इनिशिया, एक लेयर-1 ब्लॉकचेन, ने पुष्टि की है कि इसे तीन सप्ताह के भीतर दूसरा सुरक्षा उल्लंघन हुआ है, जिसमें एक हमलावर ने नेटवर्क के क्लाउड इंफ्रास्ट्रक्चर को दुरुपयोग करके लगभग $3.27 मिलियन की डिजिटल संपत्तियां चुरा लीं। यह घटना 23 अक्टूबर को हुए पिछले उल्लंघन के बाद आई है, जिसमें लगभग $2.7 मिलियन की राशि खाली कर दी गई थी।
इनिशिया के खाते के अनुसार, हमलावर ने सोमवार को एक दुरुपयोग किए गए Google Cloud Platform कुंजी से जुड़े कमांड इंजेक्शन हमले के माध्यम से अनधिकृत पहुंच प्राप्त की। इनिशिया के अनुसार, इस लंगड़ापन से वातावरण चर उजागर हो गए, जिससे अभिनेता अपने GitHub और क्लाउड खातों तक पहुंच सका और परितंत्र में आगे बढ़ने के लिए अतिरिक्त पारितोषिक का उपयोग कर सका।
मुख्य बिंदु
- इनिशिया का कहना है कि एक उल्लंघित GCP कुंजी के कारण एक कमांड इंजेक्शन घटना हुई, जिससे उसके GitHub और क्लाउड खातों तक पहुंच प्राप्त हुई।
- आक्रमणकारी ने पांच रोलअप्स से धोखाधड़ी वाली IBC निकासी की पुष्टि की, जिससे इनिशिया एस्क्रो खातों से धन जारी किया गया।
- इनिशिया के अनुसार, चोरी हुए $2.16 मिलियन के संपत्ति अभी भी अपने रोके गए नेटवर्क पर जमी हुई हैं।
- नेटवर्क ने संचालन बंद कर दिया है और प्रभावित संपत्तियों के समर्थन को पुनः स्थापित करने पर काम कर रहा है।
- यह एक अक्टूबर 23 के एक्सप्लॉइट के तुरंत बाद आया, जिसमें Initia के MoveVM स्क्रिप्ट कैश में एक वल्नरेबिलिटी के माध्यम से लगभग $2.7 मिलियन खाली कर दिए गए।
इनिशिया कहती है कि दूसरे दुर्घटना में क्या गलत हुआ
अपडेट में, इनिशिया ने बताया कि हमलावर का प्रवेश बिंदु एक कमांड इंजेक्शन तकनीक थी, जिसने एक दुरुपयोग किए गए Google क्लाउड प्लेटफॉर्म कुंजी का उपयोग किया। अंदर प्रवेश करने के बाद, घटना ने पर्यावरण चर को प्रकट कर दिया। इनिशिया के अनुसार, उन प्रकट चरों ने इसके GitHub और क्लाउड पर्यावरणों तक पहुँच प्रदान की, साथ ही अतिरिक्त पासवर्ड प्राप्त करने की क्षमता भी।
वहाँ से, हमलावर ने Anvil तक पहुँच ली, जो रोलअप्स की मेजबानी करता है। इनिशिया ने जोड़ा कि फिर इस एक्टर ने इस पहुँच का उपयोग करके पाँच रोलअप्स से धोखाधड़ी वाली इंटर-ब्लॉकचेन कम्युनिकेशन (IBC) निकासी को सत्यापित किया—जिससे नेटवर्क के एस्क्रो खातों में रखे गए संपत्ति का रिलीज़ हुआ।
धन लेन-देन, संपत्ति प्रकार, और हानियों की स्थिति
इनिशिया का अनुमान है कि लगभग $2.16 मिलियन की चोरी हुई संपत्ति अभी जमा है क्योंकि नेटवर्क को रोक दिया गया है। कंपनी ने यह भी बताया कि हमलावर ने चोरी हुई धनराशि का कुछ हिस्सा कैसे बदला और वितरित किया।
इनिशिया के अनुसार, हमलावर ने अपने डिसेंट्रलाइज्ड एक्सचेंज पर संपत्तियाँ बेचीं और विशिष्ट रकमें निकालीं, जिसमें 13,400 TIA, 8,000 USDC, और 597,000 Noble USDC शामिल हैं। इनिशिया ने यह भी जोर दिया कि कोई INIT टोकन निकाला नहीं गया।
हालांकि इनिशिया के अपडेट में जमा हिस्से से परे कुल प्रवाह का विस्तृत विश्लेषण नहीं किया गया था, लेकिन इसके द्वारा साझा किए गए आंकड़े निवेशकों को संबंधित संपत्ति मिश्रण की एक स्पष्टतर छवि प्रदान करते हैं—विशेष रूप से TIA के साथ-साथ कई स्टेबलकॉइन इकाइयों की उपस्थिति।
नेटवर्क बंद और पुनर्स्थापना का कार्य चल रहा है
इनिशिया ने कहा कि उसने मंगलवार को लेयर-1 को रोक दिया। कंपनी ने इंगित किया कि उसकी प्राथमिकता उन संपत्तियों के समर्थन को पुनः स्थापित करना है जो दुर्घटना से प्रभावित हुई हैं।
इनिशिया ने यह भी कहा कि कानून प्रवर्तन और सुरक्षा साझेदारों के साथ पुनर्स्थापना के प्रयास जारी हैं। उपयोगकर्ताओं और तरलता प्रदाताओं के लिए, एक रोक आमतौर पर अतिरिक्त स्थिति परिवर्तन या निकासी के त немध्य जोखिम को कम करती है, लेकिन यह पुनः प्राप्ति और व्यापार में देरी भी कर सकती है। इसलिए पुनर्स्थापना के समयसूची और इनिशिया द्वारा संपत्ति के समर्थन को साबित करने का तरीका विशेष रूप से महत्वपूर्ण है।
पिछला दुरुपयोग एक दोहराए जाने वाले विफलता पैटर्न को उजागर करता है
नया दुरुपयोग Oct. 23 की घटना के बाद आया, जिसमें एक हमलावर ने Initia के MoveVM स्क्रिप्ट कैश में एक दुर्बलता का दुरुपयोग करके लगभग $2.7 मिलियन खाली कर दिया। उस पहले मामले में, बताया गया कि दुर्भावनापूर्ण कोड ने सुरक्षा जाँचों को बाईपास कर दिया और अपृष्ठभूमि वाले टोकन बैलेंस बना दिए, जिन्हें फिर नेटवर्क से ब्रिज किया गया।
दोनों घटनाओं को मिलाकर देखा जाए तो ये नुकसान के लिए अलग-अलग तकनीकी रास्ते दिखाती हैं—पहले MoveVM स्क्रिप्ट कैश दोष और टोकन-बैलेंस हेरफेर के माध्यम से, और अब क्लाउड कुंजी के सुरक्षा उल्लंघन के कारण धोखेबाज़ IBC निकासी के माध्यम से। हालाँकि, दोहराए जाने वाला परिणाम समान है: हमलावरों को एस्क्रो या सिस्टम से संपत्ति स्थानांतरित करने में सक्षम पाया गया।
धारकों के लिए मुख्य प्रश्न यह है कि आधारभूत कमजोरियाँ संचालनात्मक (जैसे पार्थक्य प्रबंधन और क्लाउड सुरक्षा नियंत्रण) के साथ-साथ प्रोटोकॉल-स्तरीय (जैसे अनुबंध और निष्पादन अखंडता) भी हैं। इनिशिया के वर्तमान खाते से सीधे रूप से एक संक्रमित बुनियादी ढांचे की कुंजी और प्रकट परिवेश चर दिखाई देते हैं, जो यह सुझाव देते हैं कि हमला श्रृंखला ऑफ-चेन घटकों में शुरू हुई और फिर ऑन-चेन समायोजन प्रवाहों तक पहुँची।
अगला क्या देखें
निवेशक और उपयोगकर्ताओं को पांच प्रभावित रोलअप्स के भरपूर एक्सपोजर को Initia द्वारा कैसे मापा जा रहा है, पृष्ठभूमि को पुनः स्थापित करने की प्रक्रिया और समयसीमा, और ऐसे घटना प्रतिक्रिया कदमों पर कोई भी सार्वजनिक विवरण जो दोहराए जाने वाले एक्सेस-नियंत्रण विफलताओं की संभावना कम करेंगे, इन सभी का निरीक्षण करना चाहिए। अगले अपडेट्स प्रतिकार के साथ-साथ पारदर्शिता के लिए भी इतने ही महत्वपूर्ण होंगे—खासकर यह निर्धारित करने के लिए कि क्या जमा की गई धनराशि को सुरक्षित ढंग से लेखांकित किया जा सकता है और प्रणालियों को पुनः सक्षम करने के बाद वापस किया जा सकता है।
यह लेख मूल रूप से Initia ने 3 सप्ताह में दूसरा दुरुपयोग रिपोर्ट किया, हमले में $3.27M का नुकसान के रूप में प्रकाशित किया गया था, Crypto Breaking News – आपका विश्वसनीय स्रोत क्रिप्टो समाचार, बिटकॉइन समाचार और ब्लॉकचेन अपडेट्स के लिए।