बुधवार को Stake DAO के दुरुपयोग से प्रोटोकॉल की Arbitrum डिप्लॉयर कुंजी सुरक्षित नहीं रही। एक हमलावर ने एक सार्वजनिक राउटर के माध्यम से ईथर के लिए बदलने से पहले लगभग 5.4 ट्रिलियन नकली Vote-Boosted sdCRV (vsdCRV) टोकन जारी किए।
दुर्घटना ने मौजूद हर स्मार्ट-कॉन्ट्रैक्ट नियंत्रण को बाईपास कर दिया। इस साल एकल निजी कुंजी, जिसके पास विशेष अधिकार थे, ने DeFi में सैकड़ों मिलियन की हानि का कारण बनी है।
स्टेक डीएओ दुरुपयोग कैसे हुआ
Blockaid से ऑन-चेन अलर्ट्स ने ब्रीच को Stake DAO डिप्लॉयर वॉलेट तक ट्रेस किया। हमलावर ने vsdCRV के लिए LayerZero v2 ब्रिज पीयर को रीसेट करने के लिए कुंजी का उपयोग किया।
लगभग 25 सेकंड बाद, एक झूठी क्रॉस-चेन संदेश ने Arbitrum पर 5.4 ट्रिलियन vsdCRV जारी किए।
आक्रमणकारी ने ईथर के लिए टोकन मेटामास्क के पब्लिक राउटर के माध्यम से बेच दिए। कोई स्मार्ट-कॉन्ट्रैक्ट दोष नहीं पाया गया।
ध्यान देने योग्य बात यह है कि KelpDAO पर एक हालिया LayerZero दुरुपयोग समान पीयर-कॉन्फ़िगरेशन दुरुपयोग के माध्यम से हुआ।
महत्वपूर्ण घटनाओं का परिचित पैटर्न
स्टेक डीएओ का दुरुपयोग अप्रैल के वासाबी प्रोटोकॉल के ड्रेन के समान टेम्पलेट का अनुसरण करता है। एक संक्रमित डिप्लॉयर वॉलेट ने चार चेनों पर वॉल्ट्स से लगभग $4.5 मिलियन निकाल लिए।
उसी महीने ड्रिफ्ट प्रोटोकॉल ने सोलाना पर 285 मिलियन डॉलर का नुकसान उठाया। आर्बिट्रम का केल्पडीओ फ्रीज कुछ हफ्तों बाद 292 मिलियन डॉलर के ब्रिज एक्सप्लॉइट के बाद हुआ।
प्रत्येक प्रोटोकॉल ने ऑडिट पास कर लिया था। विफलता कोड के ऊपर थी, उन कुंजियों में जो ब्रिज पीयर्स या अपग्रेड कार्यान्वयन सेट करती थीं। Resolv का $80 मिलियन मिंट इस साल शुरू में उसी प्रकार का था
2026 में DeFi को जवाब देना होगा कि क्या प्रोटोकॉल की ऑडिट की जाती है, क्योंकि लगभग सभी की जाती है। यह सवाल यह है कि उन ऑडिट किए गए कॉन्ट्रैक्ट्स के पीछे की छोटी सेट ऑपरेशनल कुंजियाँ… अभी भी एकल लैपटॉप पर एकल वस्तु के रूप में रहने की अनुमति पाती हैं,” Sodot के सह-संस्थापक शलेव केरेन ने BeInCrypto को बताया, और यह भी जोड़ा कि ऑडिट अब मुख्य सवाल का जवाब नहीं देते।
स्टेक डीएओ और इसके समकक्षों के लिए, मल्टिसिग वॉलेट सुरक्षा को डिप्लॉयर कुंजियों और फॉर्ज किए गए मिंट्स के बीच रखा जाना चाहिए। अन्यथा, अगला डीफाई प्लेटफॉर्म दुर्घटना खराब कोड के बजाय एकल लैपटॉप तक जाएगा।