2026 के पांच महीने बीत चुके हैं, और हमले जारी हैं। ब्लॉकचेन सुरक्षा कंपनी ब्लॉकेड ने 30 मई को ईथेरियम के एलेफियम टोकनब्रिज को लक्षित करने वाला एक नया दुरुपयोग खोजा।
जांच के अनुसार, झूठी VAAs (वेरिफाइड एक्शन अप्रूवल्स) पर हस्ताक्षर करने वाली चार में से तीन बर्बाद हुई गार्डियन कुंजियों का उपयोग सात मिनट में $815,000 निकालने के लिए किया गया।
गार्डियन कुंजियाँ कैसे दुरुपयोग में ली गईं?
संदर्भ के लिए, एलेफियम टोकनब्रिज एक ब्रिज है जो ईथेरियम और एलेफियम ब्लॉकचेन को जोड़ता है।
जब उपयोगकर्ता एलेफियम से ईथेरियम [ETH] पर स्विच करते हैं, तो वास्तविक ALPH एकल चेन पर बंद हो जाता है। आगे बढ़कर, ईथेरियम का उपयोग एक वैप्ड संस्करण (wALPH) को मिंट करने के लिए किया जाता है।
मिंट को आगे बढ़ने से पहले, ब्रिज के तीन गार्डियन सुनिश्चित करते हैं कि लॉक वास्तव में किया गया था। इसके अलावा, क्रॉस-चेन ट्रांसफ़र की पुष्टि के लिए, सिस्टम गार्डियन साइनेचर्स का उपयोग करता है।
एक ट्रांसफ़र संदेश को ब्रिज द्वारा स्वीकृत करने के लिए, चार गार्डियन में से तीन को इस पर हस्ताक्षर करना होगा। हालाँकि, एलेफियम टोकनब्रिज हमले में, तीन गार्डियन निजी कुंजियाँ किसी तरह हमलावरों द्वारा प्राप्त कर ली गईं.
उन कुंजियों को प्राप्त करने के बाद, उन्होंने झूठे ब्रिज संदेश, जिन्हें VAAs कहा जाता है, बना लिए और उन्हें वास्तविक लगने के लिए तैयार कर दिया।
‘मिंटिंग’ का मोड़
ALPH के मिंटिंग के अलावा, फॉर्ज किए गए VAAs ने ब्रिज को ऐसे संपत्तियों को जारी करने के निर्देश दिए जो पहले ही जब्त कर ली गई थीं।
हमलावरों द्वारा पुल को यह विश्वास दिलाने के परिणामस्वरूप कि वैध निकासी हुई थी, Tether [USDT], USD Coin [USDC], Wrapped Bitcoin (WBTC) और Wrapped Ether (WETH) को अनलॉक कर दिया गया।
वास्तविक ALPH डिपॉज़िट किए बिना, हमलावरों ने 13.76 मिलियन व्रैप्ड ALPH बना लिए। ब्लॉकेड के अनुसार, यह पहले उपलब्ध व्रैप्ड आपूर्ति से अधिक था।
अन्य शब्दों में, हमलावर ने मूलतः बिना किसी आधार के एक विशाल मात्रा में ALPH-समर्थित संपत्तियाँ उत्पन्न कर दीं।
पिछले समय में समान हमले
यह Wormhole Bridge Exploit के समान है, जिसमें हमलावरों ने ऐसे संपत्ति बनाईं जो कभी सुरक्षा के द्वारा समर्थित नहीं थीं और पुल संदेशों को झूठा साबित किया।
इसके अतिरिक्त, यह हाल ही में वरस-ईथेरियम ब्रिज पर हुए हमले के बाद आया, जिससे लगभग $11.58 मिलियन की कमी हुई।
अंतिम सारांश
- इस हमले में, चार में से तीन दुरुपयोग किए गए गार्डियन कुंजियों के कारण सिर्फ सात मिनट में $815,000 की राशि निकाल ली गई।
- हमलावरों ने वास्तव में कोई ALPH जमा किए बिना 13.76 मिलियन व्रैप्ड ALPH जारी किए।