এক দশক পুরনো XRP লেজার বাগ শূন্য থেকে XRP তৈরি করতে পারতো

আসলে কী ভেঙে গিয়েছিল?

সমস্যাটি XRP লেজারের অন্তর্নির্মিত বিকেন্দ্রীকৃত এক্সচেঞ্জ (DEX)-এ পেমেন্ট নিষ্পত্তি করার কোডে ছিল। গতকাল প্রকাশিত অফিসিয়াল ভঙ্গুরতা প্রকাশ প্রতিবেদনের মতে, যখন একটি পেমেন্ট একাধিক অফার গ্রহণ করছিল, তখন ইঞ্জিনটি যাচাইবিহীন ৬৪-বিট গাণিতিক পদ্ধতি ব্যবহার করে পরিমাণগুলো যোগ করছিল।

সেই যোগফল যথেষ্ট বড় হলে তা "রাপ-অ্যারাউন্ড" হয়ে যায়, যা একটি পূর্ণসংখ্যা ওভারফ্লো-এর ফলে ঘটে। পরবর্তীতে একটি বিশাল সংখ্যা ছোট একটি সংখ্যায় পরিণত হয় এবং লেনদেনের অন্য পাশের বিক্রেতারা সম্পূর্ণ অর্থ পেয়ে যায়, কিন্তু ক্রেতাকে শুধুমাত্র র‍্যাপড, ক্ষুদ্র মোট পরিমাণই চার্জ করা হয়। এই পার্থক্যটি এমন XRP ছিল যা আগে কখনোই অস্তিত্বই ছিল না।

লেজার একটি নিরাপত্তা পরীক্ষা চালায়, যা ইনভারিয়েন্ট নামে পরিচিত, যা নিশ্চিত করার কথা যে কোনো XRP কখনো তৈরি হয় না। সেই পরীক্ষায় একই অনিরীক্ষিত গণিত ব্যবহার করা হয়েছিল, তাই এটি সেই সঠিক ত্রুটিটি ধরতে অক্ষম ছিল, যেটি ধরার জন্য এটি তৈরি করা হয়েছিল। রিপোর্টটি ত্রুটিটিকে বর্তমান পেমেন্ট ইঞ্জিনে খুঁজে পেয়েছে, যা ২০১৫ সালে লেখা হয়েছিল।

একটি আক্রমণ কতটা সস্তা হতে পারত?

রিপোর্টে বলা হয়েছে খরচ ছিল কয়েকশো XRP রিজার্ভ হিসেবে আটকে রাখা, যা অবজেক্টগুলো সরিয়ে ফেলার পর ফেরত দেওয়া হয়, প্লাস সাধারণ লেনদেন ফি। একজন আক্রমণকারীকে শত শত ইচ্ছাকৃতভাবে ভুল মূল্যে প্রস্তাব দিতে হতো এবং তারপর একটি পেমেন্ট সেগুলোর মধ্য দিয়ে রাউট করতে হতো।

লাভের অংশটাই ছিল সবচেয়ে ভয়ঙ্কর, কারণ RippleX এই বাগটিকে 'গুরুত্বপূর্ণ' বলেছে, কারণ একটি একক যাচাইকৃত লেনদেনে মোট সরবরাহের বাইরেও ব্যয়যোগ্য XRP তৈরি হতে পারত। XRP-এর পুরো প্রচারণা ১০০ বিলিয়ন টোকেনের কঠোর সীমার ওপর ভিত্তি করে, তাই একটি নীরব মিন্ট সম্পদের মূল প্রতিশ্রুতিকে আঘাত করতো। এ কারণেই Whale Insider-এর মতো পোস্টগুলো এটিকে একটি বাগ হিসেবে উপস্থাপন করেছিল যা "বিলিয়ন" XRP তৈরি করতে পারতো।

কে এটি আবিষ্কার করল এবং কত দ্রুত এটি ঠিক করা হল?

সময়সীমা ছিল বেশ সংক্ষিপ্ত এবং নিম্নরূপ:

• ২২ সেপ্টেম্বর: কেইডেন লিয়াও এবং ভেরিয়া এআই তাদের ফলাফল XRPL বাগ বাউন্টি প্রোগ্রামের মাধ্যমে জমা দিয়ে এটিকে "মেজর" হিসেবে রেট করেছিল।
• ২২ সেপ্টেম্বর: RippleX এটি পুনরায় তৈরি করে, এটিকে 'ক্রিটিক্যাল' স্তরে উন্নীত করে এবং ফিক্সটি মার্জ করা হয়।
• সেপ্টেম্বর ২৫: Xrpld 3.4.1 রিলিজ করা হয়, এবং সেই দিন ডিফল্ট ইউনিক নোড লিস্ট (UNL) ভ্যালিডেটরদের ৮০%-এর বেশি এটি চালাচ্ছিল।
• অক্টোবর ৯: সর্বজনীন প্রকাশ।

প্যাচটি স্বাভাবিক সংশোধনী ভোটে যায়নি, বরং রিলিজ 3.4.1-এ সরাসরি কোড পরিবর্তনের মাধ্যমে প্রয়োগ করা হয়েছিল এবং প্রতিটি সার্ভার আপগ্রেড করার সাথে সাথে কার্যকর হয়েছিল। সোর্স কোড শুধুমাত্র মোতায়েনের পর প্রকাশিত হয়েছিল, যা আক্রমণকারীদের কাছে মানচিত্র তুলে না দেওয়ার একটি মানক পদক্ষেপ। XRPL অপারেশনস অ্যাকাউন্ট তখন থেকে 3.4.1-কে ন্যূনতম প্রয়োজনীয় সংস্করণ হিসেবে নির্ধারণ করেছে, যোগ করে:

আমরা কোনো প্রমাণ পাইনি যে এই সমস্যাটি কোনো পাবলিক নেটওয়ার্কে শোষিত হয়েছে।

একই রিলিজে একটি দ্বিতীয়, কম-গুরুত্বপূর্ণ বাগও ঠিক করা হয়েছিল। এটি ব্যাচ লেনদেন কীভাবে মোড়ানো হয় তা নিয়ে ছিল, এবং এর সমাধান fixBatchV1_2 সংশোধনের পিছনে রয়েছে, যা ৯ অক্টোবর BatchV1_1-এর সাথে মেইননেটে লাইভ হয়েছিল। রিপোর্টে বলা হয়েছে ওই বাগ থেকেও কোনো তহবিল হারায়নি।

এই প্রকাশনাটি ক্রিপ্টো নিরাপত্তার জন্য একটি খারাপ সপ্তাহে ঘটে, যখন Ledger ডিভাইস হ্রাস, যা Bitcoin.com News রিপোর্ট করেছে, আনুমানিক $93.4 মিলিয়ন হয়েছে। অবশেষে, Ripple-সমর্থিত Evernorth সোমবার Nasdaq-এ XRPN টিকার অধীনে ট্রেডিং শুরু করার প্রস্তুতি নিচ্ছে, যার কাছে প্রায় ৪৭৩ মিলিয়ন XRP রয়েছে। XRP বিকেন্দ্রীকৃত ফাইন্যান্স (DeFi)-এও সম্প্রসারণ করছে, যেখানে সম্প্রতি Firelight নেটওয়ার্কে ভল্ট সুরক্ষা সক্রিয় করেছে।