इनिशिया, एक लेयर-1 ब्लॉकचेन, ने पुष्टि की है कि इसने तीन सप्ताह से कम समय में अपना दूसरा सुरक्षा दुरुपयोग सहा है, जिसमें एक हमलावर ने नेटवर्क के क्लाउड इंफ्रास्ट्रक्चर को दुरुपयोग करके लगभग 3.27 मिलियन डॉलर की क्रिप्टो संपत्ति चुरा ली।
नवीनतम घटना वेब3 प्रणालियों के लिए एक लगातार जोखिम पैटर्न को उजागर करती है: एक बार जब हमलावर ब्लॉकचेन के पीछे क्लाउड या डेवलपर टूलिंग पर नियंत्रण प्राप्त कर लेते हैं, तो वे संभावित रूप से पासवर्ड तक पहुंच सकते हैं, धोखाधड़ी वाली क्रियाओं को मान्यता दे सकते हैं और धन ले सकते हैं—कभी-कभी ऑन-चेन रक्षा पूरी तरह से प्रतिक्रिया देने से पहले ही।
मुख्य बिंदु
- इनिशिया का कहना है कि हमलावर ने एक घुसपैठिया Google क्लाउड प्लेटफॉर्म कुंजी से जुड़े कमांड इंजेक्शन हमले का उपयोग करके अनधिकृत पहुंच प्राप्त की।
- इस ब्रीच से पर्यावरण चर प्रकट हुए, जिन्हें Initia के अनुसार इसके GitHub और क्लाउड खातों तक पहुँच और अतिरिक्त प्रमाणीकरण डेटा प्राप्त करने की अनुमति मिली।
- इनिशिया के अनुसार, पांच रोलअप्स से धोखाधड़ीपूर्ण इंटर-ब्लॉकचेन कम्युनिकेशन (IBC) निकासी को मान्यता दे दी गई, जिससे एस्क्रो खातों से संपत्तियाँ खाली हो गईं।
- चोरी की गई राशि में से लगभग $2.16 मिलियन जमा है क्योंकि इनिशिया ने नेटवर्क को रोक दिया है।
- इनिशिया के अनुसार, कोई INIT टोकन नहीं निकाला गया था।
दूसरा दुरुपयोग बादल पहुंच और पासवर्ड पर लक्षित है
इनिशिया ने बुधवार को एक अपडेट में कहा कि हमलावर ने सोमवार को एक कमांड इंजेक्शन हमले के माध्यम से एक दुरुपयोग किए गए Google Cloud Platform कुंजी के माध्यम से अनधिकृत पहुंच प्राप्त की। व्यावहारिक रूप से, कंपनी ने इस दुर्घटना को एकल सेवा से आगे फैली हुई बताया: उसने कहा कि हमलावर ने वातावरण चरों को देखने में सक्षम होने के कारण अतिरिक्त प्रणालियों तक पहुंचने का मार्ग प्राप्त किया।
इनिशिया के अनुसार, उजागर हुए पर्यावरण चरों के कारण हमलावर ने अपने GitHub और क्लाउड खातों तक पहुँच प्राप्त की और अतिरिक्त पार्थक्य प्राप्त किए। इस विस्तारित पहुँच ने हमलावर को घुसपैठ से कार्यान्वयन तक ले जाने में मदद की—जिससे नेटवर्क द्वारा रोलअप गतिविधि को संसाधित करने से जुड़े संचालनात्मक घटकों तक पहुँच मिली।
आईबीसी निकासी का धोखाधड़ी रोलअप इंफ्रास्ट्रक्चर के माध्यम से
इनिशिया ने कहा कि हमलावर ने रोलअप्स को होस्ट करने के लिए उपयोग किए जाने वाले एनविल प्लेटफॉर्म का दुरुपयोग किया और फिर पांच रोलअप्स से धोखाधड़ी वाली IBC निकासी को सत्यापित किया। इससे हमलावर ने इनिशिया के एस्क्रो खातों में रखे गए संपत्ति की निकासी को ट्रिगर कर दिया।
चोरी के बारे में अपने विवरण में, इनिशिया ने कहा कि चोरी हुए संपत्तियों में विभिन्न नाममात्रों में दर्ज कई स्टेबलकॉइन होल्डिंग्स और व्रैप्ड संस्करण शामिल थे। इसने रिपोर्ट किया कि लगभग $2.16 मिलियन अपने रोके गए नेटवर्क पर जमा है।
इनिशिया ने आगे कहा कि हमलावर ने अपने डिसेंट्रलाइज्ड एक्सचेंज पर संपत्तियाँ बेचीं और निम्नलिखित रकमें निकालीं: 13,400 TIA, 8,000 USDC, 597,000 Noble USDC। कंपनी ने यह भी नोट किया कि कोई INIT टोकन नहीं लिए गए।
नेटवर्क बंद हो जाना और पुनर्स्थापना के प्रयास शुरू हो जाते हैं
इनिशिया ने मंगलवार को अपना लेयर-1 नेटवर्क रोक दिया। इस रोक का उद्देश्य पुनर्प्राप्ति कार्रवाइयों के दौरान संक्रमित वर्कफ्लो के आगे प्रोसेसिंग को रोकना है, खासकर जब धोखाधड़ी वाली संदेश प्रमाणीकरण या निकासी कार्रवाई अन्यथा जारी रह सकती है।
इनिशिया ने कहा कि यह प्रभावित संपत्तियों के समर्थन को पुनः स्थापित करने की योजना बना रही है और अभी भी कानून प्रवर्तन और सुरक्षा साझेदारों के साथ पुनर्प्राप्ति प्रयास जारी हैं। निवेशकों और उपयोगकर्ताओं के लिए, निकट भविष्य का मुख्य प्रश्न यह है कि जमा किए गए हिस्से को दीर्घकालिक रूप से सुरक्षित किया जा सकता है या नहीं और शेष सिस्टम घटक—जैसे रोलअप-होस्टिंग बुनियादी ढांचा और पार्थकर्म प्रबंधन—को उसी हमला मार्ग के खिलाफ कितनी जल्दी कठोर बनाया जा सकता है।
23 अक्टूबर की पहले की दुर्घटना एक दोहराई जाने वाली लंगड़ाई का विषय दर्शाती है
यह घटना Cointelegraph द्वारा 23 अक्टूबर को उजागर किए गए पिछले दुरुपयोग के बाद आई। उस मामले में, एक हमलावर ने Initia के MoveVM स्क्रिप्ट कैश में एक दुर्बलता का दुरुपयोग करके लगभग $2.7 मिलियन की राशि खाली कर दी, जिसके बाद Initia ने ब्लॉकचेन को रोक दिया। Initia ने कहा कि यह दुर्बलता दुर्भावनापूर्ण कोड को सुरक्षा जांचों को छोड़कर अपृष्ठित टोकन शेष बनाने की अनुमति देती है, जिन्हें फिर नेटवर्क से ब्रिज किया गया।
हालाँकि दोनों घटनाओं की तकनीकी क्रियाविधि में अंतर है—एक वीएम/स्क्रिप्ट-कैश व्यवहार से जुड़ी है और दूसरी क्लाउड क्रेडेंशियल घुसपैठ और कमांड इंजेक्शन से जुड़ी है—लेकिन इनमें एक सामान्य संचालनात्मक कमजोरी है: एक हमलावर ने पूर्ण संयम से पहले सिस्टम तक पहुँच से फंड स्थानांतरण तक का रास्ता खोज लिया।
एक अन्य उल्लेखनीय असमानता यह है कि दोनों घटनाओं को कैसे नियंत्रित किया गया। नवीनतम चोरी में, इनिशिया के अनुसार, नेटवर्क रोकने से लगभग $2.16 मिलियन जमा हो गए, जबकि पहले के दुरुपयोग से निवारण से पहले एक बड़ी कुल राशि का निकास हुआ। यह अंतर यह सुझाता है कि समय और पता लगाने—साथ ही आगे की प्रक्रिया को त्वरित रूप से रोकने की क्षमता—चाहे मूल सुरक्षा स्थिति अभी भी तनावग्रस्त हो, तब भी परिणामों में महत्वपूर्ण बदलाव कर सकती है।
इनिशिया का अनुसरण कर रहे पाठकों के लिए, ध्यान देने योग्य सबसे महत्वपूर्ण अपडेट्स ये हैं कि कौन सी प्राधिकरण जानकारी सामने आई, क्लाउड और रोलअप इंफ्रास्ट्रक्चर पर कौन से उपचारात्मक कदम उठाए गए हैं, और क्या कंपनी सभी प्रभावित संपत्तियों के लिए बिना किसी नए जटिलता के पूर्ण आधार पुनः स्थापित कर सकती है। तीन सप्ताह से कम समय में दो प्रमुख घटनाओं के बाद, अगला चरण संभवतः धन वापसी के साथ-साथ प्राधिकरण-आधारित एक्सेस को दोहराए जाने से रोकने पर भी बराबर केंद्रित होगा।
यह लेख मूल रूप से Initia ने 3 सप्ताह में दूसरा दुरुपयोग रिपोर्ट किया, $3.27M चुरा लिए गए पर प्रकाशित किया गया था Crypto Breaking News – आपका विश्वसनीय स्रोत क्रिप्टो समाचार, बिटकॉइन समाचार और ब्लॉकचेन अपडेट्स के लिए।