- हैकर्स ने SquidRouterModule पर 86 Gnosis Safes से लगभग 3 मिलियन डॉलर चुरा लिए।
- केवल उन्हीं वॉलेट्स को लक्षित किया गया था, जिन्होंने पहले एक वल्नरेबल थर्ड-पार्टी मॉड्यूल को स्वीकृत किया था।
- स्क्विड के मुख्य राउटर कॉन्ट्रैक्ट और उपयोगकर्ता फंड्स कभी एक्सप्लॉइट से प्रभावित नहीं हुए।
ब्लॉकएड की रिपोर्ट्स के अनुसार, हैकर्स ने स्क्विड परितंत्र से जुड़े एक कमजोर तीसरे पक्ष के SquidRouterModule का दुरुपयोग किया है।
एक्स पर अपने नवीनतम पोस्ट में, एंटरप्राइज-ग्रेड वेब3 सुरक्षा प्लेटफॉर्म ने बताया कि हमलावरों ने 86 Gnosis Safes से लगभग $3 मिलियन को लगभग दो घंटे में खाली कर दिया और फिर अपने नियंत्रण में वाले Uniswap V3 पूल्स के माध्यम से टोकन्स को DAI में बदल दिया।
एक्सप्लॉइट को संभव क्या बनाता है?
आक्रमण पर अधिक विवरण प्रदान करते हुए, ब्लॉकेड ने नोट किया कि आक्रमण संभव इसलिए था क्योंकि प्रभावित वॉलेट्स ने पहले एक कमजोर तीसरे पक्ष के मॉड्यूल को व्यापक लेनदेन अनुमतियों के साथ स्वीकृत कर लिया था। इससे हमलावर को बिना वॉलेट मालिकों की सीधी स्वीकृति के, एक विश्वसनीय उपयोगकर्ता के रूप में झूठे Uniswap V3 स्वैप्स करने में सक्षम बना दिया।
X पर एक थ्रेड में, ब्लॉकएड ने स्पष्ट किया कि हमलावरों ने हमला शुरू करने से पहले टॉर्नेडो कैश के माध्यम से अपने वॉलेट को 2.1 ETH से फंड किया, जिसके बाद उन्होंने ईथेरियम और बेस नेटवर्क दोनों पर स्वचालित हमले किए। हैकर की अगली कार्रवाई पूलों से लिक्विडिटी हटाना थी, जिससे चोरी किए गए संपत्ति को लगभग 3.07 DAI में बदल दिया गया, जो ब्लॉकएड की रिपोर्ट के समय उनके वॉलेट में मौजूद था।
संबंधित: DeFi बीमा अंतर हैकिंग के बढ़ते दर से अरबों को खतरे में डाल रहा है
ग्नोसिस की मूल बुनियादी ढांचा सुरक्षित है
यह ध्यान देने योग्य है कि रिपोर्ट किए गए हमले से Gnosis की कोर Safe बुनियादी ढांचे पर कोई प्रभाव नहीं पड़ा। Squid और कई ब्लॉकचेन सुरक्षा कंपनियों के आंकड़ों से पता चलता है कि दुर्बलता कुछ Safe वॉलेट में एकीकृत एक अलग तीसरे पक्ष के मॉड्यूल के माध्यम से थी। केवल उन उपयोगकर्ताओं को ही प्रभावित किया गया, जिन्होंने पिछले समय में उस मॉड्यूल पर भरोसा किया और उसके साथ बातचीत की।
स्क्विड के घोषणा के अनुसार, दुरुपयोग के बारे में, इसकी मुख्य टीम के पास दुर्बलता वाले कॉन्ट्रैक्ट के निर्माण, डिप्लॉयमेंट या संचालन में कोई हाथ नहीं था, हालांकि इसका नाम समान था। कंपनी ने स्पष्ट किया कि दुरुपयोग संभव था क्योंकि मॉड्यूल अधिकृति के सबूत के रूप में एक सार्वजनिक रूप से ज्ञात स्थिर स्ट्रिंग स्वीकार करता था, जिससे हैकर्स वैध वॉलेट हस्ताक्षरों के बिना अनियंत्रित लेनदेन कर सकते थे।
इस बीच, स्क्विड ने अपने समुदाय के सदस्यों को बताया कि यह स्थिति का निरीक्षण कर रहा है और यदि कोई महत्वपूर्ण बदलाव होता है तो अपडेट साझा करेगा। कंपनी ने यह भी पुष्टि की कि इसके मुख्य राउटर कॉन्ट्रैक्ट और उपयोगकर्ता धन कभी दुरुपयोग से प्रभावित नहीं हुए।
संबंधित: ईको प्रोटोकॉल हैक ने झूठे eBTC मिंट के बाद $816K खाली कर दिए
सावधानी: इस लेख में प्रस्तुत जानकारी केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है। यह लेख वित्तीय सलाह या किसी भी प्रकार की सलाह नहीं है। कॉइन एडिशन उल्लिखित सामग्री, उत्पादों या सेवाओं के उपयोग के कारण हुए किसी भी हानि के लिए जिम्मेदार नहीं है। पाठकों को कंपनी से संबंधित कोई भी कार्रवाई करने से पहले सावधानी बरतने की सलाह दी जाती है।