DeFi लेंडिंग प्रोटोकॉल Inertia का कहना है कि हाल के एक दुरुपयोग ने कई लेंडिंग बाजारों से लगभग $152,000 की राशि निकाल ली, जो एक लंबे समय से ज्ञात ERC4626 वल्नरेबिलिटी क्लास से उत्पन्न हुआ, जिसने अभी भी महत्वपूर्ण ऑरेकल और जोखिम प्रबंधन सुरक्षाओं को बाईपास किया।
25 मई को प्रकाशित एक विस्तृत पोस्ट-मॉर्टम में, प्रोटोकॉल ने कहा कि हमलावरों ने पांच Inertia उधार बाजारों के भीतर संपत्तियों के उधार लेने से पहले roETH प्रतिभूति की कीमत को विकृत कर दिया।
हमले के दौरान, जो लगभग एक घंटे और 13 मिनट तक रहा, USDC, INIT, sINIT, TIA और roTIA बाजार प्रभावित हुए।
इनर्शिया ने कहा कि उसकी बीमा राशि ने पहले ही सभी प्रभावित उपयोगकर्ता शेष राशियों को पुनः स्थापित कर दिया है और ऋण लेन-देन संचालन पुनः शुरू हो चुके हैं।
हमले ने ज्ञात ERC4626 शेयर-मूल्य कमजोरियों का दुरुपयोग किया
प्रोटोकॉल के अनुसार, हमलावरों ने roETH लिक्विड स्टेकिंग कॉन्ट्रैक्ट की एक्सचेंज दर को विकृत करने के लिए आपूर्ति में कमी और प्रत्यक्ष टोकन दान का संयोजन उपयोग किया।
दुरुपयोग एक ज्ञात ERC4626 दुर्बलता पैटर्न पर केंद्रित था, जिसमें शेयर-मूल्य लेखांकन तंत्र शामिल थे।
इनर्शिया ने कहा कि हमलावरों ने पहले एक निकासी अनुरोध के माध्यम से परिसंचरण रोईथ सप्लाई को लगभग 99.7% तक कम कर दिया। उन्होंने फिर अतिरिक्त शेयर जारी किए बिना wstETH को सीधे कॉन्ट्रैक्ट में स्थानांतरित कर दिया।
जिससे घोषित विनिमय दर तेजी से बढ़ गई।
प्रोटोकॉल ने कहा कि roETH का रिपोर्ट किया गया मूल्य प्रति टोकन लगभग 1.234 stETH से लगभग 33.75 stETH तक बढ़ गया, जिससे लगभग 27x का अवमूल्यन कारक बन गया।
आक्रमणकारियों ने फूली हुई जमानत की कीमत का उपयोग करके कई उधार बाजारों से संपत्ति निकाल ली।
ओरेकल सुरक्षा असामान्य मूल्य निर्धारण को रोकने में विफल रही
इनर्शिया ने कहा कि दुरुपयोग सफल हुआ न केवल लिक्विड स्टेकिंग कॉन्ट्रैक्ट की दुर्बलता के कारण, बल्कि इसकी अपनी कीमत सुरक्षा व्यवस्थाओं के असफल होने के कारण भी, जिससे हेरफेर किए गए सुरक्षा मूल्य को नियंत्रित नहीं किया जा सका।
प्रोटोकॉल ने स्वीकार किया कि इसकी कीमत निर्धारण प्रणाली में कमी थी:
- उच्च सीमा मूल्य विचलन नियंत्रण,
- द्वितीयक ऑरेकल प्रमाणीकरण,
- प्रभावी रियल-टाइम अलर्ट प्रतिक्रियाएँ,
- और प्रति खाता उधार दर सीमाएँ।
प्रोटोकॉल ने यह भी स्वीकार किया कि ERC4626 वल्नरेबिलिटी क्लास को 2022 से जनता के लिए दस्तावेज़ित किया जा चुका है और इसके लिए पहले से ही व्यापक रूप से उपलब्ध उपाय मौजूद हैं।
इनर्शिया व्यापक जोखिम नियंत्रण समीक्षा की योजना बना रही है
दुर्घटना के बाद, इनर्शिया ने कहा कि वह अपने ऑरेकल आर्किटेक्चर और सुरक्षित राशि समीक्षा ढांचे के कुछ हिस्सों को पुनर्निर्मित करेगा।
प्रोटोकॉल लागू करने की योजना बना रहा है:
- मल्टी-सोर्स ओरेकल प्रमाणीकरण,
- विचलन सर्किट ब्रेकर्स,
- अधिक कठोर सूचीकरण समीक्षाएँ,
- और लिक्विड स्टेकिंग सुरक्षा संपत्तियों के चारों ओर कठोर निगरानी।
इनर्शिया ने यह भी कहा कि यह उन संपत्तियों से जुड़ी रिकवरी प्रयासों को जारी रख रहा है, जो वैलिडेटर क्यू, लिक्विडिटी पूल और ब्रिज इंफ्रास्ट्रक्चर के माध्यम से अभी भी ट्रेस किए जा सकते हैं।
अंतिम सारांश
- इनर्शिया ने कहा कि हमलावरों ने एक ज्ञात ERC4626 दुर्बलता का दुरुपयोग करके roETH सुरक्षा मूल्यों को बढ़ाया और लेनदेन बाजारों से लगभग $152,000 की राशि निकाल ली।
- प्रोटोकॉल ने अपने स्वयं के ऑरेकल सुरक्षा उपायों में विफलताओं को मान लिया है और कठोर मूल्य निर्धारण और जोखिम नियंत्रण लागू करना शुरू कर दिया है।