ایک اور دن، ایک اور ایکسپلوٹ۔
20 جون کو، ایک حملہ آور نے تقریباً 1.11 ملین امریکی ڈالر کی قیمت کے اثاثے چوری کر لیے۔ اسے BNB چین پر PancakeSwap V2 پر OLPC/LABUBU لیکویڈٹی پول کا فائدہ اٹھا کر کیا گیا۔
حملہ پول کے مسلسل مصنوعی مارکیٹ میکر اور OLPC کے ڈیفلیشنری میکنزم کے درمیان تفاعل میں ایک خامی کا استعمال کرتا تھا۔
جبکہ جوڑے کے کیشڈ ذخائر میں کوئی تبدیلی نہیں آئی، اس کے اصل ٹوکن بیلنسز حملہ آور کے کنٹریکٹ سے ایک چھوٹے سے ٹرانسفر کے بعد تباہ ہو گئے۔ یہ ٹرانسفر پول سے تقریباً 51.9 ملین OLPC اور 124,000 LABUBU ٹوکنز کو ایک مردہ پتے پر جلانے کا سبب بن گیا۔
حملے کی مزید تفصیلات
رسیو کا عدم مطابقت نے شدید قیمتی تحریف پیدا کردی۔
نتیجے میں، حملہ آور نے باقی LABUBU کو بھاری ڈسکاؤنٹ پر خرید کر خالی کر دیا۔
لکھتے وقت، یہ واضح نہیں تھا کہ کمزوری کو حملے سے بہت پہلے عمدہ طور پر شامل کیا گیا تھا یا نہیں۔
تاہم، ابتدائی تجزیہ پیش کیا گیا کہ حملہ OLPC معاہدے میں پہلے سے تبدیل کیا گیا decimalsValue پیرامیٹر سے نکلا ہو سکتا ہے۔
یہ کمزوری کس طرح پیدا ہوئی؟
ایک مزید گہری تجزیہ یہ ظاہر کرتا ہے کہ یہ حملہ OLPC ٹوکن میں ایک طویل عرصے سے موجود خامی سے نکلا۔ حملے سے تقریباً 46 دن پہلے، ٹوکن کا مالک decimalsValue پیرامیٹر کو 1 سے ایک بہت بڑی تعداد میں تبدیل کر دیا۔ اس سے _update() فنکشن کے ذریعے زیادہ ٹوکن جلنے کی اجازت دی گئی۔
واقعہ نے شکوک بھی پیدا کر دیے ہیں۔
مالکیت چھوڑنے سے ہفتے پہلے، OLPC معاہدے کی decimalsValue پہلے ہی ایک غیر معمولی اونچے سطح پر مقرر کر دی گئی تھی۔
اس وقت کی سفارش یہ ہے کہ خرابی کو شاید ایکسپلوٹ ہونے سے بہت پہلے ہی ڈال دیا گیا تھا۔
قابل ذکر بات یہ ہے کہ چوری شدہ فنڈز کے دوسرے چینز پر منتقل ہونے، ٹورنیڈو کیش میں داخل ہونے یا متعدد والٹس میں تقسیم ہونے کی کوئی رپورٹ نہیں آئی ہے۔
جون میں حملے
دیفی لاما کے ڈیٹا کے مطابق، جون میں اب تک ہونے والے ہیکس کی کل قیمت 60.03 ملین امریکی ڈالر ہو چکی ہے۔
یہ انسانیت پروٹوکول [H] کے ایک اہم حملے کے ساتھ مل گیا، جس کی وجہ سے تقریباً 32 ملین امریکی ڈالر کے نقصان ہوئے۔ ازٹیک نیٹ ورک نے ایک اور قابل ذکر حملہ دیکھا، جس کے نتیجے میں 1,158 Ethereum [ETH]، 150,000 DAI اور 0.4696 renBTC کا تباہ کر دیا گیا۔
علاوہ ازیں، UXLink، جسے ستمبر 2025 میں ہدف بنایا گیا تھا، نے حال ہی میں حملہ آور کی طرف سے تقریباً 8.1 ملین امریکی ڈالر کے ایتھریم کو Tornado Cash میں منتقل کرنے کا مشاہدہ کیا۔
آخری خلاصہ
- حملہ OLPC ٹوکن کے ڈیفلیشنری میکانزم کی وجہ سے پیدا ہونے والی ریزرو ڈی سنسکرونائزیشن کمزوری کا فائدہ اٹھا رہا تھا۔
- منافع کے تبادلے سے پہلے، حملہ آور نے نتیجے میں پیدا ہونے والی قیمتی پیکھڑی کی وجہ سے LABUBU کی مایہ ریزی کو فائدہ مند شرائط پر خالی کر دیا۔