Tectonic এক্সপ্লয়েটে Cronos রোলব্যাক অপরিবর্তনীয়তার মিথ ভেঙে দিল
অগাস্ট ৩০, ২০২৬-এ কেউ Tectonic থেকে প্রায় ৭.৫ কোটি ডলার বের করে নিয়ে যায়। Tectonic হলো Crypto.com-এর Cronos চেইনের সবচেয়ে বড় লেন্ডিং মার্কেট। আক্রমণকারী TONIC-এর দাম কৃত্রিমভাবে বাড়িয়ে তার বিপরীতে ফুলিয়ে-ফাঁপানো জামানত রেখে ঋণ নিয়েছিল। কয়েক ঘণ্টার মধ্যে ভ্যালিডেটররা পুরো ব্লকচেইন থামিয়ে দেওয়ার পক্ষে ভোট দেয়। অ্যাপটি নয়। পুরো চেইনটি।
Tectonic এক্সপ্লয়েটে Cronos-এর রোলব্যাক গত কয়েক বছরে সবচেয়ে পরিচ্ছন্ন পরীক্ষাগুলোর একটি, যা দেখিয়ে দিয়েছে যে একটি আধুনিক L1 আসলে কী করে যখন বড় অঙ্কের অর্থ ভুল পথে চলে যায়। হল্টের বিষয়ে Decrypt-এর প্রতিবেদন অনুযায়ী, ব্লক উৎপাদন বন্ধ রাখা হয় যতক্ষণ না দলটি আক্রমণের আগের অবস্থায় একটি সমন্বিত ফোর্ক সম্পন্ন করতে পারে। এক্সপ্লয়েটের ব্লকের পরে যা কিছু ঘটেছিল, প্রতিটি পজিশন, প্রতিটি ট্রেড, প্রতিটি সম্পর্কহীন ট্রান্সফার, সবকিছু তার সঙ্গে রিওয়াইন্ড হয়ে গেছে।
আমার মতে, এটি বছরের সবচেয়ে গুরুত্বপূর্ণ গভর্ন্যান্স ঘটনা, অথচ প্রায় কেউ এটিকে সঠিকভাবে উপস্থাপন করছে না। এটি কেলেঙ্কারি নয়। এটি বিশ্বাসঘাতকতা নয়। এটি সেই পণ্যের কার্যক্ষমতা যা ঠিক যেভাবে ভ্যালিডেটর সেটটি সর্বদা কাজ করতে দিত সেভাবেই কাজ করেছে। একমাত্র নতুন তথ্য হলো এখন আমাদের হাতে একটি প্রকাশ্য রসিদ আছে।
TONIC দামের কারসাজির আক্রমণ আসলে কী করেছিল
যন্ত্রকৌশলটি ঠিক ততটাই বিরক্তিকর যতটা ২০২৬ সালের বেশিরভাগ DeFi এক্সপ্লয়েট বিরক্তিকর হয়। Solidity কন্ট্রাক্টে কোনো জিরো-ডে ছিল না। একটি লেন্ডিং মার্কেট ছিল যেখানে একটি পাতলা-তারল্যের টোকেনের বিপরীতে কোল্যাটেরাল ফ্যাক্টর উদারভাবে নির্ধারণ করা হয়েছিল, আর একজন আক্রমণকারী ছিল যে বুঝেছিল যে অরাকেল বাজারের দামকে যতটা বিশ্বাস করার যোগ্য তার চেয়ে বেশি বিশ্বাস করতে যাচ্ছে।
ঘটনার বিষয়ে CoinDesk-এর বিশ্লেষণ অনুযায়ী, লুটের পরিমাণ প্রায় ৭.৫ কোটি ডলার, যার বেশিরভাগ TONIC জামানতের বিপরীতে ধার নেওয়া হয়েছিল যা সংক্ষিপ্ত সময়ের জন্য, কৃত্রিমভাবে, প্রকৃত মূল্যের চেয়ে অনেক বেশি মূল্যবান ছিল। আক্রমণকারী জমা দিয়েছে, দাম বাড়িয়েছে, ধার নিয়েছে এবং চলে গেছে। পাঠ্যপুস্তকের মতো।
যা পাঠ্যপুস্তকের মতো নয় তা হলো এরপর কী হয়েছিল।
অগাস্ট ২০২৬-এর ব্লকচেইন চেইন হল্ট
একটি লাইভ প্রোডাকশন L1-এ ভ্যালিডেটর-সমন্বিত হল্ট, যেখানে বাস্তব প্রাতিষ্ঠানিক ব্যবহারকারী রয়েছে, অত্যন্ত বিরল। শেষবার এই মাপের যে ঘটনা দেখা গিয়েছিল এবং যেটা ক্লায়েন্ট বাগ ছিল না, সেটা ছিল ২০২২ সালে BNB Chain-এ। Cronos ২০২৬ সালে এটা করল, যখন এই স্পেস নিজেদের যতটা পরিপক্ক বলে দাবি করে, সেই প্রেক্ষাপটে এটি পুরো আলোচনাটাকেই নতুন করে শুরু করিয়ে দেয়।
