় হয়ে দাঁড়ায়। রিং স্বাক্ষর ব্যয়কে অন্যান্য আউটপুটের সাথে মিশিয়ে দেয়, ফলে প্রতিবার কয়েনগুলো স্থানান্তরিত হলে অনিশ্চয়তা ছড়িয়ে পড়ে।
জানো তিনটি মিন্টিং লেনদেনের সাথে সম্ভাব্যভাবে যুক্ত প্রতিটি আউটপুট স্ক্যান করেছে। ব্লক ৩,৮৭৮,৩৮৮ পর্যন্ত সেই ট্রেইল ৬৫,৩০১টি লেনদেনের মাধ্যমে তৈরি ১১৭,৯৪১টি আউটপুট স্পর্শ করেছে। প্রথম মিন্ট থেকে পরবর্তীতে প্রায় ১৬৫,৭০০টি আউটপুট তৈরি হয়েছিল, যা ওই সময়ের নেটওয়ার্ক কার্যকলাপের প্রায় ৭১% প্রতিনিধিত্ব করে।
"এটাই গোপনীয়তা প্রত্যাশিতভাবে কাজ করছে," জানো বলেন। "জানো টিমসহ কেউই সঠিকভাবে নির্ধারণ করতে পারে না কোন আউটপুটগুলো প্রভাবিত হয়েছে।"
এতে প্রকল্পটি জটিল পরিস্থিতিতে পড়ে। ব্যবহারকারীরা Zano থেকে যে গোপনীয়তা বৈশিষ্ট্য আশা করেছিল, সেগুলো ডেভেলপারদের বৈধ কয়েনগুলো অননুমোদিত কয়েন থেকে সুনির্দিষ্টভাবে পৃথক করতে বাধা দিয়েছিল। "সরবরাহের অখণ্ডতা যাচাই করার একমাত্র উপায় হল প্রথম এক্সপ্লয়েটের আগে কোনো একটি পয়েন্ট থেকে চেইন চালিয়ে যাওয়া," দলটি বিস্তারিতভাবে জানিয়েছে।
এক মাসের কার্যক্রম বাতিল, এবং পুনরুদ্ধার শুরু
সেই পয়েন্টটি ছিল ব্লক ৩,৮৩৩,০০০, হার্ড ফর্ক ৬-এর আগে। হার্ড ফর্ক ৭ সেখান থেকেই চেইনটি পুনরায় চালু করেছিল এবং গেটওয়ে অ্যাড্রেসগুলো নিষ্ক্রিয় করেছিল, যার অর্থ প্রভাবিত সময়ের লেনদেন, স্টেকিং পুরস্কার এবং খননকৃত ব্লকগুলো আর আপডেটকৃত লেজার-এ নেই।
জানো আরও বলেছেন যে প্রভাবিত ব্যালেন্সগুলো ZANO-এর সরবরাহ বা ইস্যু সময়সূচি পরিবর্তন না করেই সম্পূর্ণরূপে পুনরুদ্ধার করা হবে। তহবিল আসবে ডেভেলপমেন্ট ফান্ড, দলের সদস্যদের ব্যক্তিগত অর্থ এবং বাইরের অবদানকারীদের কাছ থেকে। এক্সচেঞ্জগুলোকে এখন এক মাসের সমস্ত লেনদেন, একটি একটি করে, পর্যালোচনা করে তারপরই অ্যাক্সেস পুনরায় খুলতে হবে।
"এখন কোনো পদক্ষেপ নেওয়ার প্রয়োজন নেই," দলটি তাদের সামাজিক যোগাযোগমাধ্যমের চ্যানেলে ব্যবহারকারীদের জানিয়েছে।
এই নিবন্ধটি AI ব্যবহার করে ইংরেজি থেকে অনুবাদ করা হয়েছে। মূল ইংরেজি সংস্করণটি নির্ভরযোগ্য উৎস; স্বয়ংক্রিয় অনুবাদে ভুল থাকতে পারে, বিশেষ করে আইনি ও নিয়ন্ত্রক পরিভাষায়।
