ریپل سی ٹی او کا کہنا ہے کہ آر ایل یو ایس ڈی کی تشخیص نے اسی خطرے کو بے نقاب کیا جس نے کیلپ ڈی اے او سے $292M نکالا

ڈیوڈ شوارٹز، ریپل کے سی ٹی او ایمریٹس، نے اس ہفتے Kelp DAO rsETH پل کا تقریباً 292 ملین ڈالر کا استحصال کرنے کے بعد ایک واضح مشاہدہ کیا۔

اس نے یہ آتے دیکھا تھا۔ یہ مخصوص حملہ نہیں بلکہ ان حالات کی وجہ سے ممکن ہوا۔

"میں نے RLUSD کے استعمال کے لیے بہت سے DeFi برجنگ سسٹمز کا جائزہ لیا،" Schwartz نے X پر لکھا۔ "میں تقریباً خصوصی طور پر سیکورٹی اور خطرے کے پہلو پر توجہ مرکوز کر رہا تھا۔ ایک چیز جو میں نے نوٹ کی وہ یہ ہے کہ زیادہ تر اسکیمیں بہت اچھی طرح سے ڈیزائن کی گئی تھیں اور ان کے پاس بالکل اس قسم کے حملے سے حفاظت کے لیے واقعی مضبوط میکانزم موجود تھے جو KelpDAO کی صورت حال کی وجہ سے ہوئی ہے۔"

سیلز پچ جس نے حفاظتی خصوصیات کو دفن کردیا۔

شوارٹز نے جو بیان کیا ہے وہ ایک ایسا نمونہ ہے جس کا اس نے اپنے تشخیصی عمل کے دوران بار بار سامنا کیا۔ برج فراہم کرنے والے اپنی جدید ترین حفاظتی خصوصیات کو نمایاں طور پر پیش کریں گے، پھر تقریباً فوراً تجویز کریں گے کہ وہ خصوصیات اختیاری تھیں اور زیادہ تر صارفین نے انہیں استعمال نہ کرنے کا انتخاب کیا۔

"انہوں نے عام طور پر سب سے اہم حفاظتی میکانزم کو استعمال کرنے کی زحمت نہ کرنے کی سفارش کی کیونکہ ان میں سہولت اور آپریشنل پیچیدگی کے اخراجات ہوتے ہیں،" انہوں نے لکھا۔ "ہمیں اکثر سادگی اور مزید زنجیروں کو شامل کرنے میں آسانی پیدا کی جاتی تھی اس مفروضے کے ساتھ کہ ہم ان کے پاس موجود بہترین حفاظتی خصوصیات کو استعمال کرنے کی زحمت نہیں کریں گے۔"

انہوں نے کہا، "ان کی سیلز پچ یہ تھی کہ ان کے پاس بہترین سیکیورٹی فیچرز ہیں لیکن وہ استعمال کرنے اور پیمانہ کرنے میں آسان ہیں، یہ فرض کرتے ہوئے کہ آپ سیکیورٹی فیچر استعمال نہیں کرتے،" انہوں نے کہا۔

کیلپ ڈی اے او کو اصل میں کیا ہوا؟

19 اپریل کو، Kelp DAO نے rsETH پر مشتمل مشکوک کراس چین سرگرمی کی نشاندہی کی اور مین نیٹ اور ایک سے زیادہ پرت 2 نیٹ ورکس میں معاہدوں کو روک دیا۔ تقریباً 116,500 rsETH کو LayerZero سے متعلقہ کنٹریکٹ کالز کے ذریعے نکالا گیا، جس کی قیمت موجودہ قیمتوں پر تقریباً 292 ملین ڈالر ہے۔

D2 فائنانس کے آن چین تجزیہ نے سورس چین پر نجی کلید کے لیک ہونے کی اصل وجہ کا پتہ لگایا، جس سے OApp نوڈس کے ساتھ اعتماد کا مسئلہ پیدا ہوا جس کا حملہ آور نے پل میں ہیرا پھیری کے لیے استعمال کیا۔

شوارٹز نے پروٹوکول کی سطح پر ممکنہ طور پر کیا غلط ہوا اس کے بارے میں اپنا مفروضہ پیش کیا۔ "مجھے ایک مضحکہ خیز احساس ہے کہ مسئلہ کا حصہ کچھ ایسا ہونے والا ہے جیسے KelpDAO نے سہولت سے باہر کلیدی LayerZero سیکیورٹی خصوصیات کو استعمال نہ کرنے کا انتخاب کیا ہے،" انہوں نے لکھا۔

LayerZero خود مضبوط حفاظتی میکانزم پیش کرتا ہے جس میں وکندریقرت تصدیقی نیٹ ورکس شامل ہیں۔ سوال کے تفتیش کار اب اس بات کی جانچ کر رہے ہیں کہ آیا Kelp DAO نے کم سے کم حفاظتی سیٹ اپ کا استعمال کرتے ہوئے اپنے نفاذ کو ترتیب دیا، خاص طور پر LayerZero Labs کے ساتھ واحد تصدیق کنندہ کے طور پر ناکامی کا ایک نقطہ، بجائے اس کے کہ دستیاب زیادہ پیچیدہ لیکن نمایاں طور پر زیادہ محفوظ آپشنز۔