एलेफियम (ALPH) के टोकनब्रिज से लगभग $815,000 की राशि निकाल ली गई, जब एक हमलावर ने एक दोष का दुरुपयोग किया जिससे झूठे संदेश प्रोटोकॉल के गार्डियन नेटवर्क से होकर गुजर सके और धोखाधड़ी वाले टोकन ट्रांसफ़र को अनुमति दे सके।
एलेफियम टीम ने पुष्टि की कि ब्लॉकचेन सुरक्षा कंपनी ब्लॉकेड, एक्सप्लॉइट को पहले पहचानने वाली थी। सुरक्षा गठबंधन की SEAL_911 आपातकालीन प्रतिक्रिया इकाई ने बाद की जांच के दौरान सहायता और प्रतिक्रियाशीलता प्रदान की।
एक्सप्लॉइट ने 7 मिनट से कम समय में $815,000 की राशि निकाल ली
हमलावर ने ईथेरियम और बीएनबी चेन पर एलेफियम टोकनब्रिज से लगभग सात मिनट में धन ले लिया। ईथेरियम पर, नुकसान में 200,967 टेथर (USDT), 17,594 यूएसडी कॉइन (USDC), 5.18 रैप्प्ड ईथेर (WETH), और 0.335 रैप्प्ड बिटकॉइन (WBTC) शामिल थे।
ब्रिज के BNB चेन पहलू से अतिरिक्त 36,750 USDT और 24.386 Wrapped BNB हटा दिए गए। हमलावर ने 13.76 मिलियन अपृष्ठभूमि वाले wrapped ALPH को मिंट भी किया और उन्हें सीधे अपने वॉलेट में स्थानांतरित कर दिया।
एलेफियम ने ब्रिज को बंद कर दिया और घोषणा की कि यह प्रभावित उपयोगकर्ताओं को पूरा करने के लिए सभी विकल्पों का अध्ययन कर रहा है।
इस घटना से 2026 के लिए क्रॉस-चेन इंफ्रास्ट्रक्चर की बिगड़ती तस्वीर में जुड़ोतरी हुई है। अप्रैल क्रिप्टो हैक नुकसान $606 मिलियन तक पहुंच गए, और मई डीफाई हैक का योग जून की ओर बढ़ता रहा है।
एक CrossCurve bridge exploit और एक Hyperbridge exploit, जिन दोनों को $2.5 मिलियन तक संशोधित किया गया, ने वर्ष के कुल योग में भी योगदान दिया।
जाली संदेश, चोरी नहीं की गई कुंजियाँ
डेवलपर्स ने एलेफियम टोकनब्रिज को वॉर्महोल प्रोटोकॉल के फ़ोर्क पर बनाया है, जो क्रॉस-चेन संदेशों की पुष्टि के लिए एक गार्डियन नेटवर्क पर निर्भर करता है। किसी भी ट्रांसफ़र पर गार्डियन्स का क्वोरम सहमति देना अनिवार्य है, जिससे धोखाधड़ी वाले संदेशों को इंजेक्ट करने की क्षमता एक उच्च प्रभाव वाली कमजोरी बन जाती है।
प्रारंभिक रिपोर्ट्स ने इस ब्रीच को संक्रमित गार्डियन प्राइवेट कुंजियों को दोष दिया, जिससे 2026 की शुरुआत में $5.4 मिलियन की हानि हुई Gravity Bridge की कुंजी ब्रीच की तुलना की गई। एलेफियम का घटना के बाद का अपडेट इस ढंग को खारिज करता है।
"दुरुपयोग के लिए गार्डियन निजी कुंजियों का दुरुपयोग शामिल नहीं लगता। इसके बजाय, ऐसा लगता है कि एक दुरुपयोग का उपयोग किया गया था जिसने झूठे दुर्भावनापूर्ण घटनाओं/संदेशों को गार्डियन्स द्वारा देखे जाने और हस्ताक्षरित किए जाने की अनुमति दी," कहते हैं Alephium
अंतर महत्वपूर्ण है। एक संचालन विफलता के लिए एक महत्वपूर्ण समझौता बिंदु, जबकि एक झूठा संदेश हमला इस बात की एक खामी दर्शाता है कि ब्रिज ने गार्डियन्स को प्रस्तुत करने से पहले आने वाले डेटा की पुष्टि कैसे की।
पोल्काडॉट ब्रिज एक्सप्लॉइट में एक समान गतिविधि उभरी, जहां हमलावर ने लेन-देन को धोखेबाजी से सत्यापित किया और अपृष्ठभूत टोकन जारी किए। एलेफियम ने कहा कि उसकी टीम से एक पूर्ण तकनीकी पोस्टमॉर्टम जल्द ही आएगा।