হ্যাকাররা শুক্রবার দেরিতে বিকেন্দ্রীভূত জিরো-নলেজ (ZK) প্রুভিং নেটওয়ার্ক জিরোবেসের ফ্রন্ট-এন্ড ইন্টারফেসের নিয়ন্ত্রণ নিয়েছে, যার ফলে ২৭০ জনেরও বেশি ব্যবহারকারীর ক্ষতি হয়েছে এবং ২৪০,০০০ ডলারেরও বেশি মূল্যের USDT চুরি হয়েছে।
অন-চেইন অনুসন্ধানকারী লুকনচেইনের মতে, গতকাল ইউটিসি সময় দুপুর ২:৩০ এর আশেপাশে বেশ কয়েকজন ব্যবহারকারী অফিসিয়াল জিরোবেস ইন্টারফেস বলে মনে হওয়া কিছুর সাথে ইন্টারঅ্যাকশনের পরে অননুমোদিত ফান্ড মুভমেন্টের রিপোর্ট করেছেন।
আক্রমণকারীরা অন্তর্নিহিত ব্লকচেইন ইনফ্রাস্ট্রাকচার ভেদ করেনি, কিন্তু প্ল্যাটফর্মের ফ্রন্ট-এন্ড এক্সপ্লয়েট করেছে যা সরাসরি ওয়েব ইন্টারফেসের মাধ্যমে অ্যাক্সেস করা যেত। তারা জিরোবেসকে অনুকরণ করার জন্য BNB চেইনে একটি ফিশিং স্মার্ট কন্ট্রাক্ট ডিপ্লয় করেছে, যা ব্যবহারকারীদের তাদের ওয়ালেট সংযোগ করতে এবং USDT খরচ করার অনুমতি দিতে প্রতারিত করেছে।
একবার অনুমোদন দেওয়া হলে, আক্রমণকারীরা আরও ব্যবহারকারী ইন্টারঅ্যাকশন ছাড়াই তহবিল সরিয়ে নিতে সক্ষম হয়েছিল, লুকনচেইন জানিয়েছে যে শুধুমাত্র একজন প্রভাবিত ব্যবহারকারী ১২৩,৫৯৭ USDT হারিয়েছেন।
জিরোবেস ইন্টারফেসে ফ্রন্ট-এন্ড আক্রমণে $২৪০K ক্ষতি
ব্লকচেইন সাইবার সিকিউরিটি প্ল্যাটফর্ম হ্যাশডিটের মতে, ঘটনার সাথে যুক্ত ম্যালিশিয়াস কন্ট্রাক্ট ঠিকানা হিসাবে 0x0dd28fd7d343401e46c1af33031b27aed2152396 চিহ্নিত করা হয়েছিল। কন্ট্রাক্টটি বিশেষভাবে ওয়ালেট সংযোগ হাইজ্যাক করতে এবং অনুমোদিত টোকেন বের করে নিতে তৈরি করা হয়েছিল।
জিরোবেসের হ্যাক নিয়মিত স্মার্ট কন্ট্রাক্ট এক্সপ্লয়েট থেকে আলাদা ছিল, কারণ একটি ফ্রন্ট-এন্ড কম্প্রোমাইজের জন্য ব্লকচেইনের নিরাপত্তার সাথে ছেড়ছিড়ি করার জন্য একজন ব্রিচারের প্রয়োজন হয় না। তারা ইন্টারফেস ম্যানিপুলেট করতে পারে এবং লেনদেন আটকাতে বা অনুমোদন থাকলে সম্পদ পুনঃনির্দেশিত করতে ম্যালিশিয়াস কোড যোগ করতে পারে।
এই আক্রমণগুলি ব্যবহারকারী ইন্টারঅ্যাকশন লেয়ারে ঘটে, তাই তাদের তহবিল পুনঃনির্দেশিত হওয়ার সময়েও নন-টেকনিক্যাল ব্যবহারকারীদের জন্য এটি সনাক্ত করা কঠিন হতে পারে। লুকনচেইন প্রভাবিত ব্যবহারকারীদের অবিলম্বে তাদের ওয়ালেট অনুমতিগুলি পর্যালোচনা করতে এবং তাদের ওয়ালেট থেকে যেকোনো সন্দেহজনক বা অপ্রয়োজনীয় কন্ট্রাক্ট অনুমোদন সরাতে revoke.cash বা অনুরূপ পরিষেবা ব্যবহার করার আহ্বান জানিয়েছে।
জিরোবেস X-এ একটি পোস্টে সমস্যাটি স্বীকার করেছে, যারা ম্যালিশিয়াস কন্ট্রাক্টের সাথে ইন্টারঅ্যাক্ট করেছেন তাদের সতর্ক করেছে এবং যোগ করেছে যে এটি প্রভাবিত ওয়ালেটগুলির জন্য স্বয়ংক্রিয় সুরক্ষা ব্যবস্থা প্রয়োগ করেছে।
"যখন আপনি ZEROBASE স্টেকিং অ্যাক্সেস করবেন, যদি আপনার ওয়ালেট এই কন্ট্রাক্টের সাথে ইন্টারঅ্যাক্ট করেছে বলে সনাক্ত করা হয়, তাহলে সিস্টেম স্বয়ংক্রিয়ভাবে ফিশিং কন্ট্রাক্টের অনুমোদন প্রত্যাহার না করা পর্যন্ত জমা এবং উত্তোলন ব্লক করবে," কোম্পানি লিখেছে।
বাইন্যান্স ওয়ালেট টিমও নিশ্চিত করেছে যে এটি ম্যালিশিয়াস অ্যাক্টিভিটি হোস্ট করার সন্দেহে ওয়েবসাইট ডোমেন ব্লক করেছে। এটি আরও অনুমোদন ঝুঁকি রোধ করতে সংশ্লিষ্ট কন্ট্রাক্টগুলিকেও ব্ল্যাকলিস্ট করেছে এবং প্রভাবিত ব্যবহারকারীদের ৩০ মিনিটের মধ্যে স্বয়ংক্রিয়ভাবে সতর্কতা পাঠাবে যাতে তারা তাদের অনুমোদনগুলি পর্যালোচনা করতে পারে।
"আমরা পরিস্থিতি পর্যবেক্ষণ চালিয়ে যাব এবং ব্যবহারকারীর নিরাপত্তা নিশ্চিত করতে প্রয়োজনীয় ব্যবস্থা গ্রহণ করব। আমরা যত তাড়াতাড়ি সম্ভব আরও আপডেট শেয়ার করব," বাইন্যান্স টিম উল্লেখ করেছে।
আপবিট হ্যাক আবিষ্কারের পরে বাইন্যান্সের উত্তর দেওয়ার প্রশ্ন
জিরোবেস ঘটনাটি নভেম্বরের শেষের দিকে ঘটে যাওয়া আপবিট এক্সচেঞ্জ হ্যাকের প্রতিক্রিয়া নিয়ে বাইন্যান্সের সমালোচনার পটভূমিতে আসে। ক্রিপ্টোপলিটান রিপোর্ট করেছে যে দক্ষিণ কোরিয়ার নিয়ন্ত্রকরা ভলিউম অনুসারে বিশ্বের বৃহত্তম এক্সচেঞ্জকে আপবিট থেকে ফ্রিজ অনুরোধের সাথে আংশিকভাবে সম্মতি দেওয়ার অভিযোগ করেছে।
২৭ নভেম্বর হ্যাকাররা এক্সচেঞ্জ থেকে উল্লেখযোগ্য পরিমাণ ডিজিটাল সম্পদ চুরি করে এবং পরে হাজারেরও বেশি ওয়ালেটের মাধ্যমে তহবিল লন্ডার করে। সেই একই দিনে, দক্ষিণ কোরিয়ার পুলিশ এবং আপবিট আনুষ্ঠানিকভাবে বাইন্যান্সকে তার প্ল্যাটফর্মে ট্রেস করা প্রায় ৪৭০ মিলিয়ন ওয়ান মূল্যের চুরি যাওয়া সোলানা টোকেন ফ্রিজ করার অনুরোধ করে।
বাইন্যান্স কোনো পদক্ষেপ নেওয়ার আগে "তথ্য যাচাই" করার প্রয়োজনীয়তার উল্লেখ করে মাত্র ৮০ মিলিয়ন ওয়ান, বা অনুরোধকৃত পরিমাণের প্রায় ১৭% ফ্রিজ করেছিল। দক্ষিণ কোরিয়ার কর্তৃপক্ষকে জানানো হয়েছিল যে প্রাথমিক অনুরোধ জমা দেওয়ার ১৫ ঘন্টা পরে, ২৭ নভেম্বর মধ্যরাতের আশেপাশে ফ্রিজ সম্পন্ন হয়েছে।
আপবিট পরে প্রকাশ করেছে যে অপরাধীরা তার সোলানা-ভিত্তিক হট ওয়ালেটে একটি দুর্বলতা এক্সপ্লয়েট করেছিল, এক ঘন্টারও কম সময়ে ২৪টি সোলানা ইকোসিস্টেম টোকেন থেকে তহবিল সরিয়ে নিয়েছিল। আক্রমণ থেকে ক্ষতি ৪৪.৫ বিলিয়ন ওয়ান, সেই সময়ে প্রায় ৩৩ মিলিয়ন ডলারের সমতুল্য বলে অনুমান করা হয়েছিল।
এক্সচেঞ্জ পরে নিশ্চিত করেছে যে অভ্যন্তরীণ রিজার্ভ ব্যবহার করে সমস্ত গ্রাহকের ক্ষতি কভার করা হবে, প্ল্যাটফর্ম নিরাপত্তা সম্পর্কে বর্ধিত উদ্বেগের মধ্যে ব্যবহারকারীদের আশ্বস্ত করার চেষ্টা করছে।
একটি পৃথক কিন্তু সম্পর্কিত ব্লকচেইন নিরাপত্তা ঘটনায়, ব্লকচেইন নিরাপত্তা সংস্থা CertiK শুক্রবারে 0G ল্যাবস থেকে অস্বাভাবিক উত্তোলনের সাথে যুক্ত সন্দেহজনক টর্নেডো ক্যাশ ডিপোজিট সনাক্ত করেছে।
একটি অচিহ্নিত পক্ষ একটি বিশেষাধিকারপ্রাপ্ত emergencyWithdraw ফাংশন ব্যবহার করে প্রায় ৫২০,০০০ 0G টোকেন, যার মূল্য প্রায় ৫১৬,০০০ ডলার, উত্তোলন করেছে। তহবিলগুলি প্রথমে ঠিকানা 0x617E8e3C07bEF319F26C1682270A19e89Ea2bf75-এ স্থানান্তর করা হয়েছিল।
Bybit-এ এখন সাইন আপ করলে ক্রিপ্টো ট্রেড করার জন্য $৫০ ফ্রি পান
Source: https://www.cryptopolitan.com/zerobase-front-end-hacked/