কয়েকটি বিষয়ে নির্ভুল থাকা দরকার:
- হল্টটি কোনো স্মার্ট কন্ট্রাক্ট পজ ছিল না। Tectonic-এর কাছে কোনো কার্যকর সার্কিট ব্রেকার ছিল না যা ক্ষতি ঠেকাতে পারত। চেইনটি নিজেকেই থামিয়ে দেওয়া হয়েছিল।
- রোলব্যাকটি ব্যবহারকারীর জন্য ঐচ্ছিক ছিল না। Cronos-এর প্রতিটি অ্যাড্রেসের স্টেট পুনরায় লেখা হয়েছে, এমন অ্যাড্রেসগুলোও যেগুলোর Tectonic-এর সাথে কোনো সম্পর্কই ছিল না।
- সিদ্ধান্ত নেওয়ার প্রক্রিয়াটি কয়েক সপ্তাহ নয়, কয়েক ঘণ্টার মধ্যে সম্পন্ন হয়েছিল। এটা যথেষ্ট দ্রুত যে যে কেউ ভ্যালিডেটর কি ধরে রাখে, সে কার্যত একটি জরুরি কমিটি।
এটাকে যা ইচ্ছা বলুন। আমি এটাকে সেন্সরশিপ-রেজিস্ট্যান্ট বলব না।
Crypto.com Cronos গভর্ন্যান্স একটি বাগ নয়, একটি ফিচার
এখানেই সম্ভবত আমি অর্ধেক পাঠককে হারাব। আমি আসলে মনে করি না যে Cronos-এর জন্য এটা ভুল সিদ্ধান্ত ছিল। চেইনটির সবচেয়ে বড় ব্যবহারকারী হলো একটি নিয়ন্ত্রিত এক্সচেঞ্জ যারা রিটেইল সেবা দেয়। যখন একটি সমন্বিত ফর্ক সেটা উদ্ধার করতে পারত, তখন $৭৫ মিলিয়ন বেরিয়ে যেতে দেওয়া সেই স্টেকহোল্ডার গোষ্ঠীর জন্য অপারেশনাল দিক থেকে চরম বোকামি হত।
সৎ বিশ্লেষণ হলো এই যে, Cronos একটি পার্মিশন্ড-ঈশ L1 যার একটি ছোট, পরস্পর সংগতিপূর্ণ ভ্যালিডেটর সেট এবং একটি কর্পোরেট স্পনসর রয়েছে, যার ব্র্যান্ড রিস্ক অপরিহার্য একটি উপাদান। আপনি যখন এইভাবে তৈরি করেন, তখন আপনি ঠিক এটাই পান: দ্রুত পুনরুদ্ধার, বাস্তব জবাবদিহিতা, এবং এমন একটি গভর্ন্যান্স স্তর যা প্রয়োজনে হস্তক্ষেপ করবে। এটি একটি বৈধ ডিজাইন। কিন্তু এটি সেই ডিজাইন নয় যা বেশিরভাগ Cronos মার্কেটিং গত চার বছরে বোঝাতে চেয়েছে।
এর সাথে তুলনা করুন কীভাবে একই ঘটনা Ethereum মেইননেটে ঘটত। ঘটত না। সোশ্যাল লেয়ার মাসের পর মাস তর্ক করতে থাকত আর নব্বই সেকেন্ডেই ফান্ড চলে যেত।
DeFi কোলেটারাল ফ্যাক্টর রিস্কই আসল গল্প
যে অংশটি বারবার ঘুরে আসতে থাকবে সেটা হল্ট নয়। সেটা হলো সেই পরিস্থিতি যা হল্টটিকে অপরিহার্য করে তুলেছিল।
TRM Labs জানিয়েছে যে DeFi লেন্ডিংয়ের বিরুদ্ধে প্রাইস ম্যানিপুলেশন আক্রমণ ২০২৬ সালে সর্বকালের সর্বোচ্চে পৌঁছেছে, এবং Tectonic এখন সেই বিভাগে সবচেয়ে বড় একক ঘটনা। এই আক্রমণগুলোতে অভিনব ক্রিপ্টোগ্রাফির প্রয়োজন হয় না। এর জন্য দরকার এমন একটি লেন্ডিং মার্কেট যেটি একটি পাতলা তারল্যের সম্পদ তালিকাভুক্ত করে এবং যার অরাকেল সেই একই পাতলা বাজারকে অনুসরণ করে। এটি একটি ডিজাইন সিদ্ধান্ত, যা মানুষ গ্রহণ করে, সাধারণত TVL বৃদ্ধির চাপের মধ্যে।
নির্মাতাদের যে অস্বস্তিকর প্রশ্নগুলো করা উচিত:
- চেইন-স্তরের বেলআউট ছাড়া আপনার প্রোটোকল সর্বোচ্চ কতটুকু ক্ষতি সহ্য করতে পারবে?
