ম্যাচা মেটা $১৬.৮M ক্ষতির পর হ্যাক নিশ্চিত করেছে

Web3 নিরাপত্তা প্ল্যাটফর্ম PeckShield-এর মতে, 0x দ্বারা নির্মিত সোয়াপ এবং ব্রিজ অ্যাগ্রিগেশন প্ল্যাটফর্ম Matcha Meta একটি SwapNet নিরাপত্তা লঙ্ঘনের কারণে $16.8 মিলিয়ন ডিজিটাল সম্পদ হারিয়েছে।

Matcha Meta সোমবার প্রকাশ করেছে যে সপ্তাহান্তে এটি একটি নিরাপত্তা আক্রমণের শিকার হয়েছে, যেখানে আক্রমণকারীরা Matcha Meta-র ইন্টারফেসে একীভূত SwapNet নামক একটি বাহ্যিক অ্যাগ্রিগেটর থেকে টোকেন প্রতারণা করেছে। প্ল্যাটফর্মটি জানিয়েছে যে যেসব ব্যবহারকারী এর "One-Time Approvals" বৈশিষ্ট্যটি নিষ্ক্রিয় করেছেন এবং পৃথক অ্যাগ্রিগেটরদের সরাসরি টোকেন অনুমতি দিয়েছেন তারা তাদের তহবিল হারানোর ঝুঁকিতে ছিলেন।

সোয়াপ অ্যাগ্রিগেটরের X-এ প্রদত্ত বিবৃতিতে, MM জানিয়েছে যে SwapNet-এর রাউটার কন্ট্র্যাক্ট থেকে বড় আকারের, অননুমোদিত টোকেন স্থানান্তরের রেকর্ড লেনদেন রেকর্ডে দেখা যাওয়ার পর এটি সন্দেহজনক কার্যকলাপ সম্পর্কে সচেতন হয়েছে। প্ল্যাটফর্মটি নিশ্চিত করেছে যে এটি SwapNet দলের সাথে যোগাযোগ করেছে, যারা আরও ক্ষতি রোধ করতে "সাময়িকভাবে তার কন্ট্র্যাক্টগুলি নিষ্ক্রিয় করেছে"। 

Matcha Meta হ্যাকার ভিকটিমদের কাছ থেকে 3k Ether কয়েন সোয়াপ করেছে

ব্লকচেইন নিরাপত্তা প্রতিষ্ঠান PeckShield-এর মতে, আক্রমণকারী টোকেন অনুমোদন এবং সোয়াপের মাধ্যমে তহবিল নিষ্কাশন করেছে। তারা Base, একটি Ether লেয়ার-2 ব্লকচেইনে ভিকটিম ঠিকানা থেকে প্রায় 10.5 মিলিয়ন USDC স্থানান্তরিত করেছে, তারপর স্টেবলকয়েনগুলি 3,655 Ether-এ সোয়াপ করেছে, মূল্যকে আরও তরল সম্পদে একীভূত করেছে।

সোয়াপ সম্পন্ন করার পর, আক্রমণকারী যেকোনো লেনদেনের চিহ্ন লুকাতে Base থেকে Ethereum মেইননেটে Ether ব্রিজিং শুরু করেছে। ব্রিজিং হল স্মার্ট কন্ট্র্যাক্ট বা মধ্যস্থতাকারী প্রোটোকল ব্যবহার করে ব্লকচেইনের মধ্যে সম্পদ স্থানান্তর করার প্রক্রিয়া। যদিও এটি বেশিরভাগ ক্ষেত্রে "বৈধ" হিসাবে বিবেচিত হয়, হ্যাকাররা এটি ব্যবহার করে কারণ এটি তাদের কার্যক্রম ট্র্যাক করা প্রায় অসম্ভব করে তোলে।

অপরাধী পূর্বে ব্যবহারকারীর স্বাক্ষর ছাড়াই তহবিল স্থানান্তরের জন্য টোকেন অনুমতি প্রদান করেছিল, যা একটি স্মার্ট কন্ট্র্যাক্টকে তাদের টোকেন খরচ করার অনুমতি প্রদান করে। যদি একটি অনুমতি সীমাহীন সেট করা হয়, তবে একটি দূষিত বা আপসকৃত কন্ট্র্যাক্ট ব্যালেন্স শেষ না হওয়া পর্যন্ত তহবিল নিষ্কাশন করতে পারে। 

Matcha Meta জানিয়েছে যে যেসব ব্যবহারকারী তার One-Time Approval সিস্টেম ব্যবহার করে প্ল্যাটফর্মের সাথে ইন্টারঅ্যাক্ট করেছেন তারা প্রভাবিত হননি। সেই বৈশিষ্ট্যটি 0x-এর AllowanceHolder এবং Settler কন্ট্র্যাক্টের মাধ্যমে টোকেন অনুমতি রুট করে, একক লেনদেনের জন্য অনুমোদন প্রদান করে একজন ট্রেডারের এক্সপোজার সীমিত করে। 

"0x-এর প্রোটোকল দলের সাথে পর্যালোচনার পর, আমরা নিশ্চিত করেছি যে ঘটনার প্রকৃতি 0x-এর AllowanceHolder বা Settler কন্ট্র্যাক্টের সাথে সম্পর্কিত ছিল না," Matcha Meta পরবর্তীতে X-এ লিখেছে। কোম্পানি যোগ করেছে যে যেসব ব্যবহারকারী One-Time Approvals নিষ্ক্রিয় করেছেন এবং অ্যাগ্রিগেটর কন্ট্র্যাক্টে সরাসরি অনুমতি সেট করেছেন তারা "প্রতিটি অ্যাগ্রিগেটরের ঝুঁকি গ্রহণ করেন।"

DEX সোয়াপ প্ল্যাটফর্মটি ব্যবহারকারীদের জন্য তার ইন্টারফেসের মাধ্যমে অ্যাগ্রিগেটরে সরাসরি অনুমতি সেট করার ফাংশন সরিয়ে দিয়েছে, যখন সম্প্রদায়কে SwapNet-এর রাউটার কন্ট্র্যাক্টে বিদ্যমান যেকোনো অনুমতি প্রত্যাহার করতে বলেছে। 

2026 সালে DeFi স্মার্ট কন্ট্র্যাক্ট হ্যাক অব্যাহত আছে

Matcha Meta ঘটনাটি Makina Finance-এর মাত্র ছয় দিন পরে ঘটেছে, একটি বিকেন্দ্রীকৃত আর্থিক প্রোটোকল যার স্বয়ংক্রিয় কার্যকর বৈশিষ্ট্য রয়েছে, যা Curve-এ তার DUSD/USDC লিকুইডিটি পুল নিষ্কাশিত একটি নেটওয়ার্ক লঙ্ঘনের শিকার হয়েছিল।

Cryptopolitan-এর রিপোর্ট অনুসারে, হ্যাকাররা Makina-র Curve স্টেবলকয়েন পুল থেকে প্রায় 1,299 Ether বের করে নিয়েছে, যা সেই সময়ে $4.13 মিলিয়ন মূল্যের ছিল। লঙ্ঘনে একটি অন-চেইন প্রাইসিং ওরাকলের সাথে সংযুক্ত নন-কাস্টোডিয়াল লিকুইডিটি প্রোভাইডার জড়িত ছিল, একটি ডেটা ফিড যা স্মার্ট কন্ট্র্যাক্ট সম্পদের মূল্য নির্ধারণের জন্য ব্যবহার করে। 

ব্লকচেইন বিশ্লেষণ প্রতিষ্ঠান Elliptic-এর মতে, আজকের ডার্ক ওয়েব মানি লন্ডারিংয়ের বেশিরভাগই কয়েন সোয়াপ সার্ভিসের সাথে জড়িত, যার মধ্যে তাৎক্ষণিক এক্সচেঞ্জ রয়েছে যা স্বতন্ত্র ওয়েবসাইট বা Telegram চ্যানেলের মাধ্যমে চলে।

গত বছর, বিকেন্দ্রীকৃত এক্সচেঞ্জ অ্যাগ্রিগেটর CoWSwap একটি লঙ্ঘনের রিপোর্ট করেছে যার ফলে $180,000-এর বেশি ক্ষতি হয়েছে। CoWSwap-এর ট্রেড এক্সিকিউশন GPv2Settlement স্মার্ট কন্ট্র্যাক্টের মাধ্যমে প্রায় $180,000 মূল্যের DAI চুরি হয়েছিল।

প্ল্যাটফর্মটি জানিয়েছে যে আপসকৃত কন্ট্র্যাক্টের এক সপ্তাহ ধরে সংগৃহীত প্রোটোকল ফিতে শুধুমাত্র অ্যাক্সেস ছিল, যা একটি সলভার অ্যাকাউন্টের শোষণ থেকে উদ্ভূত। CoWSwap-এর মডেলে, ব্যবহারকারীরা ট্রেড উদ্দেশ্যে স্বাক্ষর করেন যা তৃতীয় পক্ষের সলভারদের কাছে প্রেরণ করা হয়, যারা সেরা মূল্য প্রদান করতে এবং সংগৃহীত ফি সংরক্ষণ করতে প্রতিদ্বন্দ্বিতা করে।

সবচেয়ে বুদ্ধিমান ক্রিপ্টো মাইন্ডরা ইতিমধ্যে আমাদের নিউজলেটার পড়ছেন। আপনি চান? তাদের সাথে যোগ দিন।