- আপনার তালিকাভুক্ত কোন জামানত সম্পদটিকে $২০ লক্ষের একটি ধাক্কায় ৩০ শতাংশ নাড়ানো সম্ভব?
- আপনাকে বাঁচাতে যদি আপনার L1 আগামীকাল ব্লক উৎপাদন বন্ধ করে দেয়, তাহলেও কি আপনি নিজেকে DeFi বলবেন?
(৩) এর উত্তর যদি হ্যাঁ হয়, তাহলে আপনার ডকুমেন্টেশনে সেটি সৎভাবে স্বীকার করুন।
প্রতিষ্ঠানগুলো চুপচাপ যা চাইছিল
এটি অস্বস্তিকর অংশ। গত দুই বছরে আমার সাথে কথা বলা প্রতিটি নিয়ন্ত্রিত ডেস্ক Cronos যা করেছে তার কোনো না কোনো সংস্করণ চায়। একটি পজ বাটন। একটি রিভার্সিবিলিটি উইন্ডো। একটি নির্দিষ্ট প্রতিপক্ষ যাকে খারাপ একটি ব্লক চূড়ান্ত হয়ে গেলে ফোন করা যায়। পাবলিক চেইনগুলো সেই দর্শকদের এক দশক ধরে বলে আসছে যে এটি অসম্ভব, এবং এই সপ্তাহে Cronos প্রমাণ করে দিল যে তাদের নেটওয়ার্কে এটি খুবই সম্ভব এবং খুব দ্রুত।
কয়েক সপ্তাহ আগে আমি লিখেছিলাম অডিট স্ট্যাক কেন ভেঙে পড়েছে সে সম্পর্কে, এবং এই ঘটনাটি একই সমস্যার পরিণতি। আপনার সেফটি নেট যদি পরবর্তী সময়ে একটি ভ্যালিডেটর ভোট হয়, তাহলে আপনার কাছে কোনো সেফটি নেট নেই, আপনার কাছে একটি বেলআউট নীতি আছে। বেলআউট নীতি ঠিকই আছে। কেন্দ্রীয় ব্যাংকগুলোর এটি থাকে। শুধু সেগুলোকে যা আছে তাই বলুন।
এগিয়ে যাওয়ার প্রশ্ন হলো, পরের বার যখন কোনো মিড-ক্যাপ L1-এর ফ্ল্যাগশিপ অ্যাপ খালি হয়ে যাবে, তখন অন্য মিড-ক্যাপ L1-গুলো কি এই কৌশল নকল করবে। আমার অনুমান, বেশিরভাগই করবে। এবং বারো মাসের মধ্যে অন্তত একটি বড় L1 প্রকাশ্যে একটি জরুরি রোলব্যাক পদ্ধতি আনুষ্ঠানিক করবে, যেখানে থাকবে একটি কমিটি, একটি থ্রেশহোল্ড এবং একটি লিখিত SLA। সেই মুহূর্তে আমরা এই ভান করা বন্ধ করতে পারব যে "বিকেন্দ্রীভূত" শব্দটির অর্থ প্রতিটি চেইনে একই, এবং বাজার যেভাবে ইতোমধ্যে মূল্য নির্ধারণ করে সেভাবেই সেগুলোকে বর্ণনা করা শুরু করতে পারব: কোন মানুষেরা সেই ফোন পাবে তার ভিত্তিতে।
এই পোস্টটি ভাষ্য, কোনো আর্থিক বা আইনি পরামর্শ নয়। এক্সপ্লয়েট ও রোলব্যাক সম্পর্কিত তথ্য নিচে উদ্ধৃত উৎস থেকে নেওয়া হয়েছে